🛡️ Module d'outil de sécurité IA
CVE-2026-41940 : RCE root non authentifié dans cPanel & WHM (injection de session CRLF)

Module officiel d'audit de sécurité et d'exploitation pour l'écosystème AI Security Tool

---

🌐 Démo web • 📚 Site web du projet • 💬 Chat communautaire

Navigation du site : Accueil • Mises à jour • Téléchargements • Modules

---

🧠 Aperçu conceptuel

Ce module fournit des outils de diagnostic complets et des routines d'évaluation technique pour CVE-2026-41940, une vulnérabilité critique de contournement d'authentification non authentifié dans cPanel & WHM (CVSS 10.0). En exploitant une mauvaise gestion des séquences CRLF dans l'analyseur de l'en-tête HTTP Authorization lors de l'initialisation prématurée de session, un attaquant peut manipuler les fichiers de session côté serveur et obtenir une autorisation WHM complète au niveau root sans identifiants valides.

🎯 Philosophie d'impact fondamental

« Contrôlez la session, possédez l'hôte. »
Étant donné que les interfaces WHM fonctionnent directement avec des privilèges administratifs, les vecteurs de contournement d'authentification sur les ports de gestion (2083/2087) représentent des risques de compromission totale immédiate sur toutes les installations de Web Host Manager.

📊 Spécifications de la vulnérabilité

Spécification	Valeur attribuée	Notes
Identifiant CVE	CVE-2026-41940	Contournement par injection d'en-tête de session dans cPanel & WHM
Niveau de gravité	Critique (CVSS v3.1 : 10.0)	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Type de vulnérabilité	CWE-113 / CWE-287	Injection CRLF et contournement d'authentification
Composant affecté	Démon de session cPanel & WHM (cpsrvd)	Moteur d'analyse des en-têtes d'autorisation HTTP
Vecteur d'attaque	Réseau (TCP 2083 / 2087)	Requête d'autorisation HTTP forgée non authentifiée
Privilèges requis	Aucun	Aucune authentification ni interaction utilisateur requise

🕸 Scénario d'attaque et architecture

graph TD
    A[Unauthenticated Attacker] -->|Crafted Authorization Header with CRLF| B[cPanel / WHM Service]
    B -->|Premature Session File Generation| C[Inject Parameters into Session Data]
    C -->|Bypass Credential Validation| D[Grant Elevated WHM Administrative Token]
    D -->|Post-Exploitation Actions| E[Full System Root Compromise]
  

📋 Tableau des versions affectées

Branche	Plage de versions vulnérables	Version corrigée
110.x	≤ 11.110.0.96	11.110.0.97
118.x	≤ 11.118.0.62	11.118.0.63
126.x	≤ 11.126.0.53	11.126.0.54
132.x	≤ 11.132.0.28	11.132.0.29
134.x	≤ 11.134.0.19	11.134.0.20
136.x	≤ 11.136.0.4	11.136.0.5

🛡 Requêtes de chasse aux menaces et de détection

Requête Splunk Enterprise :

index=cpanel sourcetype=cpanel_access_log 
| rex field=_raw "(?i)authorization:\s*(?[^\r\n]+)"
| where match(auth_header, "[\r\n]") OR match(auth_header, "%0D%0A")
| stats count by clientip, http_user_agent, uri_path, auth_header
| sort - count

Requête Microsoft Sentinel :

CommonSecurityLog
| where DeviceVendor =~ "cPanel" or DeviceProduct has "WHM"
| where AdditionalExtensions has "Authorization"
| where AdditionalExtensions matches regex "(\r\n|\n|\r|%0D%0A)"
| summarize EventCount = count(), IPs = make_set(SourceIP, 10) by bin(TimeGenerated, 5m), DeviceName
| where EventCount > 0