Il 4 agosto cPanel ha rilasciato una patch d’emergenza per una vulnerabilità valutata 9,4 su 10: CVE-2026-58048. Riguarda tutte le versioni supportate di cPanel e WHM — cioè il pannello di controllo su cui gira la quasi totalità degli hosting condivisi, inclusi quelli dei principali provider italiani.
La traduzione dal tecnico all’italiano è semplice e sgradevole. Su un server condiviso ci sono decine o centinaia di clienti diversi. La falla consente a uno qualsiasi di quei clienti — uno che ha pagato regolarmente il suo piano e ha accesso alla funzione MySQL — di eseguire comandi nel database come amministratore. Non solo sul proprio database: potenzialmente su quelli degli altri clienti dello stesso server. A seconda di come è configurata la macchina, si può arrivare a compromettere il sistema operativo.
Il difetto nasce da un dettaglio banale: la modalità SQL non viene conservata quando si rinomina un database. Da lì si esce dal proprio recinto.
Fonte: Avvisi di sicurezza cPanel, 4 agosto 2026
Perché stavolta non puoi fare l’aggiornamento tu
È questo il punto che rende la notizia diversa dal solito bollettino. Quando esce una falla di WordPress o di un plugin, l’imprenditore (o la sua agenzia) entra nel pannello e aggiorna. Qui no: cPanel lo aggiorna il provider di hosting, non il cliente. Chi ha il sito su un piano condiviso non ha alcun accesso alla leva che risolve il problema.
Quindi l’unica azione disponibile è anche l’unica che conta: chiedere. E chiedere in modo che la risposta sia verificabile, non rassicurante.
Costo dell’operazione: cinque minuti. Il valore però non è solo nella patch. È nella qualità della risposta: un provider serio risponde con la versione installata e una data. Se ti arriva un «i nostri sistemi sono costantemente monitorati» senza un numero di versione, hai appena imparato qualcosa di importante sul fornitore a cui hai affidato il sito aziendale — e vale per la prossima falla, non solo per questa.
Il contesto onesto: nessun allarme rosso
Va detto con precisione, perché la differenza conta. Al momento della pubblicazione degli avvisi non risultava sfruttamento attivo della vulnerabilità. Non c’è una campagna di attacchi in corso di cui si abbia notizia, e non c’è motivo di spegnere niente stanotte.
Ma le falle di questo tipo hanno una dinamica prevedibile: il dettaglio tecnico diventa pubblico, qualcuno scrive il codice per sfruttarla, e la finestra tra la patch e i primi attacchi reali si misura in giorni. Chi si muove nella settimana giusta non se ne accorge nemmeno. Chi arriva dopo lo scopre dal sito che non c’è più.
Se gestisci tu il server
Il discorso cambia se hai un VPS o un server dedicato con cPanel amministrato in casa o dal tuo consulente IT. In quel caso l’aggiornamento va applicato subito da WHM o dallo script di aggiornamento da riga di comando.
Se per qualche ragione non puoi aggiornare nell’immediato, la mitigazione tampone indicata è revocare temporaneamente la funzione MySQL agli utenti cPanel: impedisce le modifiche ai database senza cancellare quelli esistenti. È una toppa, non una soluzione: il sito che usa il database continua a funzionare, ma i clienti non possono più creare o rinominare database finché non si aggiorna.
Il sito aziendale raramente è solo una vetrina: contiene l’anagrafica dei contatti, i moduli di richiesta preventivo, spesso l’e-commerce. È un asset con dentro dati di clienti veri. Trattarlo come tale significa, ogni tanto, mandare una mail scomoda al fornitore.