Уязвимость CVE-2026-41940 в панели управления веб-хостингом cPanel стала причиной массовой компрометации более 40 000 серверов по всему миру. Ошибка обхода аутентификации получила критическую оценку 9.8 балла по шкале CVSS и позволяет злоумышленникам получать несанкционированный root-доступ к системе без участия пользователя. Проблема связана с внедрением символов возврата каретки и перевода строки в процессе обработки HTTP-запросов Basic Auth, что дает возможность злоумышленникам подделывать файлы сессий и полностью контролировать затронутые инстансы. Уязвимости подвержены все версии cPanel, начиная с 11.40, в которых отсутствуют последние патчи безопасности.
Атаки на уязвимые серверы носят строго автоматизированный характер и направлены на общедоступные системы с отсутствующими обновлениями или ошибками конфигурации. После получения доступа хакеры устанавливают бэкдоры и развертывают программу-вымогатель на базе языка Go, которая шифрует пользовательские файлы и добавляет к ним расширение .sorry. Поскольку cPanel широко применяется в средах виртуального хостинга, взлом одной панели управления часто приводит к компрометации десятков и сотен клиентских веб-сайтов, размещенных на одном физическом сервере. Значительная часть заражений приходится на инфраструктуру хостинг-провайдеров, которые не успели применить необходимые ограничения на сетевых экранах или обновить программное обеспечение.
Разработчики cPanel официально выпустили обновления безопасности для устранения данной проблемы, однако задержки в установке патчей продолжают оставлять тысячи систем уязвимыми. Специалисты по информационной безопасности настоятельно рекомендуют немедленно обновить серверы до безопасных версий с помощью встроенных скриптов обновления или применить обходные пути защиты, включающие блокировку входящего трафика на портах 2083, 2087, 2095 и 2096. Владельцам серверов также необходимо провести тщательный аудит журналов и файловой системы на наличие подозрительных процессов, созданных бэкдоров или несанкционированных SSH-ключей, поскольку атака может не оставлять стандартных следов в логах при конфигурациях по умолчанию.