Indice dell'articolo
La CVE-2026-67394 riguarda Plesk per Linux e può consentire a un cliente o reseller con accesso shell - oppure autorizzato a modificare il proprio accesso shell - di ottenere privilegi root sul server. Plesk per Windows non risulta coinvolto.
Che cos’è la CVE-2026-67394
L’advisory ufficiale Plesk descrive il problema come una vulnerabilità di escalation locale dei privilegi. NVD la classifica come una OS command injection e associa il record alla debolezza CWE-78.
Il prerequisito operativo indicato dalle fonti è la disponibilità dell’accesso shell per un account cliente o reseller, oppure la possibilità per tale account di cambiare autonomamente l’impostazione di accesso shell.
Versioni interessate e versioni corrette
| Prodotto | Versioni interessate | Versioni corrette |
|---|---|---|
| Plesk per Linux | Da 18.0.34 a 18.0.79.8; da 18.0.80 a 18.0.80.4 | 18.0.79.9; 18.0.80.5; versioni successive |
| Plesk per Windows | Non interessato | Non applicabile |
I limiti riportati nella tabella seguono l’advisory Plesk. Il record NVD rappresenta gli stessi intervalli come 18.0.34 < 18.0.79.9 e 18.0.80 < 18.0.80.5.
Verifica e aggiornamento da riga di comando
Eseguire i comandi con privilegi amministrativi su ciascun server Plesk per Linux. Prima dell’intervento, applicare le normali procedure interne di backup, finestra di manutenzione e rollback.
1. Rilevare la versione installata
plesk versionIn alternativa, Plesk documenta anche:
plesk -vConfrontare il numero restituito con la tabella precedente.
2. Installare l’ultima build disponibile
plesk installer --select-release-latest --upgrade-installed-componentsQuesto è il comando indicato dalla documentazione Plesk per aggiornare all’ultima release e aggiornare i componenti installati. Durante l’operazione il pannello può non essere accessibile per alcuni minuti; secondo Plesk, i siti restano online.
3. Verificare l’esito
plesk versionIl server deve riportare almeno 18.0.79.9 sul ramo 18.0.79 oppure almeno 18.0.80.5 sul ramo 18.0.80. Plesk raccomanda queste build o una versione successiva.
Mitigazione temporanea se non è possibile aggiornare subito
Plesk precisa che non esiste una mitigazione quando l’accesso shell è necessario: in quel caso occorre aggiornare. Se clienti e reseller non necessitano della shell, è possibile impedirne l’uso come misura temporanea.
- Individuare sottoscrizioni e domini per i quali l’accesso shell non è necessario.
- Per ogni elemento, aprire Domini > example.com > Impostazioni di hosting, oppure le impostazioni dello spazio web del cliente o reseller.
- Impostare Accesso shell al server su Vietato.
- Verificare che il piano di servizio applicato non consenta al cliente o reseller di modificare l’accesso shell.
Questa configurazione è una misura provvisoria indicata da Plesk solo quando l’aggiornamento immediato non è possibile; non sostituisce l’installazione della versione corretta.
Checklist operativa per hosting provider e MSP
- Creare l’inventario di tutti i nodi Plesk per Linux e registrare versione e build.
- Separare i sistemi già corretti da quelli inclusi negli intervalli interessati.
- Identificare clienti e reseller con accesso shell o con facoltà di modificarlo.
- Aggiornare i server interessati a 18.0.79.9, 18.0.80.5 o versione successiva.
- Ripetere
plesk versiondopo l’aggiornamento e conservare l’esito per ciascun nodo. - Se l’aggiornamento è temporaneamente bloccato, disabilitare la shell dove non serve e rimuovere dai piani la facoltà di riabilitarla.
- Non considerare mitigato un server sul quale la shell deve rimanere disponibile: Plesk richiede l’aggiornamento.
- Aprire un’eccezione operativa per ogni nodo che non completa l’aggiornamento, senza chiudere l’attività finché la build corretta non è verificata.
Se vuoi delegare aggiornamenti, backup verificati e monitoraggio dei server, scopri le VPS gestite MSP In Cloud.
Domande operative
La mitigazione basta? No, se clienti o reseller devono mantenere la shell: in quel caso Plesk indica l’aggiornamento come unica correzione.
Plesk per Windows è coinvolto? No, l’advisory riguarda Plesk per Linux.
Serve aggiornare anche se nessun cliente usa la shell? Sì. Disabilitarla riduce temporaneamente l’esposizione, ma non sostituisce la build corretta.