🚀 CVE-2026-41940 – Exploitationstool für die Auth-Bypass-Schwachstelle in cPanel & WHM / WP Squared

Ein umfassendes Python-Tool zum Erkennen, Massen-Scannen und Ausnutzen der kritischen Authentifizierungs-Bypass-Schwachstelle (CVE-2026-41940) in cPanel & WHM und WP Squared.
Das Tool kombiniert intelligentes Multi-Port-Scannen, Multithreading, Google-Dork-Generierung, interaktive Remote-Code-Ausführung (RCE) und strukturierten Berichtsexport.

⚠️ WARNUNG – Dieses Tool ist ausschließlich für autorisierte Sicherheitstests und Bildungszwecke gedacht.
Die unbefugte Nutzung gegen Systeme, die Sie nicht besitzen oder für die Sie keine ausdrückliche Testgenehmigung haben, ist illegal.
Der Autor übernimmt keinerlei Haftung für Missbrauch oder Schäden.

📌 Über CVE-2026-41940

Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, einen speziell präparierten Authorization-Header zu senden, um den Anmeldevorgang vollständig zu umgehen und Root-Level-Kontrolle über den Server zu erlangen.

✨ Funktionen

• CVE-Beschreibung – integrierte technische Zusammenfassung.
• Google-Dork-Generator – einsatzbereite Suchanfragen zum Auffinden exponierter cPanel/WHM-Instanzen.
• Intelligentes Multi-Port-Scannen – akzeptiert eine reine IP/Hostname und testet automatisch alle sechs gängigen cPanel/WHM/Webmail-Ports.
• Schnell – Multithread-Scannen (konfigurierbar).
• Einzelziel oder Bulk-Dateieingabe – ein Ziel scannen oder eine Liste aus einer Textdatei laden.
• Vollständige Remote-Code-Ausführung (RCE) – interaktive Shell auf verwundbaren WHM-Ports, mit Fallback-Web-Shell-Schutz.
• Sicherheitsmechanismus – Ausnutzung nur auf WHM-Ports (2086/2087) erlaubt; Erkennung funktioniert auf allen Ports.
• Berichtsexport – Ergebnisse als JSON oder HTML speichern, mit automatischen Zeitstempeln.

⚙️ Installation

# Repository klonen
git clone https://github.com/NULL200OK/cve-2026-41940-tool.git
cd cve-2026-41940-tool

🔧 Verwendung

Skript ausführen:

python cve_2026_41940_tool.py

Sie werden mit einem interaktiven Menü begrüßt:

text
1. Google-Dorks
2. Ziel(e) scannen
3. Exploit (RCE)

🎯 Zielformat & Port-Handling

cPanel/WHM-Dienste laufen auf bestimmten nicht standardmäßigen Ports:

Dienst |HTTP |HTTPS

WHM |2086 |2087

cPanel |2082 |2083

Webmail |2095 |2096

So geben Sie ein Ziel an:

192.168.1.5 – scannt automatisch alle sechs gängigen Ports (2082-2087, 2095-2096).

192.168.1.5:2087 – scannt nur WHM-HTTPS.

https://server.com:2087 – verwendet exakt diese URL (Schema muss enthalten sein).

Wichtig:

Die Erkennung funktioniert auf allen oben genannten Ports.

Die Ausnutzung (RCE) ist auf WHM-Ports (2086/2087) beschränkt, da die WHM-API erforderlich ist.

Für Batch-Scans erstellen Sie eine einfache Textdatei mit einem Ziel pro Zeile (gleiches Format wie oben). Das Tool erweitert jede Zeile entsprechend.

1️⃣ Google-Dorks

Gibt eine Liste von Suchanfragen aus, um cPanel/WHM-Anmeldeseiten zu entdecken.

Sie können die Dorks als JSON- oder HTML-Datei speichern.

2️⃣ Ziel(e) scannen

Wählen Sie ein einzelnes Ziel oder eine Datei mit vielen Zielen.

Der Scanner prüft die Schwachstelle, indem er den Bypass-Header an die entsprechenden API-Endpunkte sendet.

Die Ergebnisse werden in Echtzeit mit klaren [+] / [-] Indikatoren angezeigt.

Nach dem Scannen können Sie die Ergebnisse in einem strukturierten Bericht speichern.

3️⃣ Exploit (RCE)

Funktioniert nur auf WHM-Ports (2086/2087) – das Tool verweigert andernfalls.

Es überprüft zunächst, ob das Ziel tatsächlich verwundbar ist.

Wenn verwundbar, wird eine interaktive Shell gestartet – geben Sie einen beliebigen Befehl ein (z. B. id, uname -a, cat /etc/passwd) und erhalten Sie die Ausgabe.

Es werden zwei Methoden mit automatischem Fallback verwendet:

Direkte WHM-API-Befehlsausführung.

Hochladen einer temporären PHP-Web-Shell (wird unmittelbar nach dem Befehl gelöscht).

Geben Sie exit ein, um die Shell zu verlassen.

🧠 Erkennungslogik

Das Tool sendet einen präparierten Authorization-Header (base64 von cpanel:forbidden) an API-Endpunkte wie /json-api/listaccts oder /json-api/version. Auf einem verwundbaren Server umgeht dies die Authentifizierung und gibt sensible Daten oder eine 200-Antwort zurück, ohne zur Anmeldeseite umzuleiten. Auf einem gepatchten System wird eine 401 (Unauthorized), 403 (Forbidden) oder eine Weiterleitung zur Anmeldeseite erwartet.

🤝 Mitwirken

Pull Requests, Issues und Feature-Vorschläge sind willkommen. Bei größeren Änderungen öffnen Sie bitte zuerst ein Issue, um Ihre Ideen zu besprechen.

📄 Lizenz

Dieses Projekt ist unter der MIT-Lizenz lizenziert – siehe die LICENSE-Datei für Details.

❤️ Haftungsausschluss

Dieses Tool dient ausschließlich Bildungs- und autorisierten Sicherheitsforschungszwecken. Der Benutzer übernimmt die volle Verantwortung für die Einhaltung geltender Gesetze. Nutzen Sie es mit Bedacht