CVE-2026-41940 — WHM/cPanel 認証バイパス調査ツール

このリポジトリには、cPanel/WHM（whostmgrsession クッキーとHTTPヘッダーを介した）認証バイパスチェーンに基づく**概念実証（PoC）**スクリプトが含まれています。このスクリプトは、侵入成功後にrootパスワードを変更し、結果をファイルに書き込みます。

法的免責事項

このソフトウェアは、明示的な許可があるシステム（自身のラボ環境、契約済みペネトレーションテスト、ベンダー承認済みのセキュリティテスト）でのみ使用してください。無許可のアクセスは、ほとんどの国で犯罪です。このREADMEは、セキュリティ研究と防御意識向上のみを目的としており、著者は悪用による責任を負いません。

機能

• ターゲットリスト（targets.txt など）による複数ターゲットのスキャン
• デフォルトのWHM TLSポート2087。スキームはhttpsに正規化されます
• フェーズ: 事前セッション（/login）、CRLFインジェクションによる/cpsessリーク、do_token_deniedトリガー、/json-api/versionによる検証
• パスワード変更が確認されたターゲットは**res.txt**ファイルに追記されます
• オプションのHostヘッダー上書き（リバースプロキシ/仮想ホストシナリオ）
• マルチスレッド（ThreadPoolExecutor）

要件

• Python 2.7（#!/usr/bin/env python2.7 — スクリプトはPython 2構文とurllib/urlparseを使用）
• 依存関係: requirements.txt

pip install -r requirements.txt

注: Python 2でconcurrent.futuresを使用するにはfuturesパッケージが必要です（ファイルに記載されています）。スクリプトをPython 3に移植するには、urllib、urlparse、print、unicode/strなどの違いを適応させる必要がありますが、このリポジトリでは行われていません。

使用方法

python CVE-2026-41940.py <ターゲットリストファイル> [--hostname CANONICAL_HOST] [--threads N] [--timeout 秒]

出力:

• コンソールへのフェーズごとのログ
• パスワード変更が成功したとみなされたターゲットのみ、URLとセッション情報の形式で**res.txt**に書き込まれます

防御と堅牢化の推奨事項（概要）

• WHM/cPanelおよび関連コンポーネントを最新に保ち、セキュリティ情報を監視してください。
• 2087（および不要な管理ポート）には、送信元IP制限またはVPNアクセスを使用してください。
• 異常なAuthorization/クッキーの組み合わせや予期しないリダイレクトについては、WAFとログ相関を検討してください。

ファイル構成

├── CVE-2026-41940.py   # メインスクリプト
├── requirements.txt    # pip依存関係
└── README.md

倫理的な使用

侵入後に本番システムでパスワードを変更することは、データ損失やサービス停止のリスクを伴います。非本番の隔離されたラボ環境で、書面による許可を得てテストしてください。得られた調査結果は、責任ある開示（coordinated disclosure）プロセスを通じて共有してください。