CVE-2026-41940 के लिए cPanel IOC डिटेक्टर

उन cPanel/WHM सर्वरों के लिए रीड-ओनली IOC डिटेक्टर जो CVE-2026-41940 और संबंधित समझौते-के-बाद की गतिविधि से प्रभावित हो सकते हैं।

यह स्क्रिप्ट एक ऑपरेटर को .sorry रैनसमवेयर संकेतक, Mr_Rot13 Filemanager बैकडोर निशान, संदिग्ध cron प्रविष्टियाँ, SSH कुंजी परिवर्तन, कॉलबैक निशान, और cPanel लॉग विसंगतियों की समीक्षा करने में मदद करती है।

यहाँ से शुरू करें

Ping7 संसाधन

• सभी GitHub टूल्स: https://ping7.cc/github-tools/
• पूर्ण सेल्फ-चेक गाइड: https://ping7.cc/guides/cpanel-cve-2026-41940-self-check/
• CVE मरम्मत सेवा: https://ping7.cc/cve-repair/
• नमूना मरम्मत रिपोर्ट: https://ping7.cc/cve-repair/sample-report/
• लाइव CVE अलर्ट: https://t.me/ping7cve

समस्या या मरम्मत

जब डिटेक्टर क्रैश होता है, अस्पष्ट परिणाम देता है, गलत सकारात्मक संकेत देता है, या दस्तावेज़ीकरण की सफाई की आवश्यकता होती है, तो GitHub issue खोलें। उदाहरण को गैर-संवेदनशील रखें।

जब परिणाम SUSPICIOUS या COMPROMISED हो, या जब साक्ष्य में लाइव डोमेन, ग्राहक फ़ाइलें, निजी लॉग, SSH कुंजी, cron प्रविष्टियाँ, या रैनसमवेयर निशान शामिल हों जिन्हें सार्वजनिक रूप से पोस्ट नहीं किया जाना चाहिए, तो Ping7 मरम्मत का उपयोग करें।

रखने योग्य साक्ष्य

• डिटेक्टर आउटपुट और संस्करण।
• WHM/cPanel संस्करण और OS परिवार।
• पहली संदिग्ध टाइमस्टैम्प।
• रैनसमवेयर एक्सटेंशन उदाहरण, यदि आवश्यक हो तो स्वच्छित।
• अज्ञात SSH कुंजी, cron जॉब, वेब-रूट पथ, या cPanel सत्र विसंगतियाँ।
• क्या Apache, ModSecurity, cphulkd, और रूट लॉगिन लॉग अभी भी उपलब्ध हैं।

इस रेपो का उपयोग कब करें

• आप cPanel/WHM सर्वर संचालित करते हैं या उसकी समीक्षा करने की स्पष्ट अनुमति रखते हैं।
• सर्वर को देर से पैच किया गया था या पैच विंडो प्रलेखित नहीं थी।
• किसी ग्राहक ने रीडायरेक्ट, एन्क्रिप्टेड फ़ाइलें, बदले हुए वेब रूट, या अज्ञात व्यवस्थापक गतिविधि की सूचना दी।
• आपको एक टर्मिनल परिणाम चाहिए जिसे घटना टिकट में चिपकाया जा सके।
• आप सफाई या समझौता समीक्षा के लिए भुगतान करने से पहले एक प्रारंभिक जाँच चाहते हैं।

त्वरित आरंभ

पहले निरीक्षण करें:

curl -fsSLO https://raw.githubusercontent.com/limo57640-crypto/cpanel-cve-41940-detector/main/detect.sh
less detect.sh
sudo bash detect.sh

रिमोट शेल सामग्री को सीधे रूट में न चलाएँ। स्क्रिप्ट डाउनलोड करें, उसकी समीक्षा करें, फिर उसे उस सर्वर पर चलाएँ जिसके लिए आप ज़िम्मेदार हैं।

इसे कब चलाएँ

इसे cPanel/WHM सर्वर पर तब चलाएँ जब:

• CVE-2026-41940 के बाद सर्वर को देर से पैच किया गया था।
• .sorry या अन्य अप्रत्याशित एन्क्रिप्टेड फ़ाइल एक्सटेंशन दिखाई दें।
• किसी होस्टिंग ग्राहक ने रीडायरेक्ट, वेबशेल, या बदली हुई फ़ाइलों की सूचना दी।
• WHM लॉगिन, SSH कुंजी, cron प्रविष्टियाँ, या सार्वजनिक वेब रूट अप्रत्याशित रूप से बदल गए।
• गहन समझौता समीक्षा से पहले आपको एक त्वरित प्रारंभिक जाँच चाहिए।

यह क्या जाँचता है

आउटपुट

• CLEAN: कोई स्पष्ट IOC मेल नहीं।
• SUSPICIOUS: विसंगति मिली, मैन्युअल समीक्षा आवश्यक।
• COMPROMISED: मजबूत IOC मेल, तत्काल कार्रवाई आवश्यक।
• ERROR: पहुँच अनुपलब्ध, cPanel अनुपलब्ध, या कोई अन्य रनटाइम समस्या।

नमूना आउटपुट

cPanel CVE-2026-41940 IOC Detector

Checks run:     12
Suspicious:     2
Compromised:    0

STATUS: SUSPICIOUS - INVESTIGATE FURTHER
Review cPanel sessions, cron entries, SSH keys, and web-root changes.
Guide: https://ping7.cc/guides/cpanel-cve-2026-41940-self-check

एग्ज़िट कोड

सीमाएँ

• यह साबित नहीं कर सकता कि किसी सर्वर से कभी समझौता नहीं हुआ।
• यह केवल वर्तमान होस्ट पर उपलब्ध फ़ाइलों, लॉग और रनटाइम स्थिति की जाँच करता है।
• रोटेट किए गए लॉग, हटाई गई फ़ाइलें, माउंटेड बैकअप, या प्रदाता प्रतिबंध उपयोगी साक्ष्य छिपा सकते हैं।
• ज्ञात IOC जाँचें जल्दी पुरानी हो जाती हैं। नया cPanel घटना डेटा आने पर रेपो की फिर से जाँच करें।

मरम्मत हैंडऑफ़

यदि परिणाम SUSPICIOUS या COMPROMISED है, तो आउटपुट रखें और भेजें:

Domain or server:
WHM/cPanel version:
CVE: CVE-2026-41940
Detector result: CLEAN / SUSPICIOUS / COMPROMISED / ERROR
First suspicious timestamp:
Symptoms: ransomware extension, unknown admin, redirect, SSH key, cron, webshell, or log anomaly
Logs still available: yes / no

पहले संदेश में पासवर्ड न भेजें। लक्षण, टाइमस्टैम्प, स्क्रीनशॉट और स्वच्छित लॉग अंश भेजें।

पैचिंग पर्याप्त क्यों नहीं है

यदि सर्वर सक्रिय शोषण विंडो के दौरान उजागर हुआ था, तो हमलावरों ने ऐसी स्थिरता जोड़ी हो सकती है जो cPanel अपडेट के बाद भी बनी रहती है। यह टूल अवशेष और समझौते-के-बाद के संकेतकों पर केंद्रित है।

अगर इसे कुछ मिले तो क्या करें

1. सफाई से पहले लॉग और संदिग्ध फ़ाइलों को संरक्षित करें।
2. यदि संभव हो तो सर्वर का स्नैपशॉट लें।
3. WHM, SSH, डेटाबेस और ग्राहक पासवर्ड बदलें।
4. साक्ष्य दर्ज करने के बाद ही स्थिरता हटाएँ।
5. सफाई के बाद डिटेक्टर को फिर से चलाएँ।

मरम्मत सहायता चाहिए: https://ping7.cc/cve-repair

योगदान

गलत सकारात्मक, छूटे हुए रक्षात्मक संकेत, या नए सुरक्षित IOC स्रोत के लिए issue खोलें। cPanel बिल्ड, OS परिवार, डिटेक्टर संस्करण और स्वच्छित आउटपुट शामिल करें। ग्राहक डेटा, रहस्य, लाइव हमलावर बुनियादी ढाँचा, या हमले के स्ट्रिंग पोस्ट न करें।

रक्षात्मक दायरा

यह प्रोजेक्ट केवल रक्षात्मक है। इसे केवल उन प्रणालियों पर चलाएँ जिनके मालिक आप हैं या जिनके ऑडिट के लिए आप अधिकृत हैं।

कोई पेलोड नहीं। कोई व्यापक स्कैनिंग नहीं। कोई शोषण चरण नहीं।

लाइसेंस

MIT