CVE-2026-41940 後の cPanel/WHM フォレンジック

CVE-2026-41940（CVSS 9.8）の脆弱性発生後のサーバーを検査するための Bash スクリプト。 攻撃者は64日間、パスワードなしで root アクセスを保持していました — パッチは内部に持ち込まれたものを削除しません。

実行方法

sudo bash cpanel_forensics.sh

レポートは /tmp/forensics_report_日付.txt に保存されます。

検査内容

• 全ユーザーの SSH authorized_keys
• UID 0 のユーザー
• ld.so.preload によるルートキット
• エイリアス、PATH、コマンドの置き換え
• zsh/bash の自動起動
• Cron、systemd ユニット
• ネットワークアクティビティ、削除されたバイナリを持つプロセス
• Web シェル、.sorry ファイル
• MySQL: secure_file_priv、plugin_dir、UDF、トリガー、権限、バイナリログ

サイバーセキュリティチャンネル: t.me/safebdv