Krytyczna luka w cPanel i WHM pozwala ominąć logowanie. Aktualizacja wymaga ręcznej interwencji

Wszystkie dotychczasowe wersje cPanel i WebHost Manager (WHM) zawierają krytyczną lukę umożliwiającą nieautoryzowany dostęp do panelu administracyjnego. Podatność oznaczona jako CVE-2026-41940 otrzymała ocenę 9.8 w skali CVSS, co stawia ją wśród najbardziej poważnych zagrożeń. Producent opublikował łatkę, ale wymaga ona ręcznej interwencji administratora.

Jak poważny jest problem

cPanel i WHM to jedne z najpopularniejszych paneli kontrolnych dla serwerów hostingowych opartych na Linuksie. WHM zapewnia kontrolę na poziomie całego serwera, podczas gdy cPanel daje dostęp do zarządzania stroną internetową, pocztą i bazami danych. Oba produkty należą do WebPros International i są szeroko stosowane przez dostawców hostingu ze względu na ustandaryzowany interfejs i łatwość obsługi.

BleepingComputer informuje, że szczegóły techniczne nie zostały jeszcze ujawnione publicznie, ale skala problemu jest na tyle istotna, że firma Namecheap tymczasowo zablokowała dostęp do portów 2083 i 2087 wykorzystywanych przez WHM i cPanel, aby chronić klientów do czasu udostępnienia poprawek.

Jakie wersje wymagają aktualizacji

Producent opublikował zabezpieczone wersje dla wszystkich wspieranych gałęzi oprogramowania. Łatka została wprowadzona w następujących wydaniach: 11.110.0.97, 11.118.0.63, 11.126.0.54, 11.132.0.29, 11.136.0.5 oraz 11.134.0.20. Kluczowe: standardowy mechanizm automatycznych aktualizacji może nie wystarczyć.

Administratorzy muszą ręcznie uruchomić komendę /scripts/upcp –force, która wymusza proces aktualizacji nawet wtedy, gdy system uznaje, że działa już na najnowszej wersji. To nietypowe podejście sugeruje, że producent chciał zapewnić natychmiastowe wdrożenie poprawki bez oczekiwania na standardowy cykl aktualizacji.

Konsekwencje nieautoryzowanego dostępu

Atakujący, który uzyska dostęp do cPanel, kontroluje wszystko w ramach konta hostingowego: strony internetowe, dane, pocztę elektroniczną. Może podrzucić backdoory lub webshelle, przekierować użytkowników do złośliwych lokalizacji, wykraść wrażliwe pliki lub przechwycić hasła z plików konfiguracyjnych. Może również wysyłać spam i phishing z adresów powiązanych z zaatakowanym kontem.

Dostęp do WHM jest jeszcze bardziej krytyczny, ponieważ daje kontrolę nad całym serwerem i wszystkimi hostowanymi na nim stronami. Atakujący może tworzyć i usuwać konta cPanel, ustanawiać trwały dostęp do maszyny i wykorzystywać ją do różnych działań: przekierowywania ruchu przez proxy, rozsyłania spamu, dystrybucji malware lub włączenia do botnetu.

Co powinni zrobić administratorzy

Właściciele serwerów korzystających z cPanel lub WHM powinni niezwłocznie uruchomić proces aktualizacji. Serwery działające na niewspieranych wersjach oprogramowania nie otrzymują poprawek bezpieczeństwa. W takim przypadku konieczne jest przejście na wspieraną wersję przed zastosowaniem łatki.

Warto również zweryfikować logi dostępu do paneli administracyjnych w poszukiwaniu nietypowych sesji lub nieautoryzowanych logowań. Jeśli system był narażony przez dłuższy czas, zaleca się przegląd konfiguracji kont, uprawnień i zainstalowanych skryptów pod kątem śladów potencjalnego włamania.

Kontekst branżowy

Incydent pokazuje, jak krytyczne są panele zarządzania hostingiem dla bezpieczeństwa całego ekosystemu stron internetowych. Pojedyncza luka w tak powszechnie używanym narzędziu może narazić tysiące serwerów i miliony witryn. Namecheap, jeden z większych dostawców hostingu, zareagował proaktywnie, blokując dostęp do wrażliwych portów jeszcze przed publikacją łatki.

Brak publicznych szczegółów technicznych sugeruje, że producent i badacze bezpieczeństwa stosują odpowiedzialny proces ujawniania informacji, dając administratorom czas na wdrożenie poprawek zanim szczegóły trafią do szerszej publiczności. Standardowa praktyka przy lukach o tak wysokim poziomie krytyczności.