La actualización de emergencia de cPanel y WHM corrige un fallo crítico de bypass de autenticación

Los administradores de cPanel y WHM deben aplicar el parche de inmediato después de que cPanel publicara una actualización de emergencia el 29 de abril de 2026 para corregir una vulnerabilidad crítica de bypass de autenticación. Los proveedores de hosting reaccionaron rápidamente, y Namecheap bloqueó temporalmente los puertos 2083 y 2087 para reducir la exposición mientras los clientes actualizan los sistemas afectados.

Contexto

El incidente se centra en una grave falla de bypass de autenticación que afecta despliegues de cPanel y WHM. Aunque la recuperación directa del aviso oficial está bloqueada en este flujo, cPanel publicó un boletín de seguridad sobre el problema y distribuyó compilaciones corregidas en varias ramas compatibles.

Detalles

Las versiones corregidas indicadas para esta actualización de emergencia son 11.110.0.97, 11.118.0.63, 11.126.0.54, 11.132.0.29, 11.134.0.20 y 11.136.0.5. Se recomienda a los administradores forzar el proceso de actualización con el comando /scripts/upcp --force y verificar sin demora que el sistema quede en la versión corregida.

Respuesta de proveedores

Namecheap bloqueó temporalmente el acceso entrante a los puertos 2083 y 2087, usados habitualmente por cPanel y WHM, como medida defensiva durante la respuesta. Esto subraya la gravedad del fallo y el nivel de preocupación en entornos de hosting compartido y servidores administrados.

Implicaciones

Cualquier bypass de autenticación en un panel de control tan extendido como cPanel puede generar un riesgo desproporcionado, incluyendo acceso administrativo no autorizado, compromiso de cuentas y efectos en cadena dentro de entornos de alojamiento. Los equipos deben parchear de inmediato, revisar los registros de acceso, confirmar la exposición de los puertos de gestión conectados a Internet y coordinarse con sus proveedores si siguen existiendo restricciones temporales de red.

Atribución de la fuente

Este informe se basa en la cobertura de BleepingComputer sobre la corrección de emergencia, y además señala que cPanel publicó un boletín de seguridad y que proveedores como Namecheap aplicaron medidas de contención temporales durante el despliegue.