cPanel & WHM corrige falha crítica no CalDAV/CardDAV que permite elevação de privilégios (CVE-2026-87899)
O que fazer
- Afeta
- cPanel 11.120 ou superior, antes da correção
- Quem faz
- Hospedagem e revenda: nada a fazer, a Rapid Cloud atualiza o servidorVPS e Cloud: você atualiza o servidor
- Ação
- Atualizar para a versão corrigida da sua trilha (ou superior):11.136.0.41STABLE11.134.0.57LTS11.138.0.8RELEASENo WP Squared: 11.138.1.11 ou superior.
- PrazoVPS e Cloud
- Imediatamente (desde 22/09)Se ainda não atualizou o servidor, atualize agora.
- Exploração
- Pela internet · com login de usuário comum · sem ação da vítima
Tenho VPS ou Cloud: como atualizar
- Atualize o cPanel com o comando abaixo: ele instala a versão mais recente da trilha configurada no servidor.
- Confira a versão depois de atualizar.
Comandos
- Atualizar
/scripts/upcp - Conferir
/usr/local/cpanel/cpanel -V
Ficou com dúvida?Falar com o suporte
O que aconteceu
A WebPros publicou uma correção para a vulnerabilidade CVE-2026-87899, de gravidade crítica (CVSS 9.4), no recurso de CalDAV e CardDAV do cPanel & WHM, usado para sincronizar calendários e contatos. Um usuário com conta cPanel pode elevar seus privilégios e executar comandos como root, o administrador máximo do servidor, obtendo controle total da máquina. A falha afeta a versão v120 ou posterior, e as versões corrigidas são 11.134.0.57, 11.136.0.41, 11.138.0.8 e WP2: 11.138.1.11, ou posteriores.
Gerado por IA a partir do aviso do fornecedor em . Em caso de divergência, vale o original.Ler na fonte (support.cpanel.net)
Trecho do aviso original, em inglês
An authenticated cPanel account holder can escalate their privileges through cPanel's CalDAV and CardDAV functionality. Successful exploitation leads to code execution as the root user, giving an attacker full control of the server.
Trecho curto, reproduzido para referência.Texto completo em support.cpanel.net
Título original e fonte
ENSecurity: CVE-2026-87899 Vulnerability in cPanel's CalDAV/CardDAV - September 22, 2026
Versões
Afeta todas as versões com suporte, até a correção de cada trilha.
| Trilha | Corrigida em |
|---|---|
| RELEASE | 11.138.0.8 |
| STABLE | 11.136.0.41 |
| LTS | 11.134.0.57 |
CVEs 1
Vetor CVSS 9,4: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
O que são esses termos?
- CVE
- Código único de uma falha de segurança, como CVE-2026-12345. Serve para achar a mesma falha em qualquer fonte.
- CVSS
- Nota de 0 a 10 que mede a gravidade técnica de uma falha. De 9 a 10 é crítica; de 7 a 8,9, alta; de 4 a 6,9, média; abaixo de 4, baixa.
- Exploração
- Como a falha pode ser explorada: pela internet ou só com acesso ao servidor, com ou sem login, com ou sem ajuda de alguém.
- Prazo
- Prazo recomendado para quem precisa agir, contado da publicação. Crítica ou KEV: imediatamente; Alta: em até 7 dias; Média: em até 30 dias; Baixa: na próxima atualização de rotina; Sem nota oficial: em até 7 dias. Vale para o que é do site (WordPress e plugins) em qualquer plano e, no que é do servidor, só para VPS e Cloud: na hospedagem e na revenda, quem atualiza o servidor é a Rapid Cloud.