CVE-2026-54420 Kit di Mitigazione

Toolkit di bonifica, audit e verifica difensiva per CVE-2026-54420 che colpisce il LiteSpeed cPanel Plugin in ambienti di hosting condiviso che utilizzano CloudLinux / CageFS.

⚠️ Avviso di Sicurezza Questo repository è inteso esclusivamente per amministratori di sistema, provider di hosting e ricerca sulla sicurezza difensiva. Non include codice di exploit, strumenti offensivi o proof-of-concept weaponizzati.

Informazioni su CVE-2026-54420

CVE-2026-54420 interessa alcune versioni del LiteSpeed cPanel Plugin / WHM Plugin, in cui la gestione dei symlink può essere abusata in ambienti di hosting condiviso.

In configurazioni vulnerabili, un utente con privilegi ridotti (ad esempio tramite un account FTP compromesso, un sito web vulnerabile o una web shell) può tentare di abusare dei privilegi utilizzando il comportamento dei symlink in condizioni specifiche.

Questo toolkit aiuta gli amministratori a:

• Applicare flussi di lavoro di mitigazione raccomandati
• Controllare attività sospette sui symlink
• Cercare indicatori di compromissione (IOC)
• Verificare lo stato della bonifica
• Migliorare i tempi di risposta durante uno sfruttamento attivo

Versioni Interessate

Vulnerabili

• LiteSpeed cPanel Plugin < 2.4.8
• LiteSpeed WHM Plugin < 5.3.2.0

Consigliate

Aggiornare a:

• LiteSpeed cPanel Plugin ≥ 2.4.8
• LiteSpeed WHM Plugin ≥ 5.3.2.0

Verificare sempre con gli advisory ufficiali del fornitore.

Funzionalità

✅ Automazione della mitigazione LiteSpeed ✅ Supporto per refresh e rimount di CageFS ✅ Rilevamento di symlink sospetti ✅ Caccia agli IOC per compromissioni in hosting condiviso ✅ Utility di verifica ✅ Distribuzione leggera basata su bash ✅ Adatto a provider di hosting

Struttura del Repository

CVE-2026-54420-Mitigation/
├── README.md
├── LICENSE
├── fix.sh
├── detect_symlinks.sh
├── hunt_iocs.sh
├── verify.sh
└── .github/
    └── workflows/
        └── shellcheck.yml

Installazione

Clonare il repository:

git clone https://github.com/mahfuzreham/CVE-2026-54420-Mitigation.git
cd CVE-2026-54420-Mitigation

Rendere eseguibili gli script:

chmod +x *.sh

Avvio Rapido

1. Applicare la Mitigazione

Eseguire:

./fix.sh

Questo comando:

• Aggiornerà i componenti LiteSpeed
• Eseguirà il refresh di CageFS (se installato)
• Riavvierà il servizio LiteSpeed
• Mostrerà le versioni installate

2. Rilevare Symlink Sospetti

./detect_symlinks.sh

Verifica la presenza di comportamenti potenzialmente sospetti dei symlink al di fuori dei percorsi previsti per gli account.

3. Cercare Indicatori di Compromissione (IOC)

./hunt_iocs.sh

Aiuta a identificare:

• File PHP modificati di recente
• Caricamenti sospetti
• Potenziali indicatori di webshell
• Voci di cron anomale

4. Verificare lo Stato della Bonifica

./verify.sh

Conferma:

• Stato del servizio LiteSpeed
• Versioni dei pacchetti installati
• Stato di CageFS

Azioni Raccomandate per gli Amministratori

In caso di risposta a questa vulnerabilità:

1. Applicare immediatamente la patch
2. Verificare gli account di hosting condiviso
3. Ruotare le credenziali compromesse
4. Controllare i caricamenti PHP modificati
5. Verificare l'attività di cron sospetta
6. Confermare l'isolamento CageFS
7. Esaminare i log di accesso

Politica di Utilizzo Difensivo

Questo repository è fornito esclusivamente per:

• Risposta agli incidenti
• Amministrazione difensiva del sistema
• Hardening della sicurezza
• Bonifica dell'infrastruttura

Non per:

• Accesso non autorizzato
• Sfruttamento
• Attività offensiva
• Interruzione di servizio

Gli utenti sono responsabili del rispetto delle leggi e dei regolamenti applicabili.

Contributi

I contributi sono benvenuti.

Aree suggerite:

• Migliore logica di rilevamento
• Riduzione dei falsi positivi
• Compatibilità multi-distro
• Miglioramenti delle prestazioni
• Copertura IOC aggiuntiva

Le Pull Request sono apprezzate.

Supporta Questo Progetto ❤️

Se questo toolkit ha aiutato a proteggere la tua infrastruttura o ha supportato la risposta agli incidenti, considera di supportare la manutenzione continua e la ricerca sulla sicurezza open-source.

☕ Supporta ReselNom

Donazione Sicura

ShurjoPayment

Dona in modo sicuro

Donazione con Criptovaluta

BTC (BEP20 / BSC)

0x9c3d4f8aeb2eb9ab499047d43a7e18fd8212d9f8

Inviare solo BTC (BEP20/BSC) a questo indirizzo.

Il tuo supporto aiuta a finanziare:

• Ricerca sulla sicurezza dell'hosting
• Strumenti per la risposta agli incidenti
• Progetti di sicurezza difensiva open-source
• Test dell'infrastruttura

Grazie per aver supportato ReselNom 🚀

Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files to deal in the Software without restriction.