Zero-day do LiteSpeed na Hostinger: o que aconteceu e o que você deve fazer

Segundo uma reportagem publicada em 10 de novembro de 2026, um servidor de hospedagem compartilhada da Hostinger em Phoenix (EUA) foi atacado: primeiro o site de um cliente foi comprometido e, em seguida, uma falha até então desconhecida do servidor web LiteSpeed foi explorada. Abaixo, um resumo do incidente e o que você pode fazer para proteger o seu site.

Como o ataque evoluiu?

• 5 de novembro: o atacante assumiu o controle de um sistema de gerenciamento de conteúdo (CMS) vulnerável no site de um cliente do servidor.
• Com uma falha desconhecida do LiteSpeed, ele contornou o CloudLinux CageFS, que isola as contas entre si, e obteve acesso de administrador (root) ao servidor.
• O código rodou como usuário do servidor web, então a atividade se misturava ao tráfego normal.
• Cerca de 400 contas ficaram expostas à execução de código e à leitura de credenciais de banco de dados e tokens de acesso.

O que a Hostinger fez?

• O monitoramento sinalizou atividade suspeita em 8 de novembro e o incidente foi declarado em 9 de novembro.
• O acesso do atacante foi removido, as credenciais internas foram renovadas e as evidências foram preservadas para perícia.
• O servidor afetado foi desligado; as contas foram movidas para outros servidores e restauradas a partir de backups anteriores ao ataque.
• Os clientes afetados foram avisados individualmente por e-mail e a autoridade competente foi notificada.
• Segundo a Hostinger, não há indícios de que o sistema de backup, os sistemas internos de gerenciamento ou os de login tenham sido afetados.

O que ainda não se sabe

A reportagem não informa o número do CVE, as versões afetadas e corrigidas nem indicadores de comprometimento. A Hostinger diz que trabalha com a LiteSpeed em uma correção definitiva e que atualizará seu relatório. Os detalhes podem mudar.

O que você pode fazer?

1. Mantenha o CMS (WordPress etc.), os temas e os plugins atualizados e exclua os que não usa. O primeiro elo da cadeia de ataque foi um site vulnerável.
2. Troque regularmente as senhas de banco de dados e as chaves de API, e imediatamente se seu provedor comunicar um incidente.
3. Use senhas fortes e verificação em duas etapas nas contas de administrador.
4. Faça backups regulares e guarde uma cópia fora da sua hospedagem.
5. Verifique se seu site tem arquivos ou contas de administrador que você não reconhece.
6. Leia com atenção os e-mails de segurança do seu provedor.

Se tiver dificuldade, abra um chamado de suporte.

Fonte

Este artigo é nosso próprio resumo da declaração da Hostinger conforme relatada pelo webhosting.today. Não analisamos separadamente a publicação oficial do blog da Hostinger.