Cảnh báo khẩn cấp: CVSS 10.0

Một lỗ hổng bảo mật mức độ nghiêm trọng tối đa ảnh hưởng đến LiteSpeed User-End cPanel Plugin đang bị khai thác tích cực trong thực tế. Lỗ hổng cho phép kẻ tấn công hoặc tài khoản bị xâm nhập chiếm quyền điều khiển cao nhất (root) trên máy chủ.

Thông tin chi tiết về lỗ hổng CVE-2026-48172

Mã lỗ hổng:
CVE-2026-48172

Điểm CVSS:
10.0 (Tối đa)

Phiên bản bị ảnh hưởng:
LiteSpeed cPanel Plugin v2.3 đến v2.4.4

Loại tấn công: Leo thang đặc quyền
Thực thi tập lệnh với quyền Root

Theo báo cáo từ LiteSpeed, lỗ hổng xuất phát từ việc cấp quyền không chính xác trong hàm lsws.redisAble. Bất kỳ người dùng cPanel nào (bao gồm cả kẻ tấn công hoặc các tài khoản đã bị chiếm quyền) đều có thể lợi dụng lỗi này để thực thi các kịch bản tùy ý với đặc quyền root cao nhất.

Dấu hiệu nhận biết hệ thống bị xâm nhập (IOCs)

LiteSpeed đã cung cấp lệnh kiểm tra dấu hiệu khai thác trong các tệp nhật ký (logs) của hệ thống. Quản trị viên có thể sử dụng lệnh sau:

grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null

Nếu lệnh trên trả về bất kỳ kết quả nào, quản trị viên cần kiểm tra kỹ danh sách các địa chỉ IP liên quan để xác định xem chúng có phải là truy cập hợp lệ hay không.

HÀNH ĐỘNG KHẨN CẤP CHO QUẢN TRỊ VIÊN

Để đảm bảo an toàn cho máy chủ, TMGS khuyến nghị thực hiện ngay các hành động sau:

Cập nhật ngay lập tức: Nâng cấp lên phiên bản LiteSpeed WHM Plugin 5.3.1.0 trở lên (phiên bản này đã tích hợp cPanel plugin v2.4.7 an toàn).
Gỡ bỏ Plugin (Nếu chưa thể cập nhật): Thực hiện gỡ bỏ plugin phía người dùng bằng lệnh:
/usr/local/lsws/admin/misc/lscmctl cpanelplugin --uninstall
Thực hiện rà soát lại toàn bộ hệ thống vì lỗ hổng này có thể là bàn đạp cho các cuộc tấn công Ransomware hoặc cài đặt cửa sau (backdoor).

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo: Lỗ hổng nghiêm trọng CVE-2026-48172 trên LiteSpeed cPanel Plugin đang bị khai thác