Критична вразливість cPanel CVE-2026-41940 активно експлуатується хакерами
- У cPanel і WHM виявлено вразливість CVE-2026-41940 — дозволяє обійти авторизацію та отримати повний доступ до сервера.
- Канадське агентство з кібербезпеки оцінює ймовірність експлуатації як «дуже високу» і вимагає негайного патчування.
- Namecheap тимчасово заблокувала доступ до cPanel, HostGator класифікував баг як критичний.
- KnownHost зафіксувала спроби експлуатації ще з 23 лютого — за місяці до офіційного виявлення.
- cPanel випустила патч для всіх підтримуваних версій, включно з інструментом WP Squared.
Дослідники з безпеки попереджають про активно експлуатовану вразливість у програмному забезпеченні для керування веб-серверами cPanel і WebHost Manager (WHM), яким користуються десятки мільйонів власників сайтів по всьому світу. Про це пише TechCrunch.
Вразливість, що отримала ідентифікатор CVE-2026-41940, дозволяє зловмисникам віддалено обійти екран входу та отримати повний доступ до панелі адміністратора програмного забезпечення. Оскільки cPanel і WHM мають глибокий доступ до серверів, які вони обслуговують, потенційний зловмисник може отримати необмежений доступ до всіх даних, якими управляє уражене програмне забезпечення.
Канадське національне агентство з кібербезпеки охарактеризувало ймовірність експлуатації як «дуже високу» та закликало клієнтів cPanel або їхніх хостинг-провайдерів негайно встановити оновлення. Виробник cPanel також закликав усіх клієнтів переконатися, що їхні системи захищені патчем, оскільки вразливість стосується всіх підтримуваних версій програмного забезпечення.
Великі хостинг-провайдери вже вжили заходів. Namecheap тимчасово заблокувала доступ клієнтів до cPanel після виявлення уразливості, щоб запобігти її використанню та встановити патч. HostGator виправив системи та класифікував вразливість як «критичний експлойт для обходу автентифікації».
За даними компанії KnownHost, хакери намагалися використати вразливість ще з 23 лютого — задовго до її офіційного виявлення. Генеральний директор KnownHost Деніел Пірсон повідомив, що приблизно 30 серверів компанії з тисяч у мережі показали ознаки несанкціонованих спроб доступу. При цьому підтверджених випадків успішного злому зафіксовано не було. cPanel також випустила патч безпеки для WP Squared — схожого інструменту для керування сайтами на WordPress.
