Krytyczna luka w cPanel i WHM wykorzystywana w atakach. Administratorzy muszą działać szybko
CVE-2026-41940 to podatność pozwalająca na ominięcie uwierzytelniania w cPanel i WHM. Ataki trwają od końca lutego. Administratorzy powinni natychmiast zaktualizować oprogramowanie.
W panelach zarządzania hostingiem cPanel i WHM wykryto krytyczną podatność CVE-2026-41940, która pozwala atakującemu ominąć uwierzytelnianie i przejąć kontrolę nad serwerem. Jak wynika z informacji opublikowanych przez firmę BleepingComputer, exploit jest już dostępny, a próby ataków odnotowano już pod koniec lutego 2026 roku. Administratorzy powinni jak najszybciej zaktualizować oprogramowanie lub wdrożyć tymczasowe zabezpieczenia.
Co wiemy o podatności CVE-2026-41940
Luka polega na iniekcji CRLF (Carriage Return Line Feed) w procesie logowania i ładowania sesji w cPanel i WHM. Oznacza to, że atakujący może manipulować nagłówkami żądań HTTP, aby zapisać własne dane w plikach sesji serwera – jeszcze przed weryfikacją hasła. W efekcie możliwe jest zalogowanie się do panelu bez podania poprawnego hasła.
Firma watchTowr, specjalizująca się w testach penetracyjnych, opublikowała szczegółową analizę techniczną, która może posłużyć do stworzenia działającego exploita. Z kolei Rapid7 ostrzega, że „skuteczne wykorzystanie CVE-2026-41940 daje atakującemu kontrolę nad systemem hosta cPanel, jego konfiguracją, bazami danych oraz zarządzanymi stronami internetowymi”.
Skala zagrożenia i dotknięte wersje
Według danych z Shodan, w Internecie dostępnych jest około 1,5 miliona instancji cPanel. Nie wiadomo, ile z nich jest podatnych na CVE-2026-41940, ale skala potencjalnego ryzyka jest ogromna. Luka dotyczy wszystkich wersji cPanel/WHM po 11.40, a także WP Squared – narzędzia do zarządzania hostingiem WordPress opartego na cPanel.
Firma hostingowa KnownHost poinformowała, że próby wykorzystania podatności widziano już 23 lutego 2026, na długo przed publicznym ujawnieniem problemu. Z kolei Namecheap tymczasowo zablokował dostęp do portów 2083 i 2087, aby chronić swoich klientów.
Jak się zabezpieczyć – praktyczne kroki
Producent udostępnił już łatki dla wszystkich dotkniętych wersji. Poniżej lista wersji zawierających poprawkę:
- cPanel/WHM 11.110.0 → 11.110.0.97
- cPanel/WHM 11.118.0 → 11.118.0.63
- cPanel/WHM 11.126.0 → 11.126.0.54
- cPanel/WHM 11.132.0 → 11.132.0.29
- cPanel/WHM 11.134.0 → 11.134.0.20
- cPanel/WHM 11.136.0 → 11.136.0.5
- WP Squared 11.136.1 → 11.136.1.7
Po zainstalowaniu aktualizacji należy zrestartować usługę 'cpsrvd’. Jeśli natychmiastowa aktualizacja nie jest możliwa, administratorzy powinni:
- zablokować zewnętrzny dostęp do portów 2083, 2087, 2095 i 2096,
- zatrzymać usługi cpsrvd i cpdavd.
Producent udostępnił również skrypt detekcyjny, który pozwala sprawdzić, czy serwer został skompromitowany. W przypadku znalezienia podejrzanych śladów należy: wyczyścić sesje, zresetować wszystkie hasła i klucze API, przejrzeć logi oraz zbadać mechanizmy trwałego utrzymania dostępu.
Co dalej?
Podatność CVE-2026-41940 to poważne zagrożenie dla wszystkich użytkowników cPanel i WHM. Ataki trwają, a publicznie dostępny exploit zwiększa ryzyko masowych włamań. Administratorzy powinni traktować tę sprawę priorytetowo – aktualizacja to nie tylko zalecenie, ale konieczność. Warto również rozważyć ograniczenie dostępu do paneli administracyjnych wyłącznie z zaufanych adresów IP lub przez VPN.
