cPanel espone tutti gli account al root, PaperCut zero-day è già sotto attacco

🛡️ Executive Summary

• CVE-2026-65643 permette a un utente cPanel autenticato di creare file arbitrari ed eseguire codice come root sull’intero server.
• PaperCut conferma attacchi reali contro NG e MF ed estende l’allarme a tutte le versioni dei due prodotti.
• cPanel richiede aggiornamento immediato, mentre PaperCut distribuisce patch d’emergenza per le versioni 25 e 26 e raccomanda di isolare le interfacce Internet.

Due nuove emergenze colpiscono infrastrutture enterprise e server esposti a Internet. cPanel ha corretto CVE-2026-65643, vulnerabilità capace di trasformare l’accesso a un singolo account di hosting in esecuzione di codice come root sull’intero server, mettendo potenzialmente a rischio tutti i siti e database ospitati. Contemporaneamente PaperCut ha confermato lo sfruttamento attivo di uno zero-day contro PaperCut NG e MF, distribuendo patch d’emergenza dopo aver ricevuto evidenze di compromissioni reali. I due casi mostrano ancora una volta perché pannelli amministrativi e applicazioni enterprise condivise rappresentino obiettivi particolarmente remunerativi: compromettere un singolo componente può aprire l’accesso a decine o centinaia di sistemi collegati.

CVE-2026-65643 porta un account cPanel fino al controllo root

La vulnerabilità CVE-2026-65643 interessa la funzione utilizzata da cPanel per la gestione di parked domain e addon domain. Secondo l’advisory ufficiale pubblicato da cPanel, un utente autenticato autorizzato ad aggiungere questi domini può creare file arbitrari sul server e arrivare all’esecuzione di codice con privilegi root. Il problema riguarda tutte le versioni supportate di cPanel & WHM e assume un impatto particolarmente grave negli ambienti shared hosting: il controllo root rompe completamente l’isolamento tra clienti e consente all’attaccante di raggiungere ogni account, sito e database presente sul sistema. cPanel ha corretto la vulnerabilità nelle release 11.110.0.141, 11.134.0.53, 11.136.0.37 e 11.138.0.2, oltre a WP Squared 11.138.1.7. Il nuovo difetto arriva dopo una sequenza molto aggressiva di problemi nel 2026: ad aprile CVE-2026-41940 aveva permesso di bypassare l’autenticazione di cPanel ed era stata sfruttata contro server di hosting, mentre a maggio CISA aveva imposto tempi strettissimi per correggere una privilege escalation root nel plugin LiteSpeed per cPanel. A giugno un’altra falla LiteSpeed sfruttata attivamente aveva nuovamente trasformato un singolo account compromesso in un percorso verso root.

Leggi anche: Il mercato criminale degli accessi cPanel mostra perché un pannello compromesso vale molto più di un singolo sito

PaperCut conferma compromissioni reali e pubblica la patch d’emergenza

Il caso PaperCut presenta un livello di urgenza ancora maggiore perché lo sfruttamento non è teorico. Il vendor conferma di essere a conoscenza di incidenti reali presso propri clienti e considera potenzialmente vulnerabili tutte le versioni di PaperCut NG e PaperCut MF. Nella notte del 28 agosto PaperCut ha aggiornato il proprio bollettino di sicurezza distribuendo patch d’emergenza per le versioni 25 e 26 su Windows, Linux e macOS. Il vendor continua a raccomandare di rendere le interfacce Web del server raggiungibili esclusivamente da indirizzi IP fidati, attraverso firewall o controlli di rete, anche dopo l’installazione della correzione. Tra gli indicatori da verificare compaiono attività anomale originate dal processo pc-app.exe, cancellazione o troncamento inatteso del file server.log ed errori specifici associati al database. L’assenza di questi elementi non viene però considerata sufficiente per escludere una compromissione. L’allarme era già emerso il giorno precedente insieme alle RCE di Next.js e alla falla Kiro, quando PaperCut aveva inizialmente confermato gli attacchi senza poter ancora distribuire una correzione definitiva. Il nuovo aggiornamento cambia quindi lo scenario operativo: la patch ora esiste e deve essere installata immediatamente.

PaperCut torna nel mirino dopo gli exploit che avevano già colpito NG e MF

Per gli amministratori PaperCut l’attacco richiama inevitabilmente quanto accaduto nel 2023 con CVE-2023-27350, vulnerabilità RCE sfruttata massicciamente contro server NG e MF esposti a Internet. Il prodotto è tornato più volte nell’area critica della vulnerability intelligence e nel 2025 nuove vulnerabilità PaperCut NG erano emerse insieme ai problemi di sicurezza di Cisco ISE. La ricorrenza non significa che i difetti siano collegati tecnicamente, ma rende particolarmente importante verificare la reale esposizione delle console amministrative. Un server di gestione della stampa può essere presente in aziende, università, scuole, enti pubblici e grandi reti, spesso con integrazioni verso directory, sistemi di autenticazione e dispositivi distribuiti. Lo stesso problema riguarda cPanel sul fronte hosting: le campagne del 2026 hanno già dimostrato come vulnerabilità locali o autenticazioni compromesse possano trasformarsi in accessi root e ransomware. In entrambi i casi la superficie più rischiosa è quella direttamente raggiungibile da Internet, dove una vulnerabilità applicativa diventa immediatamente scandagliabile su larga scala.

Continua con:

• CISA e le vulnerabilità cPanel sfruttate attivamente mostrano il rischio degli hosting condivisi
• Next.js e PaperCut mettono sotto pressione server applicativi e infrastrutture enterprise

Aggiornare cPanel e PaperCut prima di cercare compromissioni

Per cPanel la priorità è verificare che il server esegua una delle build corrette o successive, perché CVE-2026-65643 consente una compromissione completa dopo l’accesso a un normale account abilitato alla gestione dei domini. Negli hosting condivisi è quindi opportuno considerare con maggiore attenzione account recentemente compromessi, modifiche anomale ai file, nuove chiavi SSH, utenti amministrativi inattesi e persistenza sul sistema. Per PaperCut l’urgenza è ancora più esplicita: il vendor ha già confermato attacchi e raccomanda contemporaneamente patch e restrizione dell’accesso alle interfacce Web. Chi gestisce versioni 25 o 26 può applicare la correzione d’emergenza distribuita il 28 agosto; chi utilizza configurazioni differenti deve mantenere il server fuori dall’esposizione Internet finché non dispone di una mitigazione supportata. Il punto comune delle due vulnerabilità è chiaro: un servizio amministrativo condiviso non deve essere trattato come una semplice applicazione, perché quando il confine dei privilegi viene superato l’impatto si propaga immediatamente a tutti i sistemi, siti o utenti che dipendono da quella piattaforma.