cpanel-cve-41940-detector

Détecteur en lecture seule d'IOC cPanel CVE-2026-41940 pour le rançongiciel .sorry, les backdoors Mr_Rot13 Filemanager, les rappels C2, cron, SSH et les journaux.

Commencer ici

Ressources Ping7

• Tous les outils GitHub : https://ping7.cc/github-tools/
• Guide d'auto-vérification complet : https://ping7.cc/guides/cpanel-cve-2026-41940-self-check/
• Service de réparation CVE : https://ping7.cc/cve-repair/
• Exemple de rapport de réparation : https://ping7.cc/cve-repair/sample-report/
• Alertes CVE en direct : https://t.me/ping7cve

Problème ou réparation

Ouvrez un ticket GitHub lorsque le détecteur plante, donne un résultat peu clair, signale un faux positif ou a besoin d'une mise à jour de la documentation. Conservez l'exemple non sensible.

Utilisez la réparation Ping7 lorsque le résultat est SUSPICIOUS ou COMPROMISED, ou lorsque les preuves incluent des domaines actifs, des fichiers clients, des logs privés, des clés SSH, des entrées cron ou des traces de ransomware qui ne devraient pas être publiées en public.

Preuves à conserver

• Sortie et version du détecteur.
• Version WHM/cPanel et famille d'OS.
• Premier horodatage suspect.
• Exemples d'extension de ransomware, anonymisés si nécessaire.
• Clés SSH inconnues, tâches cron, chemins de racine web ou anomalies de session cPanel.
• Si les logs Apache, ModSecurity, cphulkd et les connexions root sont encore disponibles.

Utilisez ce dépôt lorsque

• Vous gérez le serveur cPanel/WHM ou avez une autorisation explicite pour l'examiner.
• Le serveur a été patché tardivement ou la fenêtre de patch n'a pas été documentée.
• Un client a signalé des redirections, des fichiers chiffrés, des racines web modifiées ou une activité administrateur inconnue.
• Vous avez besoin d'un résultat en terminal pouvant être collé dans un ticket incident.
• Vous voulez un premier passage avant de payer pour un nettoyage ou une revue de compromission.

Démarrage rapide

Inspectez d'abord :

N'exécutez pas directement du contenu shell distant en root. Téléchargez le script, examinez-le, puis exécutez-le sur le serveur dont vous êtes responsable.

Quand l'exécuter

Exécutez ceci sur un serveur cPanel/WHM lorsque :

• Le serveur a été patché tardivement après CVE-2026-41940.
• Des extensions .sorry ou d'autres extensions de fichiers chiffrés inattendues apparaissent.
• Un client d'hébergement a signalé des redirections, des webshells ou des fichiers modifiés.
• Les connexions WHM, les clés SSH, les entrées cron ou les racines web publiques ont changé de manière inattendue.
• Vous avez besoin d'un premier passage rapide avant une revue plus approfondie de compromission.

Ce qu'il vérifie

Sortie

• CLEAN : aucune correspondance IOC évidente.
• SUSPICIOUS : anomalie trouvée, examen manuel nécessaire.
• COMPROMISED : forte correspondance IOC, action immédiate requise.
• ERROR : accès manquant, cPanel manquant ou autre problème d'exécution.

Exemple de sortie

Codes de sortie

Limites

• Il ne peut pas prouver qu'un serveur n'a jamais été compromis.
• Il vérifie uniquement les fichiers, logs et l'état d'exécution disponibles sur l'hôte actuel.
• Les logs tournés, fichiers supprimés, sauvegardes montées ou restrictions du fournisseur peuvent cacher des preuves utiles.
• Les vérifications IOC connues vieillissent rapidement. Revérifiez le dépôt lorsque de nouvelles données d'incident cPanel apparaissent.

Transfert pour réparation

Si le résultat est SUSPICIOUS ou COMPROMISED, conservez la sortie et envoyez :

N'envoyez pas de mots de passe dans le premier message. Envoyez des symptômes, horodatages, captures d'écran et extraits de logs anonymisés.

Pourquoi le patching ne suffit pas

Si le serveur a été exposé pendant la fenêtre d'exploitation active, les attaquants peuvent avoir ajouté une persistance qui survit à une mise à jour cPanel. Cet outil se concentre sur les résidus et les indicateurs post-compromission.

Que faire s'il trouve quelque chose

1. Conservez les logs et fichiers suspects avant le nettoyage.
2. Faites un instantané du serveur si possible.
3. Rotation des mots de passe WHM, SSH, base de données et clients.
4. Supprimez la persistance uniquement après avoir enregistré les preuves.
5. Réexécutez le détecteur après le nettoyage.

Besoin d'aide pour la réparation : https://ping7.cc/cve-repair

Contribution

Ouvrez un ticket pour un faux positif, un signal défensif manqué ou une nouvelle source IOC sûre. Incluez la version cPanel, la famille d'OS, la version du détecteur et une sortie anonymisée. Ne publiez pas de données clients, de secrets, d'infrastructure d'attaquant active ou de chaînes d'attaque.

Périmètre défensif

Ce projet est uniquement défensif. Exécutez-le uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à auditer. Pas de charges utiles. Pas de balayage large. Pas d'étapes d'exploitation.

Licence

MIT