CVE-2026-54420

litespeedtech litespeed cpanel plugin, litespeedtech litespeed whm plugin

TLP:CLEAR

csirt@kutim:~/threat-intel/cve/CVE-2026-54420

Katalog CVE

CVSS 8.5 · High KEV · sudah dieksploitasi EPSS 0,81%

Kerentanan UNIX Symbolic Link (Symlink) Following pada litespeedtech litespeed cpanel plugin, litespeedtech litespeed whm plugin. Skor CVSS 3.1 8.5 (High) menurut mitre.org. Masuk katalog KEV CISA pada 15 Juni 2026, artinya sudah terbukti dieksploitasi.

Deskripsi (NVD)

LiteSpeed cPanel plugin before 2.4.8 (as distributed in LiteSpeed WHM PlugIn before 5.3.2.0) mishandles symlinks provided by a user with FTP or web shell access on a shared hosting server running CloudLinux/CageFS, as exploited in the wild in May 2026.

Rincian

Terbit di NVD
14 Juni 2026
Terakhir diubah
23 Juli 2026
Status NVD
Analyzed
CVSS 3.1
8.5 (High), sumber mitre.org
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H · uraikan di kalkulator
Jenis kelemahan (CWE)
CWE-61: UNIX Symbolic Link (Symlink) Following
EPSS (30 hari)
0,81% peluang dieksploitasi; lebih tinggi dari 55,6% CVE lain

Known Exploited Vulnerabilities (CISA)

Nama
LiteSpeed cPanel Plugin UNIX Symbolic Link (Symlink) Following Vulnerability
Masuk KEV
15 Juni 2026
Tenggat CISA
18 Juni 2026 (untuk instansi federal AS)
Ransomware
Belum tercatat
Tindakan wajib
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Produk dan versi terdampak

VendorProdukVersi terdampak
litespeedtech litespeed cpanel plugin Semua versi sebelum 2.4.8
litespeedtech litespeed whm plugin Semua versi sebelum 5.3.2.0

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

Sumber: NVD · CVE.org · KEV CISA · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.