cpanel-cve-2026-41940-fix

Détection et remédiation en une seule passe pour les serveurs cPanel/WHM compromis via CVE-2026-41940 et la campagne du botnet nuclear.x86.

---

Ce que c'est

Le 28 avril 2026, cPanel a divulgué une vulnérabilité de contournement d'authentification pré-authentification (CVE-2026-41940, CVSS 9.8) affectant toutes les versions prises en charge de cPanel & WHM après la 11.40. Une seule requête HTTP vers le port 2087 permet à un attaquant non authentifié d'injecter une session user=root et d'accéder directement à WHM.

L'exploitation a été observée dans la nature depuis au moins le 23 février 2026 — six semaines avant la publication du correctif. La campagne que nous avons nettoyée sur plusieurs serveurs installe un botnet Linux nommé nuclear.x86 ainsi qu'un mineur de crypto-monnaie basé sur XMRig.

Ce dépôt contient un unique script Bash qui :

• Détecte si votre serveur est vulnérable (vérification de la build cPanel)
• Détecte si votre serveur est déjà compromis (11 vérifications IOC)
• Remédie en toute sécurité — tue les malwares, bloque les IP C2, purge les sessions falsifiées, redémarre cpsrvd
• Corrige cPanel/WHM via /scripts/upcp --force
• Génère un rapport forensique et préserve les preuves

Il est conçu pour les hébergeurs, administrateurs système et revendeurs cPanel qui doivent trier rapidement un parc de serveurs.

---

⚠️ Avant d'exécuter quoi que ce soit

Si wget ou curl renvoient Killed lorsque vous essayez de télécharger des fichiers, le malware est toujours actif — nuclear.x86 tue activement les outils de téléchargement pour empêcher le nettoyage. Exécutez d'abord l'étape de kill (le script le fait pour vous en mode --fix).

Si vous ne pouvez pas télécharger ce script pour cette raison, copiez-collez-le via SSH depuis votre ordinateur portable, ou utilisez scp.

---

Installation

# En tant que root, sur le serveur cPanel :
cd /root
wget https://raw.githubusercontent.com/shahidmallaofficial/cpanel-cve-2026-41940-fix/main/fix-cpanel-cve-2026-41940.sh
chmod +x fix-cpanel-cve-2026-41940.sh

Ou avec curl :

cd /root
curl -fsSLO https://raw.githubusercontent.com/shahidmallaofficial/cpanel-cve-2026-41940-fix/main/fix-cpanel-cve-2026-41940.sh
chmod +x fix-cpanel-cve-2026-41940.sh

En une ligne (relisez d'abord le script, puis exécutez-le) :

cd /root && \
curl -fsSLO https://raw.githubusercontent.com/shahidmallaofficial/cpanel-cve-2026-41940-fix/main/fix-cpanel-cve-2026-41940.sh && \
chmod +x fix-cpanel-cve-2026-41940.sh && \
less fix-cpanel-cve-2026-41940.sh
# Après relecture, exécutez-le :
./fix-cpanel-cve-2026-41940.sh

Vérifiez avant d'exécuter. Ce script s'exécute en root et modifie l'état du système. Ouvrez-le et lisez-le d'abord. Ne pipez pas des scripts aléatoires d'Internet directement dans bash.

---

Utilisation

Trois modes

# 1. Analyse uniquement (par défaut, aucune modification — toujours sûr à exécuter)
./fix-cpanel-cve-2026-41940.sh

# 2. Analyse + remédiation, avec une invite de confirmation pour chaque action destructive
./fix-cpanel-cve-2026-41940.sh --fix

# 3. Automatique complet : correction + mise à jour cPanel + purge du cache + durcissement léger
./fix-cpanel-cve-2026-41940.sh --auto

# 4. Sans intervention (aucune invite — pour cron, jump-boxes, scripts de parc)
./fix-cpanel-cve-2026-41940.sh --auto -y

# 5. Aide
./fix-cpanel-cve-2026-41940.sh --help

Codes de sortie

Code	Signification
0	Propre — aucun IOC détecté
2	Indicateurs de compromission détectés (consultez le rapport)
1 / autre	Échec de pré-vol (pas root, pas un serveur cPanel, etc.)

Emplacements de sortie

• Journal : /var/log/cpanel-cve-fix/scan-<TIMESTAMP>.log
• Rapport : /var/log/cpanel-cve-fix/report-<TIMESTAMP>.txt
• Sauvegarde des preuves : /root/cve-cleanup-backup-<TIMESTAMP>/

---

Ce qu'il vérifie (phase d'analyse)

#	Vérification	Ce qu'elle détecte
1	Build cPanel vs versions corrigées	Hôtes vulnérables (liste les 6 builds corrigées)
2	Processus en cours	nuclear.x86, xmrig, cpuminer, minerd, xmr-stak, 4thepool_miner
3	Connexions réseau actives	Les trois IP C2 connues + ports des pools de minage
4	Fichiers d'historique shell	Commandes IOC dans bash_history / zsh_history
5	Intégrité du pare-feu	L'étape de sabotage iptables -F
6	Répertoire brut des sessions cPanel	Fichiers de session falsifiés user=root
7	/tmp, /var/tmp, /dev/shm	Exécutables récemment déposés
8	Entrées cron	Persistance (système + par utilisateur)
9	Fichiers authorized_keys	Nouvelles clés SSH — audit en lecture seule
10	Journaux d'accès cPanel	Signatures d'exploitation Go-http-client / python-requests
11	Binaires critiques	wget / curl / ls / ps falsifiés (mtime + vérification RPM)

Ce qu'il fait (phase de correction / automatique)

• Tue les processus malveillants connus (après capture du PID, de la cmdline et du chemin de l'exécutable)
• Bloque les IP C2 connues dans CSF si présent, sinon iptables (et persiste les règles)
• Purge /var/cpanel/sessions/raw/* (avec sauvegarde tar.gz d'abord)
• Redémarre cpsrvd, cpdavd, cphulkd, queueprocd, dnsadmin
• Corrige cPanel via /scripts/upcp --force (uniquement en --auto)
• Purge les caches du gestionnaire de paquets, le cache DNS BIND (rndc flush), les anciens journaux
• Durcit en activant CSF LF_INTEGRITY si disponible

Ce qu'il ne fait volontairement PAS

Ces actions feraient plus de mal que de bien lorsqu'elles sont exécutées sans surveillance via SSH, elles sont donc incluses dans le rapport d'actions manuelles à la place :

• ❌ Rotation des clés SSH (vous enfermerait hors de la machine même sur laquelle vous l'exécutez)
• ❌ Rotation des mots de passe cPanel / MySQL / email (le script ne peut pas mettre à jour toutes les configurations dépendantes)
• ❌ Restauration des données depuis une sauvegarde (seul vous connaissez votre dernier point de restauration connu bon)
• ❌ Suppression de fichiers arbitraires dans /home/*/public_html
• ❌ Suppression massive des entrées cron

---

Utilisation sur un parc de serveurs

Pour balayer de nombreux serveurs depuis une jump-box :

mkdir -p reports
while read -r host; do
    echo "=== $host ==="
    scp fix-cpanel-cve-2026-41940.sh "root@${host}:/root/" >/dev/null
    ssh "root@${host}" '/root/fix-cpanel-cve-2026-41940.sh --auto -y'
    scp "root@${host}:/var/log/cpanel-cve-fix/report-*.txt" "reports/${host}.txt" 2>/dev/null
done < servers.txt

Puis filtrez les rapports :

grep -l "COMPROMISE INDICATORS PRESENT" reports/*

---

Actions manuelles que vous devez encore effectuer après l'exécution du script

Le script listera ces actions dans son rapport. Aucune d'entre elles ne peut être automatisée en toute sécurité.