Uma vulnerabilidade no cPanel & WHM, uma das plataformas de gerenciamento de hospedagem mais utilizadas no mundo, criou um cenário especialmente preocupante para servidores compartilhados: um cliente poderia fazer com que consultas SQL fossem processadas com os privilégios do usuário root do banco de dados.
A falha é identificada como CVE-2026-29206 e está relacionada à sanitização inadequada de consultas utilizadas pelo script sqloptimizer. Segundo o registro oficial da vulnerabilidade, o problema permite SQL Injection executada em nome do usuário root quando o recurso de Slow Query Logging está habilitado.
O risco é significativo porque servidores de hospedagem compartilhada podem concentrar dezenas ou centenas de clientes. Uma quebra da separação entre uma conta comum e privilégios administrativos do banco pode transformar o comprometimento de um único cliente em uma ameaça para uma parcela maior da infraestrutura.
O que aconteceu no cPanel?
O problema está relacionado ao sqloptimizer, utilitário utilizado pelo cPanel para trabalhar com otimização de bancos de dados.
Segundo a descrição da CVE, a aplicação não sanitizava adequadamente determinados elementos utilizados na construção das consultas SQL.
Isso criava uma possibilidade de SQL Injection.
O ponto mais grave está no contexto em que essas consultas acabavam sendo executadas: elas poderiam chegar ao banco com os privilégios do root.
Em uma infraestrutura de hospedagem compartilhada, esse comportamento rompe um princípio fundamental de segurança: um cliente deveria estar rigidamente separado tanto dos demais clientes quanto das funções administrativas do servidor.
O que significa executar SQL como root?
É importante diferenciar o root do banco de dados do usuário root do sistema operacional Linux.
O usuário root do MySQL ou MariaDB possui privilégios administrativos sobre o banco de dados, mas isso não significa automaticamente possuir controle root do sistema operacional.
Ainda assim, trata-se de uma escalada extremamente relevante.
Dependendo da configuração do servidor, privilégios administrativos no banco podem permitir alterações em bases de dados, manipulação de usuários e permissões e outras operações que uma conta convencional jamais deveria realizar.
A própria NVD classifica o impacto técnico potencial da vulnerabilidade como total, embora registre que não havia exploração conhecida no momento das informações analisadas.
Falha depende do Slow Query Logging
Existe uma condição importante para exploração da CVE-2026-29206.
De acordo com o registro da vulnerabilidade, o problema ocorre quando o Slow Query Logging está habilitado.
O Slow Query Log é um mecanismo utilizado pelo MySQL e MariaDB para registrar consultas que demoram mais do que determinado limite para serem executadas.
Administradores utilizam esses registros para encontrar gargalos, consultas mal otimizadas e problemas de desempenho.
Uma ferramenta legítima de diagnóstico acabou, nesse caso, fazendo parte do caminho que possibilitava a vulnerabilidade.
Servidores compartilhados aumentam o impacto
O modelo de hospedagem compartilhada depende fundamentalmente de isolamento.
Imagine um servidor contendo 200 clientes.
Cada cliente possui seus próprios sites, arquivos, bancos de dados, contas de e-mail e credenciais.
Embora todos utilizem a mesma infraestrutura física ou virtual, um cliente não deve conseguir acessar os recursos dos outros.
Por isso, vulnerabilidades capazes de elevar privilégios de uma conta comum merecem atenção especial.
Uma empresa mal-intencionada poderia até contratar legitimamente um plano de hospedagem e, estando em um ambiente vulnerável e nas condições necessárias, tentar explorar a falha a partir da própria conta.
SQL Injection continua relevante
SQL Injection é uma das classes mais antigas de vulnerabilidades em aplicações web.
Ela ocorre quando dados controlados pelo usuário acabam sendo incorporados a uma consulta SQL sem tratamento adequado.
O atacante pode manipular a estrutura da consulta e fazer com que o banco interprete parte da entrada como comandos.
Nesse caso, a vulnerabilidade foi catalogada como CWE-89 — Improper Neutralization of Special Elements used in an SQL Command.
O que torna a CVE-2026-29206 particularmente relevante não é apenas a existência de SQL Injection, mas o contexto privilegiado no qual a consulta poderia ser executada.
Versões vulneráveis
A vulnerabilidade atingiu uma ampla quantidade de versões do cPanel & WHM.
De acordo com os dados publicados no registro da CVE, as seguintes linhas receberam versões corrigidas:
- 11.136: corrigida a partir da 11.136.0.10;
- 11.134: 11.134.0.26;
- 11.132: 11.132.0.32;
- 11.130: 11.130.0.23;
- 11.126: 11.126.0.59;
- 11.124: 11.124.0.38;
- 11.118: 11.118.0.67;
- 11.110: 11.110.0.119;
- 11.102: 11.102.0.42;
- 11.94: 11.94.0.31;
- versões entre 11.30 e 11.86: correção indicada na 11.86.0.44.
O WP Squared também foi afetado, com correção a partir da versão 11.136.1.12.
Isso torna a verificação da versão instalada uma das primeiras providências para administradores.
cPanel enfrentou outras vulnerabilidades graves em 2026
A CVE-2026-29206 não aparece isoladamente.
Em abril, uma vulnerabilidade diferente e ainda mais grave no cPanel & WHM, identificada como CVE-2026-41940, passou a ser explorada ativamente.
Nesse caso, atacantes remotos sem credenciais podiam contornar a autenticação e alcançar acesso administrativo, abrindo caminho para execução remota de código com privilégios elevados.
A vulnerabilidade chegou ao catálogo de falhas conhecidamente exploradas da CISA, e atividades maliciosas posteriores incluíram ransomware, botnets e roubo de credenciais.
É importante destacar que CVE-2026-41940 e CVE-2026-29206 são vulnerabilidades diferentes, apesar de ambas afetarem o ecossistema cPanel.
Por que o cPanel é um alvo valioso?
Comprometer um painel de hospedagem possui potencial muito maior do que atacar apenas um site.
O cPanel & WHM pode controlar sites, bancos de dados, contas, e-mails, certificados e diferentes configurações da infraestrutura.
O WHM, especificamente, oferece funções administrativas sobre todo o servidor.
Uma vulnerabilidade nessa camada pode, dependendo do seu alcance, colocar vários clientes simultaneamente em risco.
Esse é um dos motivos pelos quais falhas em painéis de hospedagem despertam interesse tanto de pesquisadores quanto de grupos criminosos.
Provedores precisam atualizar rapidamente
A principal medida para administradores é verificar se a instalação utiliza uma das versões corrigidas indicadas pelo fornecedor.
Ambientes que mantêm atualizações automáticas possuem uma vantagem importante, mas isso não elimina a necessidade de confirmar que a instalação efetivamente recebeu o patch.
Também é recomendável verificar se o Slow Query Logging está habilitado e revisar registros relacionados ao banco e às ferramentas administrativas caso o servidor tenha permanecido vulnerável.
Até o momento registrado pela NVD, não havia indicação de exploração conhecida da CVE-2026-29206.
Isso diferencia este caso da CVE-2026-41940, cuja exploração ativa foi confirmada.
Um alerta importante para empresas brasileiras
Não há evidências públicas apresentadas nas fontes consultadas indicando que organizações brasileiras tenham sido especificamente atacadas através da CVE-2026-29206.
O risco, entretanto, é global.
cPanel é amplamente utilizado por empresas de hospedagem, agências digitais, provedores e administradores de servidores em diferentes países.
No Brasil, empresas que possuem servidores próprios ou contratam VPS e hospedagens gerenciadas podem confirmar com seus fornecedores se as atualizações correspondentes já foram aplicadas.
Para provedores, o episódio também reforça a importância de manter mecanismos rigorosos de separação entre clientes.
Segurança de hospedagem depende de isolamento
A CVE-2026-29206 demonstra como uma falha aparentemente localizada em uma ferramenta de banco de dados pode ameaçar uma das propriedades mais importantes de uma infraestrutura compartilhada: o isolamento entre usuários.
Em servidores multi-tenant, a segurança depende de diversas barreiras funcionando simultaneamente.
Uma conta não deve controlar outra. Um banco não deve acessar outro. Um usuário comum não deve conseguir executar operações administrativas.
Quando uma dessas fronteiras desaparece, o impacto pode ultrapassar rapidamente a conta originalmente envolvida.
Para administradores e provedores que utilizam cPanel, a prioridade é objetiva: confirmar a versão instalada, aplicar as atualizações disponibilizadas e revisar a exposição dos ambientes que permaneceram vulneráveis.
