Il CSIRT ha richiamato il 3 novembre l’attenzione dei gestori di hosting su due vulnerabilità di cPanel & WHM per le quali sono disponibili correzioni. Le conseguenze sono differenti: accesso senza credenziali ai calendari e ai contatti degli account di posta, oppure scrittura di file con privilegi elevati attraverso un account rivenditore.
L’avviso italiano è identificato dalla sigla AL05/261103/CSIRT-ITA. I documenti del produttore risalgono invece a ottobre e risultano aggiornati il 30 ottobre: il richiamo odierno non significa che le patch siano state create soltanto adesso. Per chi gestisce siti, posta e servizi condivisi, la verifica riguarda la versione del pannello installata sul server.
La falla CVE-2026-105475 interessa l’accesso a dati di calendario e rubrica. Secondo cPanel, un attaccante privo di account e di credenziali potrebbe leggere le informazioni degli account ospitati. Il produttore indica come interessate le versioni dalla 124 in avanti, con correzioni nei rami supportati indicati nel bollettino.
Per questo problema i riferimenti corretti sono 134.0.67, 136.0.51 e 138.0.19, o versioni successive dei rispettivi rami. L’assenza di credenziali come requisito distingue questo difetto da una semplice password debole. Il controllo tecnico da richiedere al gestore è l’applicazione della correzione, non soltanto la modifica della password della casella.
La seconda vulnerabilità, CVE-2026-105476, riguarda un processo che opera come root. Un account rivenditore sul server potrebbe indurlo a creare o sovrascrivere file in posizioni scelte dall’account stesso. L’esistenza di un account con quel ruolo è quindi un elemento del problema: il produttore non descrive questo caso come identico all’accesso anonimo ai calendari.
Il relativo avviso comprende cPanel & WHM dalla versione 78 e indica le correzioni 110.0.154, 134.0.67, 136.0.51 e 138.0.19. Il ramo 110 compare soltanto nel secondo bollettino. I numeri appartengono a rami diversi: non vanno confrontati come se un numero di ramo maggiore garantisse, da solo, l’installazione della revisione che elimina la vulnerabilità.
Per un’impresa italiana che acquista hosting gestito, la distinzione delle responsabilità è concreta. L’aggiornamento del pannello compete al soggetto che amministra il server; aggiornare il sito o un suo componente non dimostra che anche WHM sia corretto. La richiesta utile al fornitore comprende ramo, revisione installata e data dell’ultimo aggiornamento effettuato.
Chi amministra direttamente l’infrastruttura deve seguire il percorso di aggiornamento documentato da cPanel, riferito al proprio ambiente. Conservare l’esito della verifica permette di distinguere i server già corretti da quelli ancora da trattare, soprattutto quando un’organizzazione utilizza più fornitori o più istanze dello stesso prodotto per servizi differenti.
L’allerta segnala possibilità tecniche di sfruttamento e misure di mitigazione. Non identifica un’intrusione presso una specifica azienda italiana, né dimostra che tutte le rubriche ospitate su cPanel siano state sottratte. La notizia operativa è la disponibilità delle patch e il confronto preciso con le versioni effettivamente in uso.