Hostinger informó que un atacante ejecutó código o leyó credenciales en unas 400 cuentas de un servidor en Phoenix, Estados Unidos. La compañía comunicó el incidente el 9 de noviembre y confirmó al día siguiente la instalación del parche LiteSpeed 6.3.7 Build 9 en todo su hosting compartido. Informe de Hostinger.
Según su investigación, el acceso inicial ocurrió el 5 de noviembre mediante un gestor de contenidos vulnerable. Una falla hasta entonces desconocida de LiteSpeed permitió después superar el aislamiento entre cuentas y obtener privilegios de administrador. Cronología del incidente.
El registro de cambios de LiteSpeed confirma que Build 9 se publicó el 10 de noviembre. Describe una corrección en el tratamiento de configuraciones de Apache para impedir accesos no autorizados a archivos fuera del directorio del sitio y la ejecución de scripts sin suEXEC. El fabricante identifica expresamente el problema como un escape de CageFS. Registro de cambios de LiteSpeed.
CageFS es el mecanismo de CloudLinux que crea un entorno separado para cada usuario. Su documentación explica que restringe la visibilidad de otros clientes, procesos y archivos de configuración del servidor, y contempla la ejecución de scripts mediante LiteSpeed. Ese diseño permite comprender el alcance técnico de una falla que atraviesa la separación entre cuentas alojadas en una misma máquina. Documentación de CloudLinux.
La corrección también figura en la versión de prueba 6.4 RC2 Build 7, publicada el mismo día. La documentación del proveedor acredita la disponibilidad de ambos cambios, pero no ofrece una auditoría independiente del número de cuentas afectadas en Hostinger. Versiones corregidas.
Hostinger trasladó las cuentas a otros servidores y restauró los sitios afectados desde respaldos previos. Declaró que no encontró evidencia de compromiso en sus sistemas de gestión, respaldos o acceso a cuentas de clientes. La investigación continúa. Medidas y alcance comunicado.
El episodio tiene un antecedente cercano. El 16 de septiembre, la empresa reportó otro ataque contra un servidor en Brasil que también explotó una vulnerabilidad desconocida de LiteSpeed y atravesó límites de aislamiento. En esa ocasión, informó el despliegue de la versión 6.3.7 Build 2. Se trata de incidentes y correcciones diferentes, por lo que el parche de septiembre no debe confundirse con el publicado para Phoenix. Informe del incidente de septiembre.