cpanel-cve-2026-41940-fix

CVE-2026-41940 および nuclear.x86 ボットネットキャンペーンを介して侵害された cPanel/WHM サーバー向けのワンショット検出・修復ツール。

これは何か

2026年4月28日、cPanel は 11.40 以降のすべてのサポート対象 cPanel & WHM バージョン に影響する 事前認証 の認証バイパス脆弱性（CVE-2026-41940、CVSS 9.8）を開示しました。ポート 2087 への単一の HTTP リクエストにより、認証されていない攻撃者が user=root セッションを注入し、WHM に直接侵入できます。

この脆弱性の悪用は、パッチが公開される 6週間前の2026年2月23日以降、実環境で確認されています。複数のサーバーで私たちが駆除したキャンペーンでは、nuclear.x86 と呼ばれる Linux ボットネットと、XMRig ベースの暗号通貨マイナーが配布されています。

このリポジトリには、以下のことを行う単一の Bash スクリプトが含まれています:

• サーバーが 脆弱かどうか を検出（cPanel ビルドチェック）
• サーバーが すでに侵害されているかどうか を検出（11 の IOC チェック）
• 安全に 修復 — マルウェアの強制終了、C2 IP のブロック、偽造セッションの削除、cpsrvd の再起動
• /scripts/upcp --force による cPanel/WHM の パッチ適用
• フォレンジックレポートの生成と証拠の保存

ホスティングプロバイダー、システム管理者、cPanel リセラー がサーバーフリートを迅速にトリアージするために設計されています。

⚠️ 実行前の注意

ダウンロード時に wget や curl が Killed を返す場合、マルウェアはまだ実行中です — nuclear.x86 はクリーンアップを防ぐためにダウンロードツールを積極的に強制終了します。最初に強制終了ステップを実行してください（スクリプトは --fix モードでこれを自動的に行います）。

このスクリプトをダウンロードできない場合は、SSH 経由でラップトップからコピー＆ペーストするか、scp を使用してください。

インストール

# cPanel サーバー上で root として実行:
cd /root
wget https://raw.githubusercontent.com/shahidmallaofficial/cpanel-cve-2026-41940-fix/main/fix-cpanel-cve-2026-41940.sh
chmod +x fix-cpanel-cve-2026-41940.sh

または curl を使用:

cd /root
curl -fsSLO https://raw.githubusercontent.com/shahidmallaofficial/cpanel-cve-2026-41940-fix/main/fix-cpanel-cve-2026-41940.sh
chmod +x fix-cpanel-cve-2026-41940.sh

ワンライナー（最初にスクリプトを確認してから実行）:

cd /root && \
curl -fsSLO https://raw.githubusercontent.com/shahidmallaofficial/cpanel-cve-2026-41940-fix/main/fix-cpanel-cve-2026-41940.sh && \
chmod +x fix-cpanel-cve-2026-41940.sh && \
less fix-cpanel-cve-2026-41940.sh
# 確認後、実行:
./fix-cpanel-cve-2026-41940.sh

実行前に検証してください。 このスクリプトは root として実行され、システム状態を変更します。まず開いて読んでください。インターネットから取得したランダムなスクリプトを直接 bash にパイプしないでください。

使用方法

3つのモード

# 1. スキャンのみ（デフォルト、変更なし — 常に安全に実行可能）
./fix-cpanel-cve-2026-41940.sh

# 2. スキャン + 修復、各破壊的操作の前に確認プロンプトあり
./fix-cpanel-cve-2026-41940.sh --fix

# 3. 完全自動: 修復 + cPanel 更新 + キャッシュクリア + 軽度のハードニング
./fix-cpanel-cve-2026-41940.sh --auto

# 4. 無人実行（プロンプトなし — cron、ジャンプボックス、フリートスクリプト用）
./fix-cpanel-cve-2026-41940.sh --auto -y

# 5. ヘルプ
./fix-cpanel-cve-2026-41940.sh --help

終了コード

出力場所

• ログ: /var/log/cpanel-cve-fix/scan-<TIMESTAMP>.log
• レポート: /var/log/cpanel-cve-fix/report-<TIMESTAMP>.txt
• 証拠バックアップ: /root/cve-cleanup-backup-<TIMESTAMP>/

チェック内容（スキャンフェーズ）

実行内容（fix / auto フェーズ）

• 既知のマルウェアプロセスを 強制終了（PID、コマンドライン、exe パスをスナップショット後）
• 既知の C2 IP を CSF があれば CSF で、なければ iptables で ブロック（ルールを永続化）
• /var/cpanel/sessions/raw/* を 削除（事前に tar.gz バックアップ作成）
• cpsrvd、cpdavd、cphulkd、queueprocd、dnsadmin を 再起動
• /scripts/upcp --force で cPanel を パッチ適用（--auto のみ）
• パッケージマネージャーのキャッシュ、BIND DNS キャッシュ（rndc flush）、古いジャーナルログを クリア
• CSF LF_INTEGRITY が利用可能な場合に有効化して ハードニング

意図的に行わないこと

これらは SSH 経由で無人実行すると害の方が大きいため、手動アクション用レポートに記載されます:

• ❌ SSH キーのローテーション（実行中のサーバーから自分自身をロックアウトする可能性）
• ❌ cPanel / MySQL / メールパスワードのローテーション（スクリプトはすべての依存設定を更新できない）
• ❌ バックアップからのデータ復元（最後に確認済みの復元ポイントを知っているのはあなただけ）
• ❌ /home/*/public_html 内の任意のファイルの削除
• ❌ Cron エントリの一括削除

フリート使用法

ジャンプボックスから多数のサーバーを一括処理する場合:

mkdir -p reports
while read -r host; do
    echo "=== $host ==="
    scp fix-cpanel-cve-2026-41940.sh "root@${host}:/root/" >/dev/null
    ssh "root@${host}" '/root/fix-cpanel-cve-2026-41940.sh --auto -y'
    scp "root@${host}:/var/log/cpanel-cve-fix/report-*.txt" "reports/${host}.txt" 2>/dev/null
done < servers.txt

その後、レポートを grep:

grep -l "COMPROMISE INDICATORS PRESENT" reports/*

スクリプト実行後も手動で行う必要があるアクション

スクリプトはレポートにこれらをリスト表示します。いずれも安全に自動化できません。

1. すべてのローカル Linux パスワード をローテーション（攻撃者は /etc/shadow を入手済み）
2. WHM から cPanel + リセラーパスワード をローテーション
3. すべての MySQL/データベースパスワード をローテーションし、wp-config.php、.env、config.php などを更新
4. すべてのメールアカウントパスワード をローテーション
5. すべての API トークン をローテーション（cPanel、WHM、サードパーティ）
6. root およびすべての IT ユーザーの SSH キー を再生成 — 古い公開鍵を GitHub / GitLab / Bitbucket / CI / デプロイ先から削除
7. /home/*/public_html の ウェブシェル を監査（最近変更された .php ファイル）
8. cPanel の メールフォワーダー / FTP アカウント / cron ジョブ にバックドアがないか監査
9. 最初の IOC タイムスタンプより前 に取得したバックアップからデータを復元（業界全体で約 2026年2月23日）
10. 影響を受けた顧客に、cPanel パスワードを 他の場所で再利用している場合 すべてローテーションするよう通知

パッチ済み cPanel / WHM バージョン

以下のビルド以上である必要があります:

自分のバージョンは /usr/local/cpanel/cpanel -V で確認してください。

侵害インジケータ（IOC）

FAQ

正常なサーバーで実行しても安全ですか？ はい。デフォルトモードはスキャンのみで変更は行いません。fix および auto モードは冪等です。

ダウンタイムは発生しますか？ --fix は cpsrvd の再起動時に短時間（約10秒）の WHM/cPanel 中断を引き起こします。--auto は /scripts/upcp --force を実行し、10〜30分かかる場合があります — この間ウェブサイトは稼働し続けますが、最後に WHM が一時的に利用できなくなります。

私の cPanel バージョンがパッチ済みリストにありません — 安全ですか？ 110.0.x より古いトラックを使用している場合、それはサポート終了バージョンです。cPanel はパッチを提供しません。ホストは侵害されているものとして扱い、証明されるまでそのままにし、緊急にアップグレードしてください。

スクリプトが何かを実行しようとすると Killed と表示されます。 それは nuclear.x86 がツールを積極的に強制終了しているためです。最初に手動で強制終了ステップを実行してください:

pkill -9 -f nuclear.x86

その後、スクリプトを再実行してください。

AlmaLinux / Rocky / CloudLinux / CentOS で動作しますか？ はい — すべての標準的な cPanel プラットフォームで動作します。AlmaLinux 8、Rocky 9、CloudLinux 7+ でテスト済みです。

顧客のウェブサイトに影響しますか？ いいえ。スクリプトは /home/*/public_html 内の何も変更しません。OS レベルの設定、cPanel セッション、ファイアウォールルール、既知の悪性プロセスのみに触れます。

コントリビューション

PR 歓迎 — 特に以下のもの:

• 実環境で確認された追加の IOC（新しい C2 IP、新しいマルウェア名）
• OS 固有のハードニング調整
• レポート出力の翻訳

認証情報を自動ローテーションしたり、ユーザーデータを削除したりするものは追加しないでください — 破壊的範囲を狭く保つことは意図的です。

ライセンス

MIT。使用、フォーク、独自ツールへの統合は自由です。帰属表示は歓迎しますが必須ではありません。

クレジット

WHMCSPilot.com — SM によって構築されました。

脆弱性調査クレジット: cPanel セキュリティチーム、watchTowr Labs、Rapid7、KnownHost、およびキャンペーン展開中に IOC を共有した広範なホスティングコミュニティ。

免責事項

このスクリプトは現状のまま提供され、保証はありません。これは 初動対応トリアージツール であり、完全なインシデントレスポンス対応の代わりにはなりません。PII、決済データ、その他の規制対象データを扱う場合は、侵害されたボックスをクリーンと宣言する前に、DPO および資格のある IR 企業に相談してください。

サーバーが積極的に侵害されている場合、最も安全な方法は常に、既知の良好なバックアップからの再構築であり、その場でのクリーンアップではありません。