cpanel-cve-2026-41940-fix

أداة فحص وإصلاح شاملة لمرة واحدة لخوادم cPanel/WHM المخترقة عبر CVE-2026-41940 وحملة بوت نت nuclear.x86.

---

ما هي هذه الأداة

في 28 أبريل 2026، كشفت cPanel عن ثغرة تجاوز مصادقة قبل التحقق (CVE-2026-41940، درجة خطورة CVSS 9.8) تؤثر على جميع إصدارات cPanel وWHM المدعومة بعد 11.40. طلب HTTP واحد إلى المنفذ 2087 يسمح لمهاجم غير مصادق بحقن جلسة user=root والدخول مباشرة إلى WHM.

شوهد استغلال هذه الثغرة في البرية منذ 23 فبراير 2026 على الأقل — أي قبل ستة أسابيع من إصدار التصحيح. الحملة التي قمنا بتنظيفها على عدة خوادم تقوم بتثبيت بوت نت لينكس يُدعى nuclear.x86 بالإضافة إلى عامل تعدين عملات مشفر مبني على XMRig.

يحتوي هذا المستودع على سكربت Bash واحد يقوم بـ:

• اكتشاف ما إذا كان خادمك عرضة للثغرة (فحص إصدار cPanel)
• اكتشاف ما إذا كان خادمك مخترقًا بالفعل (11 فحصًا لمؤشرات الاختراق)
• الإصلاح بأمان — قتل البرمجيات الخبيثة، حظر عناوين C2، تطهير الجلسات المزورة، إعادة تشغيل cpsrvd
• تحديث cPanel/WHM عبر /scripts/upcp --force
• إنشاء تقرير جنائي والحفاظ على الأدلة

صُممت هذه الأداة لـ مزودي الاستضافة، ومدراء الأنظمة، وموزعي cPanel الذين يحتاجون إلى فرز أسطول من الخوادم بسرعة.

---

⚠️ قبل تشغيل أي شيء

إذا أعاد wget أو curl رسالة Killed عند محاولة تنزيل الملفات، فالبرمجية الخبيثة لا تزال تعمل — nuclear.x86 يقتل أدوات التنزيل بنشاط لمنع التنظيف. قم بخطوة القتل أولاً (السكربت يقوم بذلك نيابةً عنك في وضع --fix).

إذا لم تتمكن من تنزيل هذا السكربت بسبب ذلك، فانسخه والصقه عبر SSH من جهازك المحمول، أو استخدم scp.

---

التثبيت

# كجذر، على خادم cPanel:
cd /root
wget https://raw.githubusercontent.com/shahidmallaofficial/cpanel-cve-2026-41940-fix/main/fix-cpanel-cve-2026-41940.sh
chmod +x fix-cpanel-cve-2026-41940.sh

أو باستخدام curl:

cd /root
curl -fsSLO https://raw.githubusercontent.com/shahidmallaofficial/cpanel-cve-2026-41940-fix/main/fix-cpanel-cve-2026-41940.sh
chmod +x fix-cpanel-cve-2026-41940.sh

سطر واحد (راجع السكربت أولاً، ثم شغّله):

cd /root && \
curl -fsSLO https://raw.githubusercontent.com/shahidmallaofficial/cpanel-cve-2026-41940-fix/main/fix-cpanel-cve-2026-41940.sh && \
chmod +x fix-cpanel-cve-2026-41940.sh && \
less fix-cpanel-cve-2026-41940.sh
# بعد المراجعة، شغّله:
./fix-cpanel-cve-2026-41940.sh

تحقق قبل التشغيل. يعمل هذا السكربت بصلاحيات الجذر ويعدّل حالة النظام. افتحه واقرأه أولاً. لا تقم بتوجيه سكربتات عشوائية من الإنترنت مباشرة إلى bash.

---

الاستخدام

ثلاثة أوضاع

# 1. فحص فقط (الوضع الافتراضي، لا تغييرات — آمن دائمًا للتشغيل)
./fix-cpanel-cve-2026-41940.sh

# 2. فحص + إصلاح، مع طلب تأكيد لكل إجراء تدميري
./fix-cpanel-cve-2026-41940.sh --fix

# 3. تلقائي كامل: إصلاح + تحديث cPanel + مسح ذاكرة التخزين المؤقت + تحصين خفيف
./fix-cpanel-cve-2026-41940.sh --auto

# 4. بدون تدخل (بدون مطالبات — لـ cron، وصناديق القفز، وسكربتات الأسطول)
./fix-cpanel-cve-2026-41940.sh --auto -y

# 5. المساعدة
./fix-cpanel-cve-2026-41940.sh --help

رموز الخروج

الرمز	المعنى
0	نظيف — لم يتم اكتشاف أي مؤشرات اختراق
2	تم اكتشاف مؤشرات اختراق (راجع التقرير)
1 / غير ذلك	فشل الفحص المسبق (ليس جذرًا، ليس خادم cPanel، إلخ.)

مواقع المخرجات

• السجل: /var/log/cpanel-cve-fix/scan-<TIMESTAMP>.log
• التقرير: /var/log/cpanel-cve-fix/report-<TIMESTAMP>.txt
• نسخة احتياطية للأدلة: /root/cve-cleanup-backup-<TIMESTAMP>/

---

ما يفحصه (مرحلة الفحص)

#	الفحص	ما يكتشفه
1	إصدار cPanel مقابل الإصدارات المحدثة	الخوادم العرضة للثغرة (يعرض جميع الإصدارات الستة المحدثة)
2	العمليات الجارية	nuclear.x86, xmrig, cpuminer, minerd, xmr-stak, 4thepool_miner
3	اتصالات الشبكة النشطة	عناوين C2 الثلاثة المعروفة + منافذ تجمعات التعدين
4	ملفات سجل الأوامر	أوامر مؤشرات الاختراق في bash_history / zsh_history
5	سلامة جدار الحماية	خطوة التخريب iptables -F
6	دليل جلسات cPanel الخام	ملفات جلسات user=root المزورة
7	/tmp, /var/tmp, /dev/shm	ملفات تنفيذية تم إسقاطها مؤخرًا
8	إدخالات cron	الاستمرارية (النظام + لكل مستخدم)
9	ملفات authorized_keys	مفاتيح SSH جديدة — تدقيق للقراءة فقط
10	سجلات وصول cPanel	توقيعات استغلال Go-http-client / python-requests
11	الملفات الثنائية الحرجة	wget / curl / ls / ps المعدلة (فحص mtime + RPM)

ما يفعله (وضع الإصلاح / التلقائي)

• يقتل عمليات البرمجيات الخبيثة المعروفة (بعد التقاط PID وسطر الأوامر ومسار الملف التنفيذي)
• يحظر عناوين C2 المعروفة في CSF إذا كان موجودًا، وإلا عبر iptables (ويحفظ القواعد)
• يطهر /var/cpanel/sessions/raw/* (مع نسخة احتياطية tar.gz أولاً)
• يعيد تشغيل cpsrvd, cpdavd, cphulkd, queueprocd, dnsadmin
• يحدّث cPanel عبر /scripts/upcp --force (فقط في وضع --auto)
• يمسح ذاكرات التخزين المؤقت لمدير الحزم، وذاكرة تخزين DNS المؤقتة لـ BIND (rndc flush)، وسجلات journal القديمة
• يحصّن بتمكين LF_INTEGRITY في CSF إذا كان متاحًا

ما لا يفعله عمدًا

هذه الإجراءات ستسبب ضررًا أكثر من نفعها عند تشغيلها بدون تدخل عبر SSH، لذا يتم تضمينها في تقرير الإجراءات اليدوية بدلاً من ذلك:

• ❌ تدوير مفاتيح SSH (سيقفلك خارج الجهاز الذي تعمل عليه)
• ❌ تدوير كلمات مرور cPanel / MySQL / البريد الإلكتروني (لا يمكن للسكربت تحديث جميع الإعدادات التابعة)
• ❌ استعادة البيانات من النسخ الاحتياطية (أنت فقط من يعرف نقطة الاستعادة الجيدة الأخيرة)
• ❌ حذف ملفات عشوائية في /home/*/public_html
• ❌ حذف جماعي لإدخالات cron

---

استخدام الأسطول

لمسح العديد من الخوادم من صندوق قفز:

mkdir -p reports
while read -r host; do
    echo "=== $host ==="
    scp fix-cpanel-cve-2026-41940.sh "root@${host}:/root/" >/dev/null
    ssh "root@${host}" '/root/fix-cpanel-cve-2026-41940.sh --auto -y'
    scp "root@${host}:/var/log/cpanel-cve-fix/report-*.txt" "reports/${host}.txt" 2>/dev/null
done < servers.txt

ثم ابحث في التقارير:

grep -l "COMPROMISE INDICATORS PRESENT" reports/*

---

إجراءات يدوية يجب عليك اتخاذها بعد تشغيل السكربت

سيدرج السكربت هذه الإجراءات في تقريره. لا يمكن أتمتة أي منها بأمان.

1. قم بتدوير كل كلمة مرور لينكس محلية (المهاجم لديه /etc/shadow)
2. قم بتدوير كلمات مرور cPanel + الموزعين من WHM
3. قم بتدوير كل كلمة مرور MySQL/قاعدة بيانات وحدّث wp-config.php, .env, config.php, إلخ.
4. قم بتدوير كل كلمة مرور حساب بريد إلكتروني
5. قم بتدوير كل رمز API (cPanel, WHM, طرف ثالث)
6. أعد توليد مفاتيح SSH للجذر وأي مستخدم تقني — وأزل المفتاح العام القديم من GitHub / GitLab / Bitbucket / CI / أهداف النشر
7. دقق /home/*/public_html بحثًا عن قذائف ويب (ملفات .php المعدلة مؤخرًا)
8. دقق مُعيدي توجيه البريد الإلكتروني / حسابات FTP / مهام cron في cPanel بحثًا عن أبواب خلفية
9. استعد البيانات من نسخة احتياطية مأخوذة قبل أول طابع زمني لمؤشر الاختراق (على مستوى الصناعة حوالي 23 فبراير 2026)
10. أخبر العملاء المتأثرين بتدوير كلمة مرور cPanel الخاصة بهم في كل مكان آخر أعادوا استخدامها فيه

---

إصدارات cPanel / WHM المحدثة

يجب أن تكون على أحد هذه الإصدارات أو أعلى:

المسار	الإصدار المحدث
110.0.x	11.110.0.97
118.0.x	11.118.0.63
126.0.x	11.126.0.54
132.0.x	11.132.0.29
134.0.x	11.134.0.20
136.0.x	11.136.0.5
WP²	11.136.1.7

تحقق من إصدارك عبر /usr/local/cpanel/cpanel -V.

---

مؤشرات الاختراق (IOCs)