cpanel-cve-2026-41940-fix

Detección y remediación en un solo paso para servidores cPanel/WHM comprometidos mediante CVE-2026-41940, incluyendo comprobaciones de IOC, limpieza de malware, bloqueo de C2 y parcheo.

Este repositorio contiene un único script Bash que:

• Detecta si tu servidor es vulnerable (comprobación de la versión de cPanel)
• Detecta si tu servidor está ya comprometido (11 comprobaciones de IOC)
• Remedia de forma segura: mata el malware, bloquea las IPs de C2, purga las sesiones falsificadas, reinicia cpsrvd
• Parchea cPanel/WHM mediante /scripts/upcp --force
• Genera un informe forense y conserva las evidencias

Está diseñado para proveedores de hosting, administradores de sistemas y revendedores de cPanel que necesitan hacer un triaje rápido de un parque de servidores.

⚠️ Antes de ejecutar nada

Si wget o curl devuelven Killed al intentar descargar archivos, el malware sigue en ejecución — nuclear.x86 mata activamente las herramientas de descarga para impedir la limpieza. Ejecuta primero el paso de eliminación (el script lo hace por ti en el modo --fix).

Si no puedes descargar este script por ese motivo, cópialo y pégalo por SSH desde tu portátil, o usa scp.

Instalación

O con curl:

Una sola línea (revisa el script primero y luego ejecútalo):

Verifica antes de ejecutar. Este script se ejecuta como root y modifica el estado del sistema. Ábrelo y léelo primero. No canalices scripts aleatorios de internet directamente a bash.

Uso

Tres modos

Códigos de salida

Ubicaciones de salida

• Registro: /var/log/cpanel-cve-fix/scan-<TIMESTAMP>.log
• Informe: /var/log/cpanel-cve-fix/report-<TIMESTAMP>.txt
• Copia de seguridad de evidencias: /root/cve-cleanup-backup-<TIMESTAMP>/

Qué comprueba (fase de escaneo)

Qué hace (fase de arreglo / automática)

• Mata los procesos de malware conocidos (tras capturar PID, cmdline, ruta del ejecutable)
• Bloquea las IPs de C2 conocidas en CSF si está presente; si no, iptables (y persiste las reglas)
• Purga /var/cpanel/sessions/raw/* (con copia de seguridad tar.gz primero)
• Reinicia cpsrvd, cpdavd, cphulkd, queueprocd, dnsadmin
• Parchea cPanel mediante /scripts/upcp --force (solo en --auto)
• Limpia las cachés del gestor de paquetes, la caché DNS de BIND (rndc flush), los registros antiguos de journal
• Endurece activando LF_INTEGRITY de CSF si está disponible

Qué deliberadamente NO hace

Estas acciones causarían más daño que beneficio si se ejecutan sin supervisión por SSH, así que van al informe de acciones manuales en su lugar:

• ❌ Rotar claves SSH (te bloquearía el acceso al mismo equipo en el que lo estás ejecutando)
• ❌ Rotar contraseñas de cPanel / MySQL / correo (el script no puede actualizar todas las configuraciones dependientes)
• ❌ Restaurar datos desde copia de seguridad (solo tú conoces tu punto de restauración conocido-bueno)
• ❌ Eliminar archivos arbitrarios en /home/*/public_html
• ❌ Eliminar en masa entradas de cron

Uso en flota

Para barrer muchos servidores desde una jump-box:

Luego filtra los informes:

Acciones manuales que aún debes realizar tras ejecutar el script

El script listará estas acciones en su informe. Ninguna de ellas puede automatizarse de forma segura.

1. Rota todas las contraseñas locales de Linux (el atacante tiene /etc/shadow)
2. Rota las contraseñas de cPanel + revendedores desde WHM
3. Rota todas las contraseñas de MySQL/base de datos y actualiza wp-config.php, .env, config.php, etc.
4. Rota la contraseña de cada cuenta de correo
5. Rota todos los tokens de API (cPanel, WHM, terceros)
6. Regenera las claves SSH de root y de cualquier usuario de TI — y elimina la clave pública antigua de GitHub / GitLab / Bitbucket / CI / destinos de despliegue
7. Audita /home/*/public_html en busca de web-shells (archivos .php modificados recientemente)
8. Audita los reenvíos de correo / cuentas FTP / trabajos cron de cPanel en busca de backdoors
9. Restaura datos desde una copia de seguridad tomada antes de la primera marca de tiempo de IOC (a nivel de industria, alrededor del 23 de febrero de 2026)
10. Informa a los clientes afectados de que roten su contraseña de cPanel en cualquier otro lugar donde la hayan reutilizado

Versiones parcheadas de cPanel / WHM

Debes estar en una de estas versiones o superior:

Comprueba la tuya con /usr/local/cpanel/cpanel -V.

Indicadores de compromiso (IOCs)

FAQ

¿Es seguro ejecutarlo en un servidor sano? Sí. El modo por defecto es solo escaneo y no realiza cambios. Los modos de arreglo y automático son idempotentes.

¿Causará tiempo de inactividad? --fix causa una breve interrupción de WHM/cPanel cuando reinicia cpsrvd (~10 segundos). --auto ejecuta /scripts/upcp --force, que puede tardar entre 10 y 30 minutos — los sitios web permanecen activos durante este proceso, pero WHM no está disponible brevemente al final.

Mi versión de cPanel no está en la lista de parcheadas — ¿estoy a salvo? Si estás en un canal anterior a 110.0.x, estás en una versión fuera de soporte. cPanel no publicará un parche. Trata el host como comprometido hasta que se demuestre lo contrario y actualiza con urgencia.

El script dice Killed cuando intenta hacer cualquier cosa. Eso es nuclear.x86 matando activamente tus herramientas. Ejecuta el paso de eliminación manualmente primero:

Luego vuelve a ejecutar el script.

¿Funciona en AlmaLinux / Rocky / CloudLinux / CentOS? Sí — todas las plataformas estándar de cPanel. Probado en AlmaLinux 8, Rocky 9, CloudLinux 7+.

¿Tocará los sitios web de mis clientes? No. El script no modifica nada en /home/*/public_html. Solo toca la configuración a nivel de sistema operativo, las sesiones de cPanel, las reglas de firewall y los procesos conocidos como maliciosos.

Contribuciones

Se aceptan PRs — especialmente para:

• IOCs adicionales (nuevas IPs de C2, nuevos nombres de malware) observados en el mundo real
• Ajustes de endurecimiento específicos por sistema operativo
• Traducciones de la salida del informe

Por favor, no añadas nada que rote credenciales automáticamente o elimine datos de usuario — mantener reducida la superficie destructiva es intencional.

Licencia

MIT. Úsalo, hazle fork, intégralo en tus propias herramientas. Se agradece la atribución, pero no es obligatoria.

Créditos

Construido por WHMCSPilot.com — SM.

Crédito de la investigación de la vulnerabilidad: equipo de seguridad de cPanel, watchTowr Labs, Rapid7, KnownHost y la comunidad de hosting en general que compartió IOCs a medida que se desarrollaba la campaña.

Aviso legal

Este script se proporciona tal cual, sin garantía. Es una herramienta de triaje de primera respuesta — no un sustituto de un compromiso completo de respuesta a incidentes. Si manejas PII, datos de pago u otros datos regulados, consulta a tu DPO y a una firma de IR cualificada antes de declarar limpio un equipo comprometido.

Si un servidor ha sido comprometido activamente, la vía más segura es siempre reconstruir desde una copia de seguridad conocida-buena, no limpiar en el lugar.