cPanel и WHM: обход входа CVE-2026-41940 — проверка и обновление

Что случилось

CVE-2026-41940 — обход проверки подлинности в cPanel, WHM и WP Squared. Оценка NVD — 9.8 по шкале CVSS 3.1 и 9.3 по CVSS 4.0. Уязвимость позволяет попасть в панель без пароля, то есть получить доступ ко всем сайтам, базам и почте на сервере.

Агентство CISA внесло её в перечень уязвимостей, используемых в реальных атаках. По сообщениям исследователей, атаки шли с конца февраля 2026 года — за два месяца до выхода заплаты, а публичный пример использования появился на следующий день после неё.

Кого касается

Затронуты все сборки cPanel и WHM после 11.40 — то есть практически все работающие установки, которые не обновлялись после 28 апреля 2026 года. Отдельно затронут WP Squared.

Как проверить свою сборку

/usr/local/cpanel/cpanel -V
cat /usr/local/cpanel/version

Сравните номер с исправленными сборками своей ветки:

Номера сборок приведены по сводкам исследователей. Перед обновлением сверьтесь с официальным уведомлением cPanel: в более поздних сборках закрыты ещё три уязвимости того же продукта, позволяющие читать файлы, выполнять код и повышать права.

Как обновиться

/usr/local/cpanel/scripts/upcp --force
/usr/local/cpanel/cpanel -V

Обновление занимает от нескольких минут до получаса в зависимости от сервера. Сайты при этом продолжают работать: перезапускаются только службы панели.

Если обновиться прямо сейчас нельзя

Закройте порты панели на межсетевом экране, оставив доступ только со своих адресов. Порты cPanel и WHM: 2082, 2083, 2086, 2087, 2095, 2096.

sudo firewall-cmd --permanent --remove-port=2087/tcp
sudo firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=ВАШ.АДРЕС/32 port port=2087 protocol=tcp accept'
sudo firewall-cmd --reload
sudo systemctl restart cpsrvd

Перезапуск службы cpsrvd обязателен, иначе правило не вступит в силу для текущих сессий. Это временная мера: она закрывает панель от посторонних, но не устраняет саму уязвимость.

Что проверить после обновления

Уязвимость использовали больше двух месяцев до появления заплаты, поэтому обновления недостаточно — нужно убедиться, что никто не зашёл раньше.

1. Список пользователей WHM: не появилось ли учётных записей, которых вы не заводили.
2. Журнал входов: grep -i 'login' /usr/local/cpanel/logs/access_log | tail -100.
3. Задания cron у всех пользователей: for u in $(ls /var/cpanel/users); do echo "== $u"; crontab -l -u "$u" 2>/dev/null; done.
4. Ключи SSH: find /home -name authorized_keys -newermt '2026-02-01' -ls.

Подробный разбор признаков взлома — в отдельной статье нашей базы знаний.

Частые вопросы

У меня включено автообновление cPanel, я в безопасности?

Проверьте фактическую сборку командой /usr/local/cpanel/cpanel -V. Автообновление иногда отключается после ручного вмешательства или падает на нехватке места.

Помогает ли двухфакторная проверка в панели?

Нет. Уязвимость обходит сам механизм проверки подлинности, поэтому второй фактор не запрашивается.

Я не пользуюсь WP Squared, он всё равно опасен?

Если компонент установлен, он уязвим независимо от того, пользуетесь вы им или нет. Обновите или удалите.

Что делать клиентам ZevsHost?

На серверах общего хостинга панель обновляется нами. Если у вас VPS или выделенный сервер с cPanel, обновление на вашей стороне — сервер в вашем управлении.