Atualização emergencial do cPanel e WHM corrige falha crítica de bypass de autenticação

Administradores de cPanel e WHM devem aplicar o patch imediatamente após o cPanel publicar, em 29 de abril de 2026, uma atualização emergencial para corrigir uma vulnerabilidade crítica de bypass de autenticação. Provedores de hospedagem reagiram rapidamente, e a Namecheap bloqueou temporariamente as portas 2083 e 2087 para reduzir a exposição enquanto clientes atualizam sistemas afetados.

Contexto

O incidente gira em torno de uma falha grave de bypass de autenticação que afeta implantações de cPanel e WHM. Embora a obtenção direta do aviso oficial esteja bloqueada neste fluxo, o cPanel publicou um boletim de segurança sobre o problema e liberou builds corrigidas em vários ramos suportados.

Detalhes

As versões corrigidas listadas para a atualização emergencial são 11.110.0.97, 11.118.0.63, 11.126.0.54, 11.132.0.29, 11.134.0.20 e 11.136.0.5. Recomenda-se que administradores forcem o processo de atualização com o comando /scripts/upcp --force e confirmem sem demora que os sistemas passaram para a versão corrigida.

Resposta dos provedores

A Namecheap bloqueou temporariamente o acesso de entrada às portas 2083 e 2087, normalmente usadas por cPanel e WHM, como medida defensiva durante a resposta. Isso ressalta a gravidade da falha e o nível de preocupação em ambientes de hospedagem compartilhada e servidores gerenciados.

Implicações

Qualquer bypass de autenticação em um painel de controle tão amplamente implantado quanto o cPanel pode criar riscos desproporcionais, incluindo acesso administrativo não autorizado, comprometimento de contas e impacto em cascata em ambientes de hospedagem. As equipes devem corrigir imediatamente, revisar logs de acesso, confirmar a exposição das portas de gerenciamento voltadas para a internet e coordenar com provedores caso restrições temporárias de rede continuem em vigor.

Atribuição da fonte

Esta reportagem se baseia na cobertura do BleepingComputer sobre a correção emergencial, observando também que o cPanel publicou um boletim de segurança e que provedores como a Namecheap adotaram salvaguardas temporárias durante a liberação.