Hosting partajat: o vulnerabilitate din iunie arată cât de mult depinde site-ul tău de vecinii de pe același server

Când cumperi găzduire partajată, cumperi de fapt o cameră într-un bloc. Ai ușa ta, ai cheia ta, dar împarți instalația cu zeci sau sute de necunoscuți. În mod normal, izolarea funcționează și nici nu te gândești la vecini. În iunie 2026 a apărut o vulnerabilitate care arată exact ce se întâmplă când izolarea cedează: un cont compromis de pe server, care poate să nu fie al tău, devine problema tuturor. Nu e un articol de panică, ci despre trei întrebări pe care merită să le pui furnizorului în scris.

Ce s-a întâmplat, pe scurt

Pe 31 mai 2026, echipa de securitate a unui furnizor de găzduire a raportat producătorului LiteSpeed o problemă în modul în care pluginul pentru cPanel tratează legăturile simbolice. A doua zi, pe 1 iunie, producătorul a publicat patch-ul și un aviz în care confirmă textual că vulnerabilitatea este exploatată activ. Identificatorul public, CVE-2026-54420, a venit abia pe 14 iunie, cu două săptămâni mai târziu. Pe 15 iunie, agenția americană CISA a adăugat-o în catalogul de vulnerabilități exploatate cunoscute, cu termen de remediere 18 iunie pentru agențiile federale. Trei zile. Nu se dau trei zile pentru o problemă teoretică.

Descrierea tehnică oficială este destul de clară: pluginul cPanel anterior versiunii 2.4.8 tratează greșit legăturile simbolice create de un utilizator care are acces FTP sau un webshell pe un server de găzduire partajată ce rulează CloudLinux cu CageFS. Vectorul CVSS conține un detaliu care spune toată povestea: Scope: Changed. În traducere liberă, impactul depășește contul din care pornește atacul și atinge celelalte conturi de pe aceeași mașină.

De ce te privește chiar dacă site-ul tău e curat

Atacul nu pornește din nimic. Presupune că atacatorul are deja un cap de pod pe acel server: un cont FTP furat sau un webshell plantat undeva. Iar acel „undeva” poate fi site-ul altcuiva. Al unei firme care nu și-a mai actualizat WordPress-ul din 2023, al unui magazin abandonat, al unui blog uitat de un fost client al aceluiași hoster.

Odată intrat acolo, atacatorul folosește vulnerabilitatea ca să iasă din cutia lui și să ajungă la controlul întregii mașini. Din acel punct, poate citi și modifica tot ce se află pe disc, pentru toate conturile. Inclusiv fișierul tău wp-config.php, cu parola bazei de date. Inclusiv copiile tale de siguranță, dacă le ții tot acolo.

Cât de răspândit e riscul, fără exagerări

Aici trebuie făcută o distincție pe care presa o ratează frecvent. LiteSpeed este folosit de aproximativ 15% dintre site-urile al căror server web este cunoscut, potrivit statisticilor W3Techs. Este o cifră despre serverul web în general, nu despre numărul de mașini care rulau pluginul cPanel vulnerabil. Nu există și nu a publicat nimeni un număr de servere compromise, un furnizor victimă sau un grup de atacatori identificat. Cine îți spune altceva îți vinde frică.

Un al doilea reper de calibrare: scorul EPSS, care estimează probabilitatea de exploatare în următoarele 30 de zile, era în jur de 1,4% la sfârșitul lui iulie 2026. Este un număr mic, și e corect să fie: exploatarea cere un cap de pod pe server, deci este țintită, nu masivă. Asta nu slăbește deloc argumentul, ci îl mută. Nu e vorba de o furtună globală, ci de faptul că un singur server lovit înseamnă toate site-urile de pe el.

Ce se poate documenta despre piața din România este că stiva LiteSpeed cu CloudLinux și cPanel este uzuală aici, pentru că furnizorii o promovează singuri pe propriile pagini de prezentare. Ce versiuni rulează efectiv nu este informație publică și nu poate fi determinată din exterior. Nu numim pe nimeni și nu insinuăm nimic: nu există nicio dovadă publică privind vreun furnizor românesc afectat. Din acest motiv, singura cale onestă de a afla este să întrebi.

Cele trei întrebări pe care le trimiți furnizorului

Pe email, nu pe chat, ca să rămână dovada. Un furnizor serios răspunde în 48 de ore. Unul care nu poate răspunde la o întrebare de versiune este el însuși răspunsul.

Bonus, dacă vrei să fii util și nu doar precaut: producătorul a publicat indicatori concreți pe care un administrator de server îi poate căuta în loguri, respectiv un apel de generare de certificat urmat imediat de un apel de calcul al dimensiunii contului pentru același utilizator, cu 7 până la 10 apeluri concurente de la aceeași adresă IP, în loc de unul câte unul cum face interfața legitimă. Nu sunt comenzi inventate de noi, sunt din avizul oficial LiteSpeed, iar un furnizor competent va ști imediat despre ce vorbești.

Ce poți face singur, fără să depinzi de nimeni

Nu poți repara serverul altcuiva. Poți însă să reduci mult ce ți se întâmplă când altcineva greșește.

• Backup în afara serverului. La alt furnizor, pe alt cont, cu versionare și retenție de minimum 30 de zile. Copia din cPanel, ținută pe aceeași mașină, nu te salvează de un compromis la nivel de administrator de sistem, pentru că acel nivel de acces citește și șterge tot ce e pe acel disc. Este singura măsură pe care o iei singur și care funcționează chiar dacă hosterul greșește.
• Testează o restaurare, o singură dată, pe un subdomeniu de test. Un backup neverificat este o presupunere, nu o măsură de securitate. Notează cât durează, ca să știi ce înseamnă concret o zi proastă.
• Șterge conturile FTP și utilizatorii cPanel pe care nu îi mai folosești, în special cele rămase de la fostul web designer. Vectorul de intrare al acestui atac este exact un cont FTP sau un webshell. Cu cât sunt mai puține uși, cu atât mai bine, inclusiv pentru vecinii tăi.
• Nu fi tu pacientul zero. WordPress și pluginurile la zi, pluginurile nefolosite dezinstalate, nu doar dezactivate, autentificare în doi pași pe conturile de administrator, limitare de rată pe paginile de autentificare și un filtru în fața site-ului ca să fie mai greu de plantat un webshell. Pașii concreți sunt în ghidul despre cum protejezi un site WordPress.
• După orice incident anunțat de furnizor, schimbă absolut tot: parola cPanel, conturile FTP și SFTP, utilizatorii bazei de date, administratorii WordPress, cheile API din pluginuri, parolele căsuțelor de email găzduite acolo. Un compromis la nivel de server înseamnă că tot ce era scris în fișiere a putut fi citit.
• Verifică lunar ce nu ar trebui să fie acolo: utilizatori administratori noi în WordPress, fișiere PHP apărute în wp-content/uploads, sarcini cron necunoscute în cPanel, redirecționări de email nou create. Zece minute, buget zero.

Când merită să nu mai stai la comun

Dacă site-ul chiar contează pentru afacere, un magazin online cu comenzi sau o clinică cu date de pacienți, pune în discuție cu furnizorul mutarea pe un server privat virtual sau pe un container izolat. Nu pentru că un VPS ar fi magic, ci pentru că elimină exact scenariul din acest articol, în care ești afectat pentru că a greșit altcineva. În schimb, preiei mai multă responsabilitate pe actualizări, deci e o decizie de calibrat, nu un răspuns automat.

Ce nu rezolvă un WAF, ca să fie limpede

Un filtru în fața site-ului, inclusiv al nostru, nu ar fi împiedicat acest atac. Escaladarea la nivel de administrator de sistem se petrece în interiorul serverului, între conturi, și nu trece prin niciun proxy. Ce face un filtru este să reducă șansa ca tu să fii contul care primește webshell-ul inițial, adică să te scoată din rolul de pacient zero, și să oprească traficul ostil venit din internet. Atât. Orice altă formulare ar fi vânzare pe fals, iar distincția între ce acoperă un WAF și ce nu am explicat-o pe larg în comparația dintre protecția de la hosting și un WAF.

Surse

• Fișa tehnică, cu descrierea oficială, scorul și mențiunea exploatării în sălbăticie: CVE-2026-54420 în baza de date NIST.
• Avizul producătorului, cu patch-ul și indicatorii de compromitere: blogul LiteSpeed Technologies.
• Adăugarea în catalogul de vulnerabilități exploatate cunoscute și contextul: The Hacker News și Security Affairs.

Concluzie

Găzduirea partajată nu este o alegere greșită. Pentru majoritatea site-urilor de prezentare este alegerea rațională, iar un furnizor bun ține izolarea și actualizările la zi. Ce e greșit e să nu știi în ce condiții stai. Trei întrebări trimise pe email, un backup ținut în altă parte și zece minute de verificare pe lună te scot din categoria celor care află despre un incident de la clienți. Dacă vrei să vezi unde ești expus acum, îți facem o evaluare gratuită și îți spunem exact ce am găsit, fără să cerem parole de hosting.