zerodayevil/cve-2026-41940-pocكود إثبات المفهوم الذي يوضح CVE-2026-41940، ويوفر حالة اختبار قابلة لإعادة الإنتاج للتحقق من الثغرة الأمنية والبحث الأمني.
🛡️ وحدة أداة الأمان بالذكاء الاصطناعي
CVE-2026-41940: تنفيذ أوامر جذرية عن بُعد دون مصادقة في cPanel & WHM (حقن الجلسة عبر CRLF)
وحدة تدقيق أمني واستغلال رسمية لمنظومة أداة الأمان بالذكاء الاصطناعي
🌐 عرض توضيحي على الويب • 📚 موقع المشروع • 💬 محادثة المجتمع
التنقل في الموقع: الرئيسية • التحديثات • التنزيلات • الوحدات
تقدّم هذه الوحدة أدوات تشخيصية شاملة وإجراءات تقييم تقني لـ CVE-2026-41940، وهي ثغرة تجاوز مصادقة حرجة دون مصادقة في cPanel & WHM (بدرجة CVSS 10.0). فمن خلال استغلال المعالجة غير السليمة لتسلسلات CRLF داخل محلّل ترويسة Authorization في HTTP أثناء التهيئة المبكرة للجلسة، يستطيع المهاجم التلاعب بملفات الجلسة على جانب الخادم وتحقيق تفويض كامل على مستوى الجذر في WHM دون بيانات اعتماد صالحة.
"تحكّم في الجلسة، تملك المضيف."
نظرًا لأن واجهات WHM تعمل مباشرة تحت امتيازات إدارية، فإن نواقل تجاوز المصادقة على منافذ الإدارة (2083/2087) تمثّل مخاطر اختراق كامل فوري عبر جميع تنصيبات Web Host Manager.
| المواصفة | القيمة المعينة | ملاحظات |
|---|---|---|
| معرّف CVE | CVE-2026-41940 |
تجاوز حقن ترويسة الجلسة في cPanel & WHM |
| تصنيف الخطورة | حرجة (CVSS v3.1: 10.0) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| نوع الثغرة | CWE-113 / CWE-287 |
حقن CRLF وتجاوز المصادقة |
| المكوّن المتأثر | خدمة جلسات cPanel & WHM (cpsrvd) |
محرّك تحليل ترويسة HTTP Authorization |
| ناقل الهجوم | الشبكة (TCP 2083 / 2087) | طلب HTTP authorization مصمم خصيصًا دون مصادقة |
| الامتيازات المطلوبة | لا شيء | لا حاجة لأي مصادقة أو تفاعل من المستخدم |
graph TD
A[Unauthenticated Attacker] -->|Crafted Authorization Header with CRLF| B[cPanel / WHM Service]
B -->|Premature Session File Generation| C[Inject Parameters into Session Data]
C -->|Bypass Credential Validation| D[Grant Elevated WHM Administrative Token]
D -->|Post-Exploitation Actions| E[Full System Root Compromise]
| الفرع | نطاق الإصدارات المتأثرة | الإصدار المُصحَّح |
|---|---|---|
| 110.x | ≤ 11.110.0.96 |
11.110.0.97 |
| 118.x | ≤ 11.118.0.62 |
11.118.0.63 |
| 126.x | ≤ 11.126.0.53 |
11.126.0.54 |
| 132.x | ≤ 11.132.0.28 |
11.132.0.29 |
| 134.x | ≤ 11.134.0.19 |
11.134.0.20 |
| 136.x | ≤ 11.136.0.4 |
11.136.0.5 |
استعلام Splunk Enterprise:
index=cpanel sourcetype=cpanel_access_log
| rex field=_raw "(?i)authorization:\s*(?[^\r\n]+)"
| where match(auth_header, "[\r\n]") OR match(auth_header, "%0D%0A")
| stats count by clientip, http_user_agent, uri_path, auth_header
| sort - countاستعلام Microsoft Sentinel:
CommonSecurityLog
| where DeviceVendor =~ "cPanel" or DeviceProduct has "WHM"
| where AdditionalExtensions has "Authorization"
| where AdditionalExtensions matches regex "(\r\n|\n|\r|%0D%0A)"
| summarize EventCount = count(), IPs = make_set(SourceIP, 10) by bin(TimeGenerated, 5m), DeviceName
| where EventCount > 0\r، \n) من جميع ترويسات التفويض الواردة.