CVE-2026-41940 向け cPanel IOC 検出器

CVE-2026-41940 および関連する侵害後アクティビティの影響を受けた可能性がある cPanel/WHM サーバー向けの読み取り専用 IOC 検出器です。

このスクリプトは、運用担当者が .sorry ランサムウェアの指標、Mr_Rot13 Filemanager バックドアの痕跡、不審な cron エントリ、SSH キーの変更、コールバックの痕跡、cPanel ログの異常を確認するのに役立ちます。

はじめに

Ping7 リソース

• すべての GitHub ツール: https://ping7.cc/github-tools/
• 完全なセルフチェックガイド: https://ping7.cc/guides/cpanel-cve-2026-41940-self-check/
• CVE 修理サービス: https://ping7.cc/cve-repair/
• 修理レポートのサンプル: https://ping7.cc/cve-repair/sample-report/
• ライブ CVE アラート: https://t.me/ping7cve

問題報告または修理

検出器がクラッシュした場合、結果が不明瞭な場合、誤検知を報告した場合、またはドキュメントの整理が必要な場合は、GitHub の issue を開いてください。例は機密情報を含まないものにしてください。

結果が SUSPICIOUS または COMPROMISED の場合、または証拠に実際のドメイン、顧客ファイル、非公開ログ、SSH キー、cron エントリ、ランサムウェアの痕跡など、公開すべきでない情報が含まれる場合は、Ping7 修理を利用してください。

保存すべき証拠

• 検出器の出力とバージョン。
• WHM/cPanel のバージョンと OS ファミリー。
• 最初の不審なタイムスタンプ。
• ランサムウェアの拡張子の例（必要に応じてサニタイズ）。
• 未知の SSH キー、cron ジョブ、Web ルートのパス、または cPanel セッションの異常。
• Apache、ModSecurity、cphulkd、root ログインのログがまだ利用可能かどうか。

このリポジトリを使うべき場合

• cPanel/WHM サーバーを運用している、またはレビューの明示的な承認を得ている場合。
• サーバーのパッチ適用が遅れた、またはパッチ適用期間が記録されていない場合。
• 顧客がリダイレクト、暗号化されたファイル、変更された Web ルート、または不明な管理者アクティビティを報告した場合。
• インシデントチケットに貼り付けられるターミナル結果が必要な場合。
• クリーンアップや侵害レビューに費用を払う前に、最初のチェックを行いたい場合。

クイックスタート

最初に確認:

curl -fsSLO https://raw.githubusercontent.com/limo57640-crypto/cpanel-cve-41940-detector/main/detect.sh
less detect.sh
sudo bash detect.sh

リモートのシェルコンテンツを root で直接実行しないでください。スクリプトをダウンロードして確認してから、あなたが責任を持つサーバー上で実行してください。

実行すべきタイミング

以下の場合に cPanel/WHM サーバーでこれを実行してください:

• CVE-2026-41940 の後にサーバーのパッチ適用が遅れた場合。
• .sorry またはその他の予期しない暗号化ファイル拡張子が出現した場合。
• ホスティング顧客がリダイレクト、Web シェル、または変更されたファイルを報告した場合。
• WHM ログイン、SSH キー、cron エントリ、または公開 Web ルートが予期せず変更された場合。
• より詳細な侵害レビューの前に、迅速な最初のチェックが必要な場合。

チェック内容

出力

• CLEAN: 明らかな IOC マッチなし。
• SUSPICIOUS: 異常が検出されたため、手動レビューが必要。
• COMPROMISED: 強い IOC マッチがあり、即時対応が必要。
• ERROR: アクセス権限の欠落、cPanel の非検出、またはその他の実行時問題。

出力例

cPanel CVE-2026-41940 IOC Detector

Checks run:     12
Suspicious:     2
Compromised:    0

STATUS: SUSPICIOUS - INVESTIGATE FURTHER
Review cPanel sessions, cron entries, SSH keys, and web-root changes.
Guide: https://ping7.cc/guides/cpanel-cve-2026-41940-self-check

終了コード

制限事項

• サーバーが侵害されていないことを証明することはできません。
• 現在のホストで利用可能なファイル、ログ、実行時状態のみをチェックします。
• ローテーションされたログ、削除されたファイル、マウントされたバックアップ、またはプロバイダーによる制限により、有用な証拠が隠れる可能性があります。
• 既知の IOC チェックはすぐに古くなります。新しい cPanel インシデントデータが出現したら、リポジトリを再確認してください。

修理の引き継ぎ

結果が SUSPICIOUS または COMPROMISED の場合は、出力を保持して以下を送信してください:

Domain or server:
WHM/cPanel version:
CVE: CVE-2026-41940
Detector result: CLEAN / SUSPICIOUS / COMPROMISED / ERROR
First suspicious timestamp:
Symptoms: ransomware extension, unknown admin, redirect, SSH key, cron, webshell, or log anomaly
Logs still available: yes / no

最初のメッセージでパスワードを送信しないでください。症状、タイムスタンプ、スクリーンショット、サニタイズしたログの断片を送信してください。

パッチ適用だけでは不十分な理由

サーバーがアクティブな悪用期間中に露出していた場合、攻撃者は cPanel の更新後も残る永続化を追加している可能性があります。このツールは、残存物と侵害後の指標に焦点を当てています。

何かが見つかった場合の対処

1. クリーンアップの前にログと不審なファイルを保存する。
2. 可能であればサーバーのスナップショットを作成する。
3. WHM、SSH、データベース、顧客のパスワードを変更する。
4. 証拠を記録した後でのみ永続化を削除する。
5. クリーンアップ後に検出器を再実行する。

修理のヘルプが必要な場合: https://ping7.cc/cve-repair

貢献

誤検知、見逃された防御シグナル、または新しい安全な IOC ソースについては、issue を開いてください。cPanel ビルド、OS ファミリー、検出器のバージョン、サニタイズした出力を含めてください。顧客データ、機密情報、攻撃者のライブインフラ、攻撃文字列を投稿しないでください。

防御目的の範囲

このプロジェクトは防御のみを目的としています。所有している、または監査を許可されたシステムでのみ実行してください。

ペイロードなし。広範なスキャンなし。悪用手順なし。

ライセンス

MIT