CVE-2026-41940 — cPanel & WHM Authentifizierungsumgehung

CVSS v3.1: 9.8 (Kritisch)

Übersicht

CVE-2026-41940 ist eine kritische Schwachstelle zur Authentifizierungsumgehung in cPanel & WHM, die es nicht authentifizierten Angreifern ermöglicht, vollständigen administrativen Zugriff auf das Kontrollpanel zu erlangen. Die Schwachstelle wurde innerhalb von 24 Stunden nach der öffentlichen Offenlegung aktiv ausgenutzt, wobei Ransomware gegen anfällige Hosts eingesetzt wurde. Sie wurde von Forschern von watchTowr entdeckt und öffentlich bekannt gegeben.

Technische Details

Der Anmeldevorgang in cPanel/WHM validiert Sitzungstoken während des Authentifizierungs-Handshakes nicht ordnungsgemäß. Durch Erstellen einer bestimmten Sequenz von HTTP-Anfragen an die Anmeldeendpunkte kann ein Angreifer den Server dazu manipulieren, einen gefälschten oder übersprungenen Authentifizierungsschritt zu akzeptieren, wodurch die Anmeldeinformationen effektiv umgangen werden.

Die Umgehung nutzt eine Race-Condition / einen Logikfehler im login.cgi- und cpsess-Token-Generierungsablauf aus. Der Server überprüft nicht ordnungsgemäß, ob die Sitzung durch eine legitime Anmeldung zustande gekommen ist – er prüft nur das Vorhandensein eines korrekt formatierten Sitzungs-Cookies, das vorhergesagt oder erzwungen werden kann.

Betroffene Versionen

Alle cPanel- und WHM-Versionen nach 11.40 bis zur letzten vor dem Sicherheitspatch
Bestätigt auf: 11.40–11.98, 12.0–12.6

Reproduktionsschritte

Zielen Sie auf eine cPanel/WHM-Instanz (Port 2082 für cPanel, 2083 für WHM)
Senden Sie eine initiale Anfrage an /login.cgi, um das cpsess-Token-Präfix zu erhalten
Fälschen Sie ein Sitzungs-Cookie unter Verwendung des preisgegebenen Token-Seeds
Greifen Sie mit der gefälschten Sitzung direkt auf Admin-Endpunkte zu

Proof of Concept

python exploit.py --target 192.168.1.100 --port 2083 --ssl --cmd "id"

Gegenmaßnahmen

Aktualisieren Sie cPanel/WHM sofort auf die neueste gepatchte Version
Beschränken Sie den Zugriff auf cPanel/WHM-Ports (2082, 2083, 2095, 2096) über die Firewall
Aktivieren Sie die Multi-Faktor-Authentifizierung
Überwachen Sie die Zugriffsprotokolle auf unbefugte Nutzung von cpsess-Token

Referenzen

watchTowr-Offenlegung: https://labs.watchtowr.com/
CVE-Eintrag: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-41940
cPanel-Sicherheitsankündigungen: https://news.cpanel.com/category/security/

cve-2026-41940-cpanel_authbypass_reproduction

Beliebteste