Falla en Plesk Backup Manager permite a usuarios con bajos privilegios obtener acceso root a los servidores

Una vulnerabilidad recientemente revelada en Plesk Backup Manager podría permitir a los usuarios con pocos privilegios escalar privilegios y obtener acceso root completo en los servidores Linux afectados. Seguido como CVE-2026-68488, la falla proviene de una condición de carrera de enlace simbólico durante las operaciones de restauración de contenido de suscripción.

Según Plesk, la vulnerabilidad existe en el flujo de trabajo de Backup Manager utilizado para restaurar el contenido perteneciente a una suscripción de cliente. Un usuario con acceso ordinario al Panel de Plesk y acceso FTP a su propia suscripción alojada puede explotar una condición de carrera que implique enlaces simbólicos (enlaces simbólicos). Defecto de Plesk Backup Manager Debido a que las operaciones de restauración pueden ejecutarse con privilegios elevados, una carrera exitosa podría permitir que el atacante cambie la propiedad de los archivos que deberían ser inaccesibles. Obtener el control sobre un archivo o directorio confidencial podría aprovecharse para lograr un acceso completo a nivel raíz al servidor Linux subyacente.

Un atacante necesitaría acceso válido a una suscripción de Plesk, lo que significa que la falla no es una vulnerabilidad de ejecución remota de código no autenticada. La publicación Plesk Backup Manager Flaw Lets Low-Privileged Users Gain Root Access to Servers apareció primero en Cyber Security News.

Consultar publicación original ↗