Krytyczna luka w cPanel i WHM: ataki trwają, administratorzy muszą działać
Atakujący wykorzystują podatność CVE-2026-41940 w popularnym panelu hostingowym cPanel i WHM. Luka umożliwia przejęcie kont bez hasła. Administratorzy powinni natychmiast zastosować łatkę.
Administratorzy serwerów korzystających z paneli cPanel i WHM muszą pilnie zaktualizować oprogramowanie. W ostatnich dniach potwierdzono aktywne wykorzystywanie krytycznej podatności CVE-2026-41940, która pozwala atakującym na przejęcie kontroli nad serwerem bez znajomości hasła. Problem załatano w trybie awaryjnym, ale skala zagrożenia jest poważna – na celowniku znalazły się setki tysięcy serwerów na całym świecie.
Jak działa luka i kogo dotyczy?
Luka CVE-2026-41940 to błąd pominięcia uwierzytelnienia (ang. authentication bypass), któremu przyznano maksymalną ocenę 9.8 w skali CVSS. Oznacza to, że jej wykorzystanie jest stosunkowo łatwe i nie wymaga żadnych specjalnych uprawnień. Według analizy firmy watchTowr problem wynika z nieprawidłowego przetwarzania danych w nagłówkach zapytań – atakujący może wstrzyknąć kod CRLF (Carriage Return Line Feed) do sesji, co prowadzi do pominięcia logowania.
Podatność dotyczy wszystkich wersji cPanel/WHM od 11.40 wzwyż, a także pokrewnego narzędzia WP Squared – platformy do zarządzania hostingiem WordPress. Dostawcy usług hostingowych, tacy jak Namecheap, w obawie przed atakami tymczasowo zablokowali dostęp do kluczowych portów (2083, 2087, 2095, 2096). Jak przekazał KnownHost, pierwsze próby exploitacji obserwowano już 23 lutego 2026 roku – na długo przed publikacją łatki.
Konsekwencje dla administratorów i klientów
Skuteczne wykorzystanie luki daje atakującemu pełną kontrolę nad kontem hostingowym w cPanel. Osoba taka może modyfikować strony, wykradać dane, instalować złośliwe oprogramowanie, a także wysyłać spam lub phishing z zaufanej domeny. W przypadku WHM, które zarządza całym serwerem, konsekwencje są jeszcze poważniejsze – atakujący może zakładać i usuwać konta, uzyskać trwały dostęp do maszyny i wykorzystywać ją jako element botnetu. Rapid7 szacuje, że w internecie jest około 1,5 miliona instancji cPanelu, choć nie wiadomo, ile z nich jest podatnych.
Co ważne, publicznie dostępne są już szczegóły techniczne oraz gotowe narzędzia do weryfikacji podatności. watchTowr opublikowało skrypt do generowania artefaktów detekcyjnych, pojawiły się również informacje o działających exploitach. Oznacza to, że ataki mogą być przeprowadzane przez mniej doświadczonych cyberprzestępców.
Jak się chronić – konkretne kroki
Producent, firma cPanel (WebPros International), wydał łatki w następujących wersjach:
- cPanel/WHM 11.110.0 → 11.110.0.97
- cPanel/WHM 11.118.0 → 11.118.0.63
- cPanel/WHM 11.126.0 → 11.126.0.54
- cPanel/WHM 11.132.0 → 11.132.0.29
- cPanel/WHM 11.134.0 → 11.134.0.20
- cPanel/WHM 11.136.0 → 11.136.0.5
- WP Squared 11.136.1 → 11.136.1.7
Aby zastosować aktualizację, administratorzy powinni uruchomić polecenie /scripts/upcp –force, które wymusza pobranie najnowszej wersji nawet wtedy, gdy system uważa, że jest już aktualny. Po aktualizacji zaleca się restart usługi cpsrvd.
Jeśli natychmiastowe załatanie nie jest możliwe, należy:
- zablokować zewnętrzny dostęp do portów 2083, 2087, 2095 i 2096
- zatrzymać usługi cpsrvd i cpdavd
- tymczasowo przenieść panele za VPN lub firewalle
cPanel udostępnił także skrypt do wykrywania kompromitacji. W przypadku znalezienia śladów ataku konieczne jest wyczyszczenie sesji, zresetowanie wszystkich haseł i kluczy API, audyt logów oraz sprawdzenie, czy nie pozostawiono backdoorów.
Co dalej – monitoring i odpowiedzialność
Sytuacja wokół CVE-2026-41940 pokazuje, jak ważne jest szybkie reagowanie na komunikaty bezpieczeństwa. Administratorzy serwerów hostingowych powinni regularnie sprawdzać biuletyny cPanel i wdrażać aktualizacje w ciągu kilkunastu godzin od publikacji. Dla użytkowników końcowych, którzy wykupili hosting u dostawcy, dobrym pomysłem jest upewnienie się, że ich firma hostingowa potwierdziła instalację poprawek.
Zagrożenie nie zniknie wraz z łatką – ataki będą kontynuowane na niezałatane systemy. Dlatego kluczowe jest, aby administratorzy nie zwlekali z działaniem. W razie wątpliwości warto skontaktować się z zespołem bezpieczeństwa producenta lub zaufanym konsultantem.
