PT-2026-41935 · Hestiacp · Hestiacp

Divinity76 + 1 · Publicado 2026-05-19 · Atualizado 2026-05-30 · CVE-2026-43634

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas HestiaCP versões 1.2.0 a 1.9.4

Descrição Um problema de spoofing de IP permite que atacantes remotos não autenticados ignorem controles de segurança de autenticação. Isso ocorre quando o sistema aceita um endereço IP arbitrário fornecido no cabeçalho HTTP 'CF-Connecting-IP' sem verificar se a requisição realmente originou-se da rede Cloudflare. A exploração permite que atacantes contornem a proteção contra força bruta do fail2ban, ignorem listas de permissão de IP por usuário e poluam os logs de auditoria de autenticação simulando endereços IP confiáveis.

Recomendações Atualize o HestiaCP para uma versão posterior à 1.9.4. Como mitigação temporária, restrinja o acesso ao painel de controle ou configure o servidor para aceitar cabeçalhos 'CF-Connecting-IP' apenas de intervalos de IP verificados da Cloudflare.

Exploit

Correção

Enumeração de Fraquezas

CWE-348

Identificadores relacionados

CVE-2026-43634

Produtos afetados

Hestiacp

Referências · 9

• 🔥 https://mercuryiss.com.au/hestiacp-unauthenticated-rce-ip-spoofing-cve-2026-43633-cve-2026-43634 · Exploit
• https://github.com/hestiacp/hestiacp/commit/f381e294500f671cf12716c638afd0bfde901f88 · Correção
• https://github.com/hestiacp/hestiacp/pull/5273 · Nota
• https://github.com/hestiacp/hestiacp/issues/5229 · Nota
• https://twitter.com/CVEnew/status/2056870224582885800 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2056771064588337175 · Publicação no Twitter
• https://twitter.com/DFIR_Lab/status/2060517888893538307 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-43634 · Nota de Segurança
• https://vulncheck.com/advisories/hestiacp-ip-spoofing-via-cf-connecting-ip-header · Nota