CVE-2026-67397 en Plesk: una cuenta sin privilegios puede llegar a root

Compara el número completo, incluido el micro-update. El archivo /usr/local/psa/version puede no mostrarlo con suficiente precisión; la interfaz o plesk version son mejores para esta comprobación.

• 18.0.79.9 o menor: expuesto.
• 18.0.80.0 a 18.0.80.5: expuesto.
• 18.0.79.10 o 18.0.80.6: contiene la corrección publicada.
• Una versión posterior debe verificarse contra sus notas de actualización, pero no conviene posponerla.

Cómo actualizar Plesk

Primero valida backups y acceso de consola. En la interfaz: Tools & Settings → Updates → Install or Update Product → Continue. En Linux también puede iniciarse desde CLI:

Plesk advierte que el panel puede quedar inaccesible algunos minutos durante la actualización, mientras los sitios continúan en línea; el instalador usa el puerto 8447. No cierres tu única sesión administrativa sin comprobar que tienes una ruta de recuperación.

¿Actualizar demuestra que el servidor está limpio?

No. Actualizar cierra el camino conocido; no elimina una intrusión ocurrida antes. Como el aviso no ofrece IOCs específicos, el diagnóstico público solo puede ser una revisión de anomalías, no una prueba concluyente.

Estos comandos ayudan a descubrir cambios recientes en persistencia, listeners y cuentas, pero generan falsos positivos y pueden omitir actividad maliciosa. Complementa con:

• /var/log/plesk/panel.log y logs de autenticación;
• nuevas claves en /root/.ssh/authorized_keys;
• usuarios, cron jobs, timers y unidades systemd inesperados;
• PHP, binarios o scripts nuevos en rutas web y temporales;
• cambios en credenciales, tokens API, correo y copias remotas.

Prioridad de respuesta según el servidor

Si encuentras señales sospechosas

1. Aísla el servidor o limita el acceso sin destruir evidencia.
2. Captura hora, procesos, conexiones, logs y cambios de archivos.
3. Rota credenciales y secretos después de contener el host.
4. Revisa otros sistemas que compartan llaves, tokens o contraseñas.
5. Si no puedes descartar control root, considera reconstruir desde una imagen confiable y restaurar datos verificados.

También conviene revisar nuestro análisis anterior de CVE-2026-65647 en Plesk: dos fallos distintos pueden compartir el mismo impacto final, pero no deben tratarse como el mismo incidente.

Qué sabemos y qué no sabemos

Sabemos quién puede iniciar el ataque —un usuario Plesk sin privilegios—, el impacto —código como root—, las ramas afectadas y las versiones corregidas. Al cierre de esta edición no hay detalle público de causa raíz, exploit, IOCs, CVSS de Plesk ni número de incidentes. El CVE tampoco aparecía en la instantánea del catálogo CISA KEV consultada el 2 de septiembre; la ausencia en KEV no demuestra ausencia de explotación.

Preguntas frecuentes

¿Basta con bloquear el acceso público al panel?

Reduce exposición, pero no reemplaza el parche: el actor descrito ya posee una cuenta Plesk. Actualiza.

¿Plesk en Windows es vulnerable?

No a CVE-2026-67397, según el aviso oficial del 2 de septiembre de 2026.

¿Debo reinstalar todo?

No automáticamente. Si solo confirmas versión vulnerable, actualiza y revisa. Si existe evidencia o no puedes descartar acceso root, una reconstrucción confiable es más segura que “limpiar” a ciegas.