zerodayevil/cve-2026-41940-pocCódigo de prueba de concepto que demuestra CVE-2026-41940, proporcionando un caso de prueba reproducible para la verificación de vulnerabilidades y la investigación de seguridad.
🛡️ Módulo de Herramienta de Seguridad de IA
CVE-2026-41940: RCE Root No Autenticado en cPanel & WHM (Inyección de Sesión CRLF)
Módulo Oficial de Auditoría de Seguridad y Explotación para el Ecosistema de Herramientas de Seguridad de IA
🌐 Demostración Web • 📚 Sitio Web del Proyecto • 💬 Chat de la Comunidad
Navegación del Sitio Web: Inicio • Actualizaciones • Descargas • Módulos
Este módulo proporciona herramientas de diagnóstico integrales y rutinas de evaluación técnica para CVE-2026-41940, una vulnerabilidad crítica de omisión de autenticación no autenticada en cPanel & WHM (CVSS 10.0). Al aprovechar el manejo inadecuado de secuencias CRLF dentro del analizador del encabezado HTTP Authorization durante la inicialización prematura de la sesión, un atacante puede manipular los archivos de sesión del lado del servidor y lograr una autorización completa de WHM a nivel root sin credenciales válidas.
"Controla la sesión, domina el host."
Debido a que las interfaces de WHM operan directamente bajo privilegios administrativos, los vectores de omisión de autenticación en los puertos de administración (2083/2087) representan riesgos inmediatos de compromiso total en las instalaciones de Web Host Manager.
| Especificación | Valor asignado | Notas |
|---|---|---|
| Identificador CVE | CVE-2026-41940 |
Bypass de inyección de encabezado de sesión en cPanel & WHM |
| Calificación de gravedad | Crítica (CVSS v3.1: 10.0) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| Tipo de vulnerabilidad | CWE-113 / CWE-287 |
Inyección CRLF y bypass de autenticación |
| Componente afectado | Demonio de sesión de cPanel & WHM (cpsrvd) |
Motor de análisis del encabezado HTTP Authorization |
| Vector de ataque | Red (TCP 2083 / 2087) | Solicitud HTTP de autorización manipulada sin autenticación |
| Privilegios requeridos | Ninguno | No se requiere autenticación ni interacción del usuario |
graph TD
A[Unauthenticated Attacker] -->|Crafted Authorization Header with CRLF| B[cPanel / WHM Service]
B -->|Premature Session File Generation| C[Inject Parameters into Session Data]
C -->|Bypass Credential Validation| D[Grant Elevated WHM Administrative Token]
D -->|Post-Exploitation Actions| E[Full System Root Compromise]
| Rama | Rango de versiones vulnerables | Versión parcheada |
|---|---|---|
| 110.x | ≤ 11.110.0.96 |
11.110.0.97 |
| 118.x | ≤ 11.118.0.62 |
11.118.0.63 |
| 126.x | ≤ 11.126.0.53 |
11.126.0.54 |
| 132.x | ≤ 11.132.0.28 |
11.132.0.29 |
| 134.x | ≤ 11.134.0.19 |
11.134.0.20 |
| 136.x | ≤ 11.136.0.4 |
11.136.0.5 |
Consulta de Splunk Enterprise:
index=cpanel sourcetype=cpanel_access_log
| rex field=_raw "(?i)authorization:\s*(?[^\r\n]+)"
| where match(auth_header, "[\r\n]") OR match(auth_header, "%0D%0A")
| stats count by clientip, http_user_agent, uri_path, auth_header
| sort - countConsulta de Microsoft Sentinel:
CommonSecurityLog
| where DeviceVendor =~ "cPanel" or DeviceProduct has "WHM"
| where AdditionalExtensions has "Authorization"
| where AdditionalExtensions matches regex "(\r\n|\n|\r|%0D%0A)"
| summarize EventCount = count(), IPs = make_set(SourceIP, 10) by bin(TimeGenerated, 5m), DeviceName
| where EventCount > 0