كاشف مؤشرات الاختراق لـ cPanel لـ CVE-2026-41940

كاشف مؤشرات اختراق للقراءة فقط لخوادم cPanel/WHM التي ربما تأثرت بـ CVE-2026-41940 والأنشطة ذات الصلة بعد الاختراق.

يساعد السكربت المشغّل على مراجعة مؤشرات برنامج الفدية .sorry، وآثار الباب الخلفي Mr_Rot13 في Filemanager، وإدخالات cron المشبوهة، وتغييرات مفاتيح SSH، وآثار الاستدعاء الخارجي، والأنواع الشاذة في سجلات cPanel.

ابدأ هنا

موارد Ping7

• كل أدوات GitHub: https://ping7.cc/github-tools/
• الدليل الكامل للفحص الذاتي: https://ping7.cc/guides/cpanel-cve-2026-41940-self-check/
• خدمة إصلاح CVE: https://ping7.cc/cve-repair/
• نموذج تقرير إصلاح: https://ping7.cc/cve-repair/sample-report/
• تنبيهات CVE المباشرة: https://t.me/ping7cve

الإبلاغ عن مشكلة أو الإصلاح

افتح مشكلة (Issue) على GitHub عندما يتعطل الكاشف، أو يعطي نتيجة غير واضحة، أو يعلّم عن نتيجة إيجابية خاطئة، أو يحتاج إلى تنظيف في التوثيق. حافظ على خلو المثال من البيانات الحساسة.

استخدم خدمة إصلاح Ping7 عندما تكون النتيجة SUSPICIOUS أو COMPROMISED، أو عندما تتضمن الأدلة نطاقات حية، أو ملفات عملاء، أو سجلات خاصة، أو مفاتيح SSH، أو إدخالات cron، أو آثار برامج فدية لا ينبغي نشرها علنًا.

الأدلة التي يجب الاحتفاظ بها

• مخرجات الكاشف ورقم إصداره.
• إصدار WHM/cPanel وعائلة نظام التشغيل.
• الطابع الزمني الأول للاشتباه.
• أمثلة على امتدادات برامج الفدية، منقّحة إذا لزم الأمر.
• مفاتيح SSH غير معروفة، أو مهام cron، أو مسارات جذر الويب، أو حالات شاذة في جلسات cPanel.
• ما إذا كانت سجلات Apache وModSecurity وcphulkd وتسجيلات دخول root لا تزال متاحة.

استخدم هذا المستودع عندما

• أنت تدير خادم cPanel/WHM أو لديك موافقة صريحة لمراجعته.
• تم تحديث الخادم متأخرًا أو لم يتم توثيق نافذة التحديث (patch).
• أبلغ عميل عن عمليات إعادة توجيه، أو ملفات مشفرة، أو تغيير في جذور الويب، أو نشاط إداري غير معروف.
• تحتاج إلى نتيجة طرفية يمكن لصقها في تذكرة حادث.
• تريد تمريرة أولى قبل دفع تكاليف التنظيف أو مراجعة الاختراق.

بدء سريع

افحص أولاً:

curl -fsSLO https://raw.githubusercontent.com/limo57640-crypto/cpanel-cve-41940-detector/main/detect.sh
less detect.sh
sudo bash detect.sh

لا تشغّل محتوى شل عن بُعد مباشرة بصلاحيات root. نزّل السكربت، وراجعه، ثم شغّله على الخادم المسؤول عنه.

متى يتم تشغيله

شغّل هذا على خادم cPanel/WHM عندما:

• تم تحديث الخادم متأخرًا بعد CVE-2026-41940.
• تظهر .sorry أو امتدادات ملفات مشفرة أخرى غير متوقعة.
• أبلغ عميل استضافة عن عمليات إعادة توجيه، أو قذائف ويب، أو ملفات معدّلة.
• تغيّرت تسجيلات دخول WHM، أو مفاتيح SSH، أو إدخالات cron، أو جذور الويب العامة بشكل غير متوقع.
• تحتاج إلى تمريرة أولى سريعة قبل مراجعة اختراق أعمق.

ما الذي يفحصه

المخرجات

• CLEAN: لا يوجد تطابق واضح مع مؤشرات الاختراق.
• SUSPICIOUS: تم العثور على حالة شاذة، مراجعة يدوية مطلوبة.
• COMPROMISED: تطابق قوي مع مؤشرات الاختراق، إجراء فوري مطلوب.
• ERROR: وصول مفقود، أو cPanel مفقود، أو مشكلة تشغيل أخرى.

نموذج للمخرجات

cPanel CVE-2026-41940 IOC Detector

Checks run:     12
Suspicious:     2
Compromised:    0

STATUS: SUSPICIOUS - INVESTIGATE FURTHER
Review cPanel sessions, cron entries, SSH keys, and web-root changes.
Guide: https://ping7.cc/guides/cpanel-cve-2026-41940-self-check

رموز الخروج

القيود

• لا يمكنه إثبات أن الخادم لم يتم اختراقه مطلقًا.
• يفحص فقط الملفات والسجلات وحالة التشغيل المتاحة على المضيف الحالي.
• السجلات المدوّرة، أو الملفات المحذوفة، أو النسخ الاحتياطية المثبّتة، أو قيود المزود قد تخفي أدلة مفيدة.
• فحوصات مؤشرات الاختراق المعروفة تصبح قديمة بسرعة. أعد التحقق من المستودع عند ظهور بيانات جديدة لحوادث cPanel.

تسليم الإصلاح

إذا كانت النتيجة SUSPICIOUS أو COMPROMISED، احتفظ بالمخرجات وأرسل:

Domain or server:
WHM/cPanel version:
CVE: CVE-2026-41940
Detector result: CLEAN / SUSPICIOUS / COMPROMISED / ERROR
First suspicious timestamp:
Symptoms: ransomware extension, unknown admin, redirect, SSH key, cron, webshell, or log anomaly
Logs still available: yes / no

لا ترسل كلمات المرور في الرسالة الأولى. أرسل الأعراض والطوابع الزمنية ولقطات الشاشة ومقتطفات سجلات منقّحة.

لماذا التحديث وحده غير كافٍ

إذا كان الخادم مكشوفًا خلال نافذة الاستغلال النشطة، فقد يكون المهاجمون قد أضافوا آليات استمرارية تبقى بعد تحديث cPanel. تركز هذه الأداة على البقايا ومؤشرات ما بعد الاختراق.

ماذا تفعل إذا عثرت على شيء

1. احتفظ بالسجلات والملفات المشبوهة قبل التنظيف.
2. التقط لقطة سريعة للخادم إذا أمكن.
3. غيّر كلمات مرور WHM وSSH وقاعدة البيانات والعملاء.
4. أزل آليات الاستمرارية فقط بعد توثيق الأدلة.
5. أعد تشغيل الكاشف بعد التنظيف.

تحتاج مساعدة في الإصلاح: https://ping7.cc/cve-repair

المساهمة

افتح مشكلة (Issue) لنتيجة إيجابية خاطئة، أو إشارة دفاعية مفوّتة، أو مصدر جديد آمن لمؤشرات الاختراق. اذكر إصدار cPanel، وعائلة نظام التشغيل، وإصدار الكاشف، والمخرجات المنقّحة. لا تنشر بيانات العملاء، أو الأسرار، أو بنية المهاجم النشطة، أو سلاسل الهجوم.

النطاق الدفاعي

هذا المشروع دفاعي فقط. شغّله فقط على الأنظمة التي تملكها أو المخوّل بمراجعتها.

لا حمولات ضارة. لا فحص واسع النطاق. لا خطوات استغلال.

الترخيص

MIT