El contexto: por qué este parche no es uno más

Para entender por qué estos tres CVEs importan más de lo que sugieren sus puntuaciones individuales, hay que mirar lo que pasó en las dos semanas previas.

El 28 de abril de 2026, cPanel publicó un parche de emergencia para CVE-2026-41940 — una falla de autenticación con CVSS 9.8 que permitía a atacantes remotos no autenticados ganar acceso administrativo a cPanel y WHM. La vulnerabilidad había sido explotada como zero-day desde finales de febrero, dando a los atacantes una ventaja de casi dos meses antes de que existiera una solución.

El resultado fue inmediato y grave: al menos 44.000 direcciones IP con cPanel fueron comprometidas en ataques activos. Los hackers usaron la falla para desplegar un encriptador Linux escrito en Go, parte de una cepa de ransomware llamada "Sorry".

Los tres nuevos CVEs, uno por uno

CVE-2026-29201 — Lectura arbitraria de archivos (CVSS 4.3)

Qué es: una validación insuficiente del nombre de archivo de feature en la llamada adminbin feature::LOADFEATUREFILE que permite leer archivos arbitrarios del servidor.

Qué significa en la práctica: un atacante autenticado puede manipular el parámetro del nombre de archivo para leer archivos del servidor a los que no debería tener acceso. Aunque esto no otorga acceso root directamente, la información recolectada —archivos de configuración, credenciales, rutas internas— puede usarse para preparar ataques más dañinos.

Severidad: Moderada. Menor urgencia que los otros dos, pero igual de obligatorio en el entorno actual.

CVE-2026-29202 — Ejecución arbitraria de código Perl (CVSS 8.8)

Qué es: validación insuficiente del parámetro plugin en la API create_user que permite ejecutar código Perl arbitrario con los privilegios del usuario autenticado.

Qué significa en la práctica: este es el más peligroso de los tres. Un usuario autenticado —que en un servidor compartido puede ser cualquier titular de cuenta— puede inyectar código Perl arbitrario a través de la API create_user. El código Perl ejecutándose en el contexto de cPanel tiene acceso significativo a nivel de sistema. En hosting compartido, un inquilino puede ejecutar código que afecte a la máquina entera.

Severidad: Alta (CVSS 8.8). Requiere autenticación, pero en hosting compartido esa barrera es trivial: cualquier cuenta es suficiente.

CVE-2026-29203 — Escalada de privilegios por symlink inseguro (CVSS 8.8)

Qué es: manejo inseguro de symlinks que permite a un usuario modificar permisos de archivos arbitrarios usando chmod, lo que puede causar denegación de servicio o escalada de privilegios.

Qué significa en la práctica: creando un symlink que apunta a un archivo sensible del sistema y disparando una operación chmod a través de cPanel, un atacante puede cambiar permisos de archivos que no debería poder tocar. Esto puede llevar a escalada de privilegios o denegación de servicio si se vuelven inaccesibles archivos críticos.

Severidad: Alta (CVSS 8.8). Combinado con CVE-2026-29202, ambos pueden encadenarse: primero ejecutar código para crear el symlink, luego usar la escalada chmod para profundizar el acceso.

Las tres vulnerabilidades en una mirada

Cómo parchear: comandos exactos

El proceso de actualización es el estándar de cPanel, pero hay detalles que conviene confirmar. Estos comandos se ejecutan como root vía SSH.

1. Actualización estándar

# Aplicar el TSR del 8 de mayo
/scripts/upcp

2. Si los updates automáticos están desactivados o estás en un tier fijado

/scripts/upcp --force

3. Para servidores CloudLinux 6

sed -i "s/CPANEL=.*/CPANEL=cl6110/g" /etc/cpupdate.conf
/scripts/upcp

4. Reiniciar cpsrvd después del parche

/scripts/restartsrv_cpsrvd

5. Verificar la versión instalada

/usr/local/cpanel/cpanel -V
# Confirma que la versión coincide con el release del advisory

¿También deberías chequear compromiso previo?

Si tu servidor corrió una versión sin parchear de cPanel entre finales de febrero y el 28 de abril, debes tratarlo como potencialmente comprometido y hacer una investigación forense, no solo aplicar el parche.

Los pasos forenses recomendados incluyen:

• Auditar logs de acceso desde el 23 de febrero de 2026. Revisa /usr/local/cpanel/logs/access_log y /usr/local/cpanel/logs/login_log en busca de patrones de autenticación anómalos desde IPs inesperadas.
• Escaneo recursivo de archivos .sorry. Esta es la extensión que añade el ransomware tras encriptar. Su presencia confirma despliegue del malware.
• Revisar accounts que hayan ejecutado create_user de forma anómala o desde IPs no habituales.

# Buscar archivos encriptados por ransomware
find /home -name "*.sorry" -type f 2>/dev/null

# Revisar últimos accesos sospechosos a cPanel
tail -n 500 /usr/local/cpanel/logs/access_log | grep -v "127.0.0.1"

El patrón más amplio: ¿qué está pasando con cPanel?

Lo que está sucediendo con cPanel en mayo de 2026 es parte de una tendencia más amplia que afecta al panorama completo de seguridad en hosting web.

Tres de las vulnerabilidades de kernel Linux más graves de los últimos años —Copy Fail (CVE-2026-31431) y Dirty Frag (CVE-2026-43284/43500)— se publicaron en un lapso de ocho días entre finales de abril y principios de mayo. El ataque ransomware a cPanel expuso más de 44.000 servidores. Y ahora tres CVEs más caen apenas días después del primer parche de emergencia.

Esta concentración de divulgaciones no es coincidencia. La investigación de seguridad asistida por IA está encontrando vulnerabilidades más rápido de lo que los procesos de divulgación coordinada pueden manejar. La ventana entre que una vulnerabilidad se vuelve conocida para los atacantes y se explota en producción se está reduciendo de semanas a días.

Checklist de respuesta

Preguntas frecuentes