CVE Checker 2026

Multi-OS-Schwachstellenscanner für:

• CVE-2026-31431 — Linux-Kernel-Fehler in crypto/algif_aead
• CVE-2026-41940 — cPanel & WHM Authentifizierungs-Bypass (CVSS 9.8)

Unterstützte Betriebssysteme

Familie	Distributionen
Debian	Ubuntu, Debian, Linux Mint, Pop!_OS
RHEL	RHEL, CentOS, AlmaLinux, Rocky Linux, Oracle Linux, CloudLinux, Fedora, Amazon Linux
SUSE	SLES, openSUSE

Schnellstart (Einzeiler)

Direkt von GitHub ausführen:

curl -fsSL https://raw.githubusercontent.com/sebinxavi/cve-checker-2026/main/cve_check_2026.sh | sudo bash

Oder herunterladen und dann ausführen (zur Überprüfung empfohlen):

curl -fsSL -o cve_check_2026.sh https://raw.githubusercontent.com/sebinxavi/cve-checker-2026/main/cve_check_2026.sh
chmod +x cve_check_2026.sh
sudo ./cve_check_2026.sh

Was geprüft wird

CVE-2026-31431 (Linux-Kernel)

• Kernelversion und Build-Konfiguration
• Ladezustand des Moduls algif_aead / af_alg
• Status der Modul-Blacklist
• Verfügbare Patches über apt, dnf, yum, zypper
• KernelCare-Livepatch-Status (sofern zutreffend)

CVE-2026-41940 (cPanel)

• Erkennung der cPanel & WHM-Version
• Vergleich mit gepatchten Versionen
• Status des Dienstes cpsrvd
• Offene Ports (2082, 2083, 2086, 2087, 2095, 2096)
• Aktuelle Session-Datei-Aktivität (IoC-Indikator)
• Integritätsprüfung des cPanel-RPM

Ausgabe

Datei	Zweck
/var/log/cve_check_2026_<timestamp>.log	Vollständiges Debug-Protokoll
/var/log/cve_check_2026_<timestamp>.report.txt	Management-Zusammenfassung

Fällt auf /tmp/ zurück, wenn /var/log nicht beschreibbar ist.

Exit-Codes

Code	Bedeutung
0	Alles in Ordnung oder nicht zutreffend
1	Skriptfehler (nicht root, fehlende Tools)
2	Mindestens eine CVE als verwundbar bestätigt

Nützlich für Automatisierung und Monitoring-Integration.

Status-Legende

Status	Bedeutung
SAFE	Patch bestätigt
LIKELY_SAFE	Wahrscheinlich sicher; nicht im Changelog bestätigt
MITIGATED	Workaround angewendet (z. B. Modul-Blacklist)
VULNERABLE	Patch verfügbar, nicht angewendet
VULNERABLE_EOL	End-of-Life-Version, kein Patch-Pfad
NOT_APPLICABLE	Software nicht installiert
UNKNOWN	Konnte nicht automatisch ermittelt werden

CVE-2026-41940 — Session-Zugriffsprüfer

Für cPanel-Server ist ein Begleitskript verfügbar, um aktive Session-Dateien auf Anzeichen einer Ausnutzung von CVE-2026-41940 zu prüfen.

Was es tut

Scannt alle Dateien in /var/cpanel/sessions/raw/ und kategorisiert jede Session in eine von drei Gruppen:

Ergebnis	Bedeutung
LEGITIMATE	Echter Login über handle_form_login, passwd oder api_token
SUSPICIOUS	Angriffs-Payload (badpass) erkannt — kein erfolgreicher Zugriff
COMPROMISED	Angriffs-Payload mit HTTP-200-Antwort im Zugriffsprotokoll — Root wurde erreicht

Ausführen

curl -fsSL https://raw.githubusercontent.com/sebinxavi/cve-checker-2026/main/cpanel_session_checker.sh | sudo bash

Oder zuerst herunterladen:

curl -fsSL -o cpanel_session_checker.sh https://raw.githubusercontent.com/sebinxavi/cve-checker-2026/main/cpanel_session_checker.sh
chmod +x cpanel_session_checker.sh
sudo ./cpanel_session_checker.sh

Was basierend auf dem Ergebnis zu tun ist

Wenn COMPROMISED-Sessions gefunden werden:

1. Server sofort isolieren
2. Festplatten-Snapshot für Forensik erstellen, bevor aufgeräumt wird
3. Alle Passwörter und SSH-Schlüssel rotieren
4. /tmp, cron und ~/.ssh/authorized_keys auf Malware prüfen
5. Gehostete Kunden benachrichtigen

Dem kompromittierten Server kann nicht vertraut werden — migrieren Sie alle cPanel-Konten auf einen frisch bereitgestellten, sauberen Server:

# Auf dem kompromittierten Server — alle Konten auflisten
/usr/local/cpanel/bin/whmapi1 listaccts | grep 'user:'

# Jedes Konto für die Migration paketieren
/scripts/pkgacct <username> /backup

# Auf dem sauberen Server — jedes Konto wiederherstellen
/scripts/restorepkg /backup/cpmove-<username>.tar.gz

Alternativ verwenden Sie WHM >> Transfer-Tool >> Mehrere Konten von einem anderen Server kopieren für die Massenmigration mit vollständiger Wiedergabetreue.

Nach der Migration: DNS aktualisieren, damit die Domains auf die neue Server-IP zeigen, alle Websites auf Funktion prüfen, dann den kompromittierten Server außer Betrieb nehmen oder neu aufsetzen.

Wenn nur SUSPICIOUS-Sessions gefunden werden (alle blockiert):

1. Bestätigen, dass cPanel gepatcht ist: /scripts/upcp --force
2. Alle Sessions löschen: rm -f /var/cpanel/sessions/raw/*

CVE-2026-41940 — Massen-Reset der cPanel-Passwörter

Nach einem Angriff (auch wenn er blockiert wurde) wird empfohlen, alle cPanel-Kontopasswörter vorsorglich zu rotieren. Ein dediziertes Skript ist verfügbar, um alle cPanel-Kontopasswörter massenhaft zurückzusetzen und in einer sicheren CSV-Datei zu speichern.

Was es tut

• Ruft alle cPanel-Konten über whmapi1 ab
• Generiert ein kryptographisch zufälliges 24-Zeichen-Passwort für jedes Konto
• Setzt Passwörter über die WHM-API zurück (überspringt MySQL-Passwörter)
• Speichert alle neuen Anmeldedaten in /root/cpanel_new_passwords_<timestamp>.csv (Modus 600)
• Protokolliert alle Aktivitäten in /root/cpanel_passwd_reset_<timestamp>.log

Ausführen

curl -fsSL https://raw.githubusercontent.com/sebinxavi/cve-checker-2026/main/cpanel_mass_passwd_reset.sh | sudo bash

Nachdem die neuen Passwörter sicher an die Kontoinhaber übermittelt wurden, die CSV-Datei löschen:

shred -u /root/cpanel_new_passwords_*.csv

---

Behebungsanleitung

CVE-2026-41940 — cPanel & WHM

cPanel auf den gepatchten Build für Ihren Zweig aktualisieren:

Zweig	Mindest-Build
110.x	11.110.0.97
118.x	11.118.0.63
126.x	11.126.0.54
132.x	11.132.0.29
134.x	11.134.0.20
136.x	11.136.0.5

/scripts/upcp --force
/scripts/restartsrv_cpsrvd

CVE-2026-31431 — Linux-Kernel

Standard-Server (nicht cPanel)

Debian / Ubuntu:

apt update && apt upgrade -y && reboot

RHEL / AlmaLinux / CloudLinux:

dnf update kernel -y && reboot
# oder
yum update kernel -y && reboot

Mit KernelCare (kein Neustart erforderlich):

kcarectl --update

cPanel-Server (Ubuntu)

Warnung: Führen Sie apt upgrade -y nicht auf einem cPanel-Server aus — es kann von cPanel verwaltete Pakete (Apache, PHP, MySQL) aktualisieren und Dienste beschädigen.

Nur das Kernel-Paket aktualisieren:

apt-get install --only-upgrade linux-image-generic linux-headers-generic linux-generic
reboot

Nach dem Neustart überprüfen:

uname -r

cPanel-Server auf AWS EC2 (Ubuntu)

AWS-EC2-Instanzen verwenden ein anderes Kernel-Paket (linux-aws) — die generischen Paketnamen aktualisieren den laufenden Kernel nicht:

apt update && apt install --only-upgrade -y \
    linux-aws \
    linux-image-aws \
    linux-headers-aws && \
echo "" && \
echo "Derzeit läuft    : $(uname -r)" && \
echo "Startet als Nächstes: $(ls /boot/vmlinuz-* | sort -V | tail -1 | sed 's|/boot/vmlinuz-||')"

Den angezeigten Kernel für den nächsten Start bestätigen, dann neu starten:

reboot

Temporäre Abschwächung (falls ein sofortiger Neustart nicht möglich ist)

Das verwundbare Modul auf die Blacklist setzen, um das Laden zu verhindern:

echo "blacklist algif_aead" >> /etc/modprobe.d/disable-algif-aead.conf
echo "blacklist af_alg"     >> /etc/modprobe.d/disable-algif-aead.conf
update-initramfs -u   # Debian/Ubuntu
# oder
dracut --force        # RHEL-Familie