Uma vulnerabilidade recém-divulgada no Plesk Backup Manager pode permitir que usuários com privilégios baixos escalem privilégios e obtenham acesso root completo em servidores Linux afetados. Rastreada como CVE-2026-68488, a falha decorre de uma condição de corrida de symlink durante operações de restauração de conteúdo de assinatura.
Detalhes técnicos da vulnerabilidade
A vulnerabilidade existe no fluxo de trabalho do Backup Manager usado para restaurar conteúdo pertencente a uma assinatura de cliente. Um usuário com acesso ordinário ao Painel Plesk e acesso FTP à sua própria assinatura hospedada pode explorar uma condição de corrida envolvendo links simbólicos (symlinks).
Links simbólicos são objetos de sistema de arquivos que apontam para outro arquivo ou diretório. Neste caso, um atacante pode tentar substituir ou manipular um caminho durante o processo de restauração para que o Plesk altere a propriedade de um arquivo ou diretório fora da assinatura atribuída ao atacante.
Como as operações de restauração podem ser executadas com privilégios elevados, uma corrida bem-sucedida pode permitir que o atacante altere a propriedade de arquivos que deveriam ser inacessíveis. Obter controle sobre um arquivo ou diretório sensível pode então ser aproveitado para alcançar acesso completo ao nível root no servidor Linux subjacente.
Ambientes afetados
A questão afeta instalações do Plesk Obsidian executando versões do Plesk para Linux 18.0.80.6 e anteriores, bem como 18.0.79.10 e anteriores. O Plesk para Windows não é afetado. A vulnerabilidade é particularmente significativa para ambientes de hospedagem compartilhada, servidores gerenciados e implantações multi-tenant do Plesk.
Em tais configurações, os clientes geralmente recebem permissões limitadas do Painel e FTP. Eles não devem ser capazes de interagir com arquivos do sistema operacional, outras assinaturas de clientes ou recursos administrativos. O CVE-2026-68488 quebra essa fronteira de segurança, permitindo potencialmente que uma conta de cliente afete arquivos fora de seu próprio ambiente de hospedagem.
Um atacante precisaria de acesso válido a uma assinatura do Plesk, o que significa que a falha não é uma vulnerabilidade de execução remota de código não autenticada. No entanto, o impacto permanece grave porque a exploração bem-sucedida pode resultar em comprometimento total do servidor.
Impacto para provedores de hospedagem
Para provedores de hospedagem, esta vulnerabilidade representa um risco significativo de isolamento de clientes. Em ambientes multi-tenant, a capacidade de um cliente comprometer o servidor subjacente ou acessar dados de outros clientes pode levar a violações de dados em massa e perda de confiança.
A exploração desta falha pode permitir que atacantes implantem backdoors, roubem dados de clientes ou usem o servidor como ponto de partida para ataques adicionais na rede. A natureza da falha significa que a exploração pode ser difícil de detectar sem monitoramento proativo de alterações de propriedade de arquivos e atividades de restauração.
Medidas de mitigação e correção
O Plesk lançou versões corrigidas para as ramificações de produto Linux afetadas. As organizações que usam a linha de lançamento 18.0.80 devem atualizar para o Plesk Obsidian 18.0.80.7 ou posterior. Aqueles que usam a ramificação 18.0.79 devem atualizar para a versão 18.0.79.11 ou posterior.
Os administradores devem priorizar o patching de servidores Plesk voltados para a internet e multi-tenant, especialmente sistemas onde os clientes têm acesso FTP e podem acionar funcionalidades relacionadas a backup ou restauração. Os provedores de hospedagem também devem revisar contas de usuário do Plesk, permissões de assinatura e atividade recente de restauração para alterações inesperadas de propriedade.
Equipes de segurança podem procurar modificações incomuns de propriedade de arquivos fora das raízes da web do cliente, links simbólicos inesperados dentro de diretórios de assinatura e atividade suspeita envolvendo operações de restauração do Backup Manager. Revisar alterações de sistema de arquivos privilegiadas e logs de autenticação pode ajudar a identificar explorações tentadas.
Recomendações para CISOs e equipes de SOC
1. Atualizar imediatamente o Plesk para as versões corrigidas mais recentes. 2. Revisar logs de restauração do Backup Manager para atividades incomuns. 3. Monitorar alterações de propriedade de arquivos em diretórios de assinatura. 4. Implementar controles de acesso estritos para operações de backup e restauração. 5. Realizar auditorias de segurança regulares em ambientes de hospedagem compartilhada.
Comparação com ataques anteriores
Esta vulnerabilidade assemelha-se a outros casos de escalonamento de privilégios em software de gerenciamento de servidores, onde condições de corrida ou falhas de validação de caminho permitem que usuários não privilegiados ganhem acesso administrativo. No entanto, a natureza específica do Plesk Backup Manager e seu uso generalizado em ambientes de hospedagem compartilhada tornam esta falha particularmente crítica.
A exploração desta falha não requer acesso inicial ao servidor, mas sim uma assinatura de cliente válida, o que pode ser obtido através de phishing ou credenciais roubadas. Isso destaca a importância de proteger não apenas os sistemas administrativos, mas também as contas de clientes em plataformas de hospedagem.
Perguntas frequentes
Esta vulnerabilidade afeta o Plesk para Windows? Não, a vulnerabilidade afeta apenas as instalações do Plesk para Linux.
É necessário reiniciar o servidor após a atualização? Recomenda-se reiniciar os serviços do Plesk após a atualização para garantir que as correções sejam aplicadas corretamente.
Como posso verificar se meu servidor está vulnerável? Verifique a versão do Plesk Obsidian instalada. Se for 18.0.80.6 ou anterior, ou 18.0.79.10 ou anterior, o servidor está vulnerável.