CVE-2026-41940 / nuclear.x86 — Kit de seguridad completo para servidores cPanel infectados.
Dos scripts — una auditoría completa y una limpieza automática con Imunify360.
Funciona tanto en licencias originales como en licencias omitidas/compartidas — en ambos tipos de servidores.
👨💻 Author
⚠️ Vulnerability Overview
Cómo saber si su servidor está infectado:
wget google.com
# "Killed" দেখালে → nuclear.x86 এখনো চলছে
# স্বাভাবিক download হলে → malware নেই বা আগেই মরেছে
📦 Lo que contiene este kit de herramientas
| Script | Función | Cuándo usarlo |
|---|
cpanel_security_check.sh | Auditoría completa del servidor, eliminación de malware, rotación de claves SSH | Ejecute esto primero |
imunify360_scan_clean.sh | Escaneo de todas las cuentas y limpieza de webshells con Imunify360 | Luego ejecute esto |
⚡ Inicio rápido — Ejecute ambos juntos
cd /root && \
wget -O cpanel_security_check.sh \
https://raw.githubusercontent.com/mahfuzreham/cpanel-cve-2026-41940/main/cpanel_security_check.sh && \
wget -O imunify360_scan_clean.sh \
https://raw.githubusercontent.com/mahfuzreham/cpanel-cve-2026-41940/main/imunify360_scan_clean.sh && \
bash cpanel_security_check.sh && \
bash imunify360_scan_clean.sh
⚠️ Debe ejecutarse como root
🔍 Script 1 — cpanel_security_check.sh
Ejecutar:
bash <(curl -s https://raw.githubusercontent.com/mahfuzreham/cpanel-cve-2026-41940/main/cpanel_security_check.sh)
Lo que verifica:
Realiza limpieza automática:
- Mata el proceso nuclear.x86
- Rotación de claves SSH (con respaldo)
- Actualización de cPanel (
/scripts/upcp --force)
🛡️ Script 2 — imunify360_scan_clean.sh
Ejecutar:
bash <(curl -s https://raw.githubusercontent.com/mahfuzreham/cpanel-cve-2026-41940/main/imunify360_scan_clean.sh)
Lo que hace:
Patrones de nombres de archivos webshell que busca:
wp-cache-*.php wp-check-*.php wp-sync-*.php
wp-util-*.php admin-init-*.php upgrade-*.php
class-wp-*.php task_*.php .*\.php (hidden)
Patrones de código webshell:
eval(base64_decode system($_ passthru($_
assert($_ exec($_ shell_exec($_
📋 Requirements
Instalar si no tiene Imunify360:
wget https://repo.imunify360.cloudlinux.com/defence360/imunify-deploy.sh
bash imunify-deploy.sh --key YOUR_LICENSE_KEY
📁 Output Files
/root/cpanel_security_audit_TIMESTAMP.log ← Script 1 log
/root/imunify360_cleanup_TIMESTAMP.log ← Script 2 log
/root/imunify360_report_TIMESTAMP.txt ← Infected files list
/root/webshell_backup/ ← Deleted files backup
🚨 Emergency Manual Commands
Matar el malware:
pkill -9 -f "nuclear.x86"
ps auxf | grep nuclear
Bloquear puertos de cPanel (hasta que se aplique el parche):
iptables -I INPUT -p tcp --dport 2083 -j DROP
iptables -I INPUT -p tcp --dport 2087 -j DROP
iptables -I INPUT -p tcp --dport 2095 -j DROP
iptables -I INPUT -p tcp --dport 2096 -j DROP
Actualizar cPanel:
Detener servicios de cPanel:
whmapi1 configureservice service=cpsrvd enabled=0 monitored=0 && \
whmapi1 configureservice service=cpdavd enabled=0 monitored=0 && \
/scripts/restartsrv_cpsrvd --stop && \
/scripts/restartsrv_cpdavd --stop
✅ Cleanup Checklist
☐ Ejecutar cpanel_security_check.sh
☐ Ejecutar imunify360_scan_clean.sh
☐ Restablecer contraseñas de todas las cuentas de cPanel
☐ Restablecer contraseñas de FTP / correo electrónico / MySQL
☐ Actualizar archivos wp-config.php / .env
☐ ¿No hay reenvíos desconocidos en los reenviadores de correo electrónico?
☐ ¿No hay tareas cron desconocidas?
☐ ¿No hay cuentas FTP desconocidas?
☐ Revocar claves SSH antiguas de GitHub / GitLab
☐ ¿No hay usuarios administradores desconocidos en WordPress?
☐ Actualizar todos los plugins y temas de WordPress
🖥️ Compatibility
| OS | Status |
|---|
| AlmaLinux 8/9 | ✅ |
| CloudLinux 7/8 | ✅ |
| CentOS 7 | ✅ |
| Rocky Linux 8/9 | ✅ |
| Ubuntu 20/22 (cPanel) |
📚 Reference
📄 License
MIT License — Free to use, share, and modify.
Por favor, mantenga la atribución del autor intacta al compartir.
🆘 Support
⚠️ Comparta este kit con todos — cualquier persona que tenga un servidor cPanel puede verse afectada por esta vulnerabilidad.
❤️ Support This Project
If this toolkit helped secure your server or saved you time, consider supporting future development and security research.
☕ Donate / Support
🔗 Donation Link:
https://pay.shurjopayment.com/d21kNExwjP
Your support helps with:
- 🔐 Security research & malware analysis
- 🛠️ Maintaining cPanel security scripts
- 🚀 Free community tools for hosting providers
- 📚 Publishing new security advisories & fixes
Every contribution helps keep hosting servers safer. Thank you for supporting the project ❤️
mahfuzreham/cpanel-cve-2026-41940
