CVE-2026-41940 — تجاوز المصادقة في cPanel & WHM

CVSS v3.1: 9.8 (حرج)

نظرة عامة

CVE-2026-41940 هي ثغرة حرجة لتجاوز المصادقة في cPanel & WHM تتيح للمهاجمين غير المصادق عليهم الحصول على وصول إداري كامل إلى لوحة التحكم. تم استغلال الثغرة في البيئة الفعلية خلال 24 ساعة من الإفصاح العام، حيث تم نشر برمجيات فدية ضد المضيفين المعرضين للخطر. تم اكتشافها والإفصاح عنها علنًا من قبل باحثي watchTowr.

التفاصيل التقنية

تدفق تسجيل الدخول في cPanel/WHM يتحقق بشكل غير صحيح من رموز الجلسة أثناء مصافحة المصادقة. من خلال صياغة تسلسل محدد من طلبات HTTP إلى نقاط نهاية تسجيل الدخول، يمكن للمهاجم التلاعب بالخادم ليقبل خطوة مصادقة مزورة أو متخطاة، متجاوزًا بذلك التحقق من بيانات الاعتماد بشكل فعّال.

يستغل هذا التجاوز حالة سباق / خللًا منطقيًا في تدفق توليد الرموز في login.cgi وcpsess. لا يتحقق الخادم بشكل صحيح من أن الجلسة أُنشئت عبر تسجيل دخول شرعي — بل يتحقق فقط من وجود ملف تعريف ارتباط جلسة منسق بشكل صحيح، والذي يمكن توقعه أو فرضه.

الإصدارات المتأثرة

• جميع إصدارات cPanel & WHM بعد 11.40 وحتى أحدث إصدار قبل التصحيح الأمني
• تم التأكيد على: 11.40–11.98، 12.0–12.6

خطوات إعادة الإنتاج

1. استهدف نسخة cPanel/WHM (المنفذ 2082 لـ cPanel، و2083 لـ WHM)
2. أرسل طلبًا أوليًا إلى /login.cgi للحصول على بادئة رمز cpsess
3. قم بتزوير ملف تعريف ارتباط الجلسة باستخدام بذرة الرمز المسربة
4. قم بالوصول إلى نقاط نهاية الإدارة مباشرةً باستخدام الجلسة المزورة

إثبات المفهوم

python exploit.py --target 192.168.1.100 --port 2083 --ssl --cmd "id"

التخفيف

• قم بترقية cPanel & WHM فورًا إلى أحدث إصدار مصحح
• قيّد الوصول إلى منافذ cPanel/WHM (2082, 2083, 2095, 2096) عبر جدار الحماية
• فعّل المصادقة متعددة العوامل
• راقب استخدام رمز cpsess غير المصرح به في سجلات الوصول

المراجع

• إفصاح watchTowr: https://labs.watchtowr.com/
• إدخال CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-41940
• إعلانات cPanel الأمنية: https://news.cpanel.com/category/security/