==============================================================================
  LA FALLA DE CPANEL NO NECESITA ROMPER LA PUERTA: LE BASTA CON SER CLIENTE
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/cpanel-cve-2026-58048-hosting-compartido-chile
  Publicado:   2026-08-05  (hora de Chile)
  Ambito:      chile   ·   Criticidad: critica
  Descargado:  2026-10-12 06:59  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Registros de acceso a tu propio panel de cPanel, si el proveedor te los expone
  · Registros de correo saliente de tus dominios: el spam es la primera señal visible
  · Monitoreo de integridad sobre los archivos de tu sitio
  · Telemetría de red corporativa hacia los puertos del panel (2082-2087, 2095, 2096)

==============================================================================
  REGLA 1 de 3   ·   SPLUNK - SPL
  Accesos anómalos al panel de hosting y a phpMyAdmin
==============================================================================
  Requiere: Registros de proxy con URL completa, o del propio panel si el proveedor los entrega

index=proxy OR index=web earliest=-60d
| eval ruta = lower(url)
| eval panel = if(match(ruta, ":(2082|2083|2086|2087|2095|2096)/"), 1, 0)
| eval phpmyadmin = if(match(ruta, "(phpmyadmin|/sql/|pma_)"), 1, 0)
| where panel=1 OR phpmyadmin=1
| stats count AS accesos, dc(src_ip) AS ips_distintas, values(src_ip) AS origenes,
        min(_time) AS primero, max(_time) AS ultimo by ruta, user
| convert ctime(primero) ctime(ultimo)
| where ips_distintas > 1 OR accesos > 50
| sort - accesos

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  Conexiones a puertos de cPanel desde equipos corporativos
==============================================================================
  Requiere: Defender for Endpoint en los equipos que administran el sitio

// Accesos al panel de hosting desde fuera de la red corporativa
let puertos_cpanel = dynamic([2082, 2083, 2086, 2087, 2095, 2096]);
let rangos_propios = dynamic(["10.0.0.0/8","172.16.0.0/12","192.168.0.0/16"]);
DeviceNetworkEvents
| where Timestamp > ago(60d)
| where RemotePort in (puertos_cpanel)
| extend Interno = ipv4_is_in_any_range(LocalIP, rangos_propios)
| summarize Conexiones = count(), Equipos = make_set(DeviceName, 10),
            Cuentas = make_set(InitiatingProcessAccountName, 10)
        by RemoteIP, RemotePort, bin(Timestamp, 1d)
| order by Timestamp desc

==============================================================================
  REGLA 3 de 3   ·   SIGMA (canonica, neutral)
  Consulta formal al proveedor (plantilla)
==============================================================================
  Requiere: Nada técnico. Es el control más efectivo que tienes en este caso: úsalo hoy

Asunto: Consulta formal - CVE-2026-58048 en cPanel/WHM

Estimados,

Solicitamos confirmacion por escrito sobre la alerta AVC26-00727 de la Agencia Nacional
de Ciberseguridad, referida a CVE-2026-58048 (CVSS 9.4) en cPanel/WHM:

1. Version de cPanel/WHM en ejecucion en el servidor que aloja nuestro servicio,
   y fecha en que se aplico el parche.
2. Si aun no se aplica: fecha comprometida y si se implemento la medida temporal
   recomendada por el fabricante (revocar la herramienta MySQL a los usuarios cPanel).
3. Si se realizo revision de compromiso posterior al parche, y con que alcance.
4. Si nuestro servicio comparte servidor con otros clientes y, de ser asi, si detectaron
   actividad anomala en cuentas vecinas durante agosto de 2026.
5. Procedimiento y plazo de notificacion ante un incidente que afecte nuestros datos.

Esta consulta forma parte de nuestras obligaciones de diligencia sobre proveedores.
Agradecemos respuesta por escrito.


==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  La regla de accesos al panel va a marcar tu propia administración
  legítima: filtra por las IP desde las que trabajan tú y tu agencia. Lo que
  buscas es acceso desde orígenes o en horarios que nadie reconozca.

  Ninguna de estas reglas detecta la explotación de CVE-2026-58048 en sí, y
  es importante no engañarse al respecto: esa ocurre dentro del servidor del
  proveedor, donde no tienes visibilidad. Detectan consecuencias, no la
  causa.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================