CVSS 9.8
Otkrivena je kritična ranjivost u cPanel & WebHost Manager (WHM) sustavima koja omogućuje potpuno zaobilaženje autentifikacije. Zbog pogreške u upravljanju sesijama, neautentificirani napadač može preuzeti admin/root pristup nad cijelim poslužiteljem bez poznavanja lozinke.
Napadač koji dobije pristup cPanelu može kontrolirati sve što se nalazi na hosting računu, a WHM pruža pristup cijelom poslužitelju i svim web stranicama koje se na njemu nalaze.
Javno je objavljen Proof-of-Concept (PoC) kôd, a zabilježeni su i aktivni pokušaji iskorištavanja ove ranjivosti.
Svim administratorima sustava savjetuje se:
- Ažuriranje sustava na jednu od zakrpanih verzija:
11.86.0.41
11.110.0.97
11.118.0.63
11.126.0.54
11.130.0.19
11.132.0.29
11.136.0.5
11.134.0.20
- Blokiranje pristupa javno dostupnih portova 2083 i 2087. Ograničiti pristup cPanel/WHM sučelju isključivo putem VPN-a ili specifičnih pouzdanih IP adresa.
- Pregledati logove prijava na WHM i cPanel radi uočavanja potencijalne sumnjive sesije ili nepoznate administratorske prijave.
Poslužitelji koji pokreću verzije cPanela kojima je istekla podrška neće primiti sigurnosna ažuriranja. Administratorima takvih sustava strogo se preporučuje hitna nadogradnja na podržanu verziju kako bi zaštitili svoje podatke i infrastrukturu.
Dodatne informacije možete pročitati na:
- cPanel: Security: CVE-2026-41940 – cPanel & WHM / WP2
- Rapid7: CVE-2026-41940: cPanel & WHM Authentication Bypass
- Government of Canada: AL26-008 – Vulnerability affecting cPanel and WebHost Manager
