技术说明
2.4.5 版本之前的 LiteSpeed User-End cPanel Plugin 包含一个权限提升漏洞，该漏洞源于 Redis 启用/禁用功能中的错误权限分配（CWE-266）。该插件的 redisAble JSON API 函数在执行特权操作之前未正确验证授权，允许任何 cPanel 用户账户——或未经身份验证的网络攻击者——提升权限，可能提升至 root。该漏洞在 2026 年 5 月被在野外利用，并于 2026 年 5 月 26 日被添加到 CISA 已知被利用漏洞目录中，联邦截止日期为 2026 年 5 月 29 日。
攻击途径
网络可访问，无需身份验证。攻击者向针对 cpanel_jsonapi_func=redisAble 的 cPanel JSON API 发送精心制作的 HTTP 请求。检测：在 cPanel 日志中搜索 'cpanel_jsonapi_func=redisAble' 以识别利用尝试。
受影响系统
2.4.5 版本之前的 LiteSpeed User-End cPanel Plugin。父级 LiteSpeed WHM Plugin 不受影响。共享和经销商托管环境风险较高：一个被入侵的 cPanel 账户可以在共享服务器上提升至 root。
缓解措施
升级到 LiteSpeed User-End cPanel Plugin 2.4.5 或更高版本（根据 LiteSpeed 发布日志，推荐使用 2.4.7 版本配合 WHM Plugin 5.3.1.0 捆绑包）。在 /var/cpanel/logs 和 /usr/local/cpanel/logs/ 中搜索 'cpanel_jsonapi_func=redisAble' 以识别先前的利用。联邦机构必须在 2026 年 5 月 29 日之前进行修复。