CVE-2026-41940용 cPanel IOC 탐지기

CVE-2026-41940 및 관련 사후 침해 활동의 영향을 받았을 수 있는 cPanel/WHM 서버를 위한 읽기 전용 IOC 탐지기입니다.

이 스크립트는 운영자가 .sorry 랜섬웨어 지표, Mr_Rot13 Filemanager 백도어 흔적, 의심스러운 cron 항목, SSH 키 변경, 콜백 흔적 및 cPanel 로그 이상 징후를 검토하는 데 도움을 줍니다.

시작하기

Ping7 리소스

• 모든 GitHub 도구: https://ping7.cc/github-tools/
• 전체 자가 점검 가이드: https://ping7.cc/guides/cpanel-cve-2026-41940-self-check/
• CVE 수리 서비스: https://ping7.cc/cve-repair/
• 샘플 수리 보고서: https://ping7.cc/cve-repair/sample-report/
• 실시간 CVE 알림: https://t.me/ping7cve

이슈 또는 수리

탐지기가 충돌하거나, 불명확한 결과를 내거나, 오탐지를 표시하거나, 문서 정리가 필요한 경우 GitHub 이슈를 여십시오. 예시는 민감하지 않은 내용으로 유지하십시오.

결과가 SUSPICIOUS 또는 COMPROMISED이거나, 증거에 공개적으로 게시해서는 안 되는 활성 도메인, 고객 파일, 개인 로그, SSH 키, cron 항목 또는 랜섬웨어 흔적이 포함된 경우 Ping7 수리를 이용하십시오.

보관할 증거

• 탐지기 출력 및 버전.
• WHM/cPanel 버전 및 OS 계열.
• 첫 번째 의심스러운 타임스탬프.
• 랜섬웨어 확장자 예시(필요 시 비식별화).
• 알 수 없는 SSH 키, cron 작업, 웹 루트 경로 또는 cPanel 세션 이상 징후.
• Apache, ModSecurity, cphulkd 및 root 로그인 로그가 여전히 사용 가능한지 여부.

이 저장소를 사용해야 하는 경우

• cPanel/WHM 서버를 운영하거나 검토에 대한 명시적 승인이 있는 경우.
• 서버 패치가 늦었거나 패치 기간이 문서화되지 않은 경우.
• 고객이 리디렉션, 암호화된 파일, 변경된 웹 루트 또는 알 수 없는 관리자 활동을 보고한 경우.
• 사고 티켓에 붙여넣을 수 있는 터미널 결과가 필요한 경우.
• 정리 또는 침해 검토 비용을 지불하기 전에 1차 점검을 원하는 경우.

빠른 시작

먼저 검토하십시오:

curl -fsSLO https://raw.githubusercontent.com/limo57640-crypto/cpanel-cve-41940-detector/main/detect.sh
less detect.sh
sudo bash detect.sh

원격 셸 콘텐츠를 root로 직접 실행하지 마십시오. 스크립트를 다운로드하여 검토한 후, 책임을 지고 있는 서버에서 실행하십시오.

실행 시점

다음과 같은 경우 cPanel/WHM 서버에서 실행하십시오:

• CVE-2026-41940 이후 서버 패치가 늦었던 경우.
• .sorry 또는 기타 예상치 못한 암호화된 파일 확장자가 나타나는 경우.
• 호스팅 고객이 리디렉션, 웹셸 또는 변경된 파일을 보고한 경우.
• WHM 로그인, SSH 키, cron 항목 또는 공개 웹 루트가 예기치 않게 변경된 경우.
• 더 깊은 침해 검토 전에 빠른 1차 점검이 필요한 경우.

검사 항목

출력

• CLEAN: 명백한 IOC 일치 없음.
• SUSPICIOUS: 이상 징후 발견, 수동 검토 필요.
• COMPROMISED: 강력한 IOC 일치, 즉시 조치 필요.
• ERROR: 접근 권한 없음, cPanel 없음 또는 기타 런타임 문제.

샘플 출력

cPanel CVE-2026-41940 IOC Detector

Checks run:     12
Suspicious:     2
Compromised:    0

STATUS: SUSPICIOUS - INVESTIGATE FURTHER
Review cPanel sessions, cron entries, SSH keys, and web-root changes.
Guide: https://ping7.cc/guides/cpanel-cve-2026-41940-self-check

종료 코드

제한 사항

• 서버가 한 번도 침해되지 않았음을 증명할 수는 없습니다.
• 현재 호스트에서 사용할 수 있는 파일, 로그 및 런타임 상태만 확인합니다.
• 순환된 로그, 삭제된 파일, 마운트된 백업 또는 공급업체 제한으로 인해 유용한 증거가 숨겨질 수 있습니다.
• 알려진 IOC 검사는 빠르게 구식이 됩니다. 새로운 cPanel 사고 데이터가 나타나면 저장소를 다시 확인하십시오.

수리 인계

결과가 SUSPICIOUS 또는 COMPROMISED인 경우 출력을 보관하고 다음을 보내십시오:

Domain or server:
WHM/cPanel version:
CVE: CVE-2026-41940
Detector result: CLEAN / SUSPICIOUS / COMPROMISED / ERROR
First suspicious timestamp:
Symptoms: ransomware extension, unknown admin, redirect, SSH key, cron, webshell, or log anomaly
Logs still available: yes / no

첫 메시지에 비밀번호를 보내지 마십시오. 증상, 타임스탬프, 스크린샷 및 비식별화된 로그 발췌문을 보내십시오.

패치만으로는 충분하지 않은 이유

서버가 활성 악용 기간 동안 노출된 경우 공격자가 cPanel 업데이트 이후에도 유지되는 지속성을 추가했을 수 있습니다. 이 도구는 잔여물과 사후 침해 지표에 중점을 둡니다.

무언가 발견한 경우 수행할 작업

1. 정리 전에 로그와 의심스러운 파일을 보존하십시오.
2. 가능하면 서버 스냅샷을 생성하십시오.
3. WHM, SSH, 데이터베이스 및 고객 비밀번호를 교체하십시오.
4. 증거를 기록한 후에만 지속성을 제거하십시오.
5. 정리 후 탐지기를 다시 실행하십시오.

수리 도움이 필요하면: https://ping7.cc/cve-repair

기여

오탐지, 놓친 방어 신호 또는 새로운 안전한 IOC 소스에 대해 이슈를 여십시오. cPanel 빌드, OS 계열, 탐지기 버전 및 비식별화된 출력을 포함하십시오. 고객 데이터, 비밀, 활성 공격자 인프라 또는 공격 문자열을 게시하지 마십시오.

방어 범위

이 프로젝트는 방어 전용입니다. 소유하거나 감사 권한이 있는 시스템에서만 실행하십시오.

페이로드 없음. 광범위한 스캔 없음. 악용 단계 없음.

라이선스

MIT