CVE-2026-54420
LiteSpeed cPanel plugin avant 2.4.8 (tel que distribué dans LiteSpeed WHM PlugIn avant 5.3.2.0) gère incorrectement les symlinks fournis par un utilisateur avec un accès FTP ou web shell sur un serveur d'hébergement partagé exécutant CloudLinux/CageFS, comme exploité in the wild en mai 2026.
Activement exploitée
- Dans le catalogue CISA des vulnérabilités exploitées depuis le 15 juin 2026
- Les agences fédérales américaines doivent la corriger avant le 18 juin 2026 (BOD 22-01)
- Attaquée 13 jours avant la divulgation publique de la faille
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Source : CISA KEV · 10 juil. 2026 16 juin 2026 15 juin 2026 14 juin 2026 1 juin 2026
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:HProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| litespeedtech | litespeed cpanel plugin | < 2.4.8 |
| litespeedtech | litespeed whm plugin | < 5.3.2.0 |
Articles liés
VulnérabilitésD'un domaine parqué au root du serveur : la faille critique dans cPanel/WHM
Faille critique CVE-2026-65643 dans cPanel/WHM : de domaine parqué à exécution root. Versions corrigées et procédure de mise à jour.
APTAttaque informatique contre le nucléaire et la Marine philippine : ownCloud et WordPress utilisés comme vecteurs
Un serveur compromis à Amsterdam révèle des attaques via ownCloud et WordPress contre l'agence nucléaire et la Marine philippines.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.