cpanel-cve-2026-41940-fix

CVE-2026-41940을 통해 손상된 cPanel/WHM 서버를 위한 원샷 탐지 및 복구 도구로, IOC 검사, 악성코드 정리, C2 차단, 패치 적용을 포함합니다.

이 저장소에는 다음을 수행하는 단일 Bash 스크립트가 포함되어 있습니다:

• 서버가 취약한지 탐지 (cPanel 빌드 확인)
• 서버가 이미 손상되었는지 탐지 (11가지 IOC 검사)
• 안전하게 복구 — 악성코드 종료, C2 IP 차단, 위조 세션 제거, cpsrvd 재시작
• /scripts/upcp --force를 통해 cPanel/WHM 패치
• 포렌식 보고서 생성 및 증거 보존

호스팅 제공업체, 시스템 관리자, cPanel 리셀러가 대규모 서버를 신속하게 분류해야 하는 경우를 위해 설계되었습니다.

⚠️ 실행 전 주의사항

다운로드 시 wget 또는 curl이 Killed 메시지를 반환하면 악성코드가 아직 실행 중입니다 — nuclear.x86은 정리를 방지하기 위해 다운로드 도구를 적극적으로 종료합니다. 먼저 종료 단계를 실행하세요(스크립트가 --fix 모드에서 자동으로 수행합니다).

이 때문에 이 스크립트를 다운로드할 수 없다면, 노트북에서 SSH로 복사하여 붙여넣거나 scp를 사용하세요.

설치

또는 curl 사용:

한 줄 설치 (먼저 스크립트를 검토한 후 실행):

실행 전 검증하세요. 이 스크립트는 root로 실행되며 시스템 상태를 변경합니다. 먼저 열어서 읽어보세요. 인터넷에서 가져온 임의의 스크립트를 bash로 직접 파이프하지 마세요.

사용법

세 가지 모드

종료 코드

출력 위치

• 로그: /var/log/cpanel-cve-fix/scan-<TIMESTAMP>.log
• 보고서: /var/log/cpanel-cve-fix/report-<TIMESTAMP>.txt
• 증거 백업: /root/cve-cleanup-backup-<TIMESTAMP>/

검사 항목 (스캔 단계)

복구 / 자동 단계에서 수행하는 작업

• 알려진 악성코드 프로세스 종료 (PID, cmdline, exe 경로 스냅샷 후)
• CSF가 있으면 CSF에서, 없으면 iptables에서 알려진 C2 IP 차단 (규칙 영구화)
• /var/cpanel/sessions/raw/* 제거 (먼저 tar.gz 백업 생성)
• cpsrvd, cpdavd, cphulkd, queueprocd, dnsadmin 재시작
• /scripts/upcp --force로 cPanel 패치 (--auto에서만)
• 패키지 관리자 캐시, BIND DNS 캐시(rndc flush), 오래된 저널 로그 정리
• 가능한 경우 CSF LF_INTEGRITY 활성화로 보안 강화

의도적으로 수행하지 않는 작업

SSH를 통한 무인 실행 시 해가 될 수 있으므로 수동 조치 보고서에 포함됩니다:

• ❌ SSH 키 교체 (실행 중인 서버에서 잠길 수 있음)
• ❌ cPanel / MySQL / 이메일 비밀번호 교체 (스크립트가 모든 종속 구성을 업데이트할 수 없음)
• ❌ 백업에서 데이터 복원 (마지막으로 알려진 정상 복원 지점은 사용자만 알고 있음)
• ❌ /home/*/public_html의 임의 파일 삭제
• ❌ Cron 항목 대량 삭제

대규모 서버 관리

점프 박스에서 여러 서버를 일괄 처리하려면:

그런 다음 보고서를 grep:

스크립트 실행 후 반드시 수행해야 할 수동 조치

스크립트는 보고서에 다음 항목을 나열합니다. 이 중 어느 것도 안전하게 자동화할 수 없습니다.

1. 모든 로컬 Linux 비밀번호 교체 (공격자가 /etc/shadow를 보유함)
2. WHM에서 cPanel + 리셀러 비밀번호 교체
3. 모든 MySQL/데이터베이스 비밀번호 교체 및 wp-config.php, .env, config.php 등 업데이트
4. 모든 이메일 계정 비밀번호 교체
5. 모든 API 토큰 교체 (cPanel, WHM, 타사)
6. root 및 모든 IT 사용자의 SSH 키 재생성 — GitHub / GitLab / Bitbucket / CI / 배포 대상에서 이전 공개 키 제거
7. 웹 셸 확인을 위해 /home/*/public_html 감사 (최근 수정된 .php 파일)
8. 백도어 확인을 위해 cPanel 이메일 전달자 / FTP 계정 / cron 작업 감사
9. 첫 번째 IOC 타임스탬프 이전에 생성된 백업에서 데이터 복원 (업계 전반적으로 약 2026년 2월 23일경)
10. 영향을 받은 고객에게 다른 곳에서 재사용한 cPanel 비밀번호를 모든 곳에서 교체하도록 안내

패치된 cPanel / WHM 버전

다음 빌드 중 하나 이상이어야 합니다:

자신의 버전은 /usr/local/cpanel/cpanel -V로 확인하세요.

손상 지표 (IOC)

FAQ

정상 서버에서 실행해도 안전한가요? 네. 기본 모드는 스캔 전용이며 변경 사항이 없습니다. 수정 및 자동 모드는 멱등적입니다.

다운타임이 발생하나요? --fix는 cpsrvd를 재시작할 때 WHM/cPanel이 약 10초간 중단됩니다. --auto는 /scripts/upcp --force를 실행하며 10~30분이 소요될 수 있습니다 — 이 기간 동안 웹사이트는 계속 운영되지만 마지막에 WHM이 잠시 사용 불가능해집니다.

내 cPanel 버전이 패치 목록에 없는데 안전한가요? 110.0.x보다 오래된 트랙을 사용 중이라면 수명이 종료된 버전입니다. cPanel은 패치를 제공하지 않습니다. 반대의 증거가 있을 때까지 호스트를 손상된 것으로 간주하고 즉시 업그레이드하세요.

스크립트가 작업을 시도할 때 Killed 메시지가 표시됩니다. nuclear.x86이 도구를 적극적으로 종료하고 있는 것입니다. 먼저 종료 단계를 수동으로 실행하세요:

그런 다음 스크립트를 다시 실행하세요.

AlmaLinux / Rocky / CloudLinux / CentOS에서 작동하나요? 네 — 모든 표준 cPanel 플랫폼에서 작동합니다. AlmaLinux 8, Rocky 9, CloudLinux 7+에서 테스트되었습니다.

고객 웹사이트에 영향을 미치나요? 아니요. 스크립트는 /home/*/public_html의 어떤 것도 수정하지 않습니다. OS 수준 구성, cPanel 세션, 방화벽 규칙 및 알려진 악성 프로세스만 다룹니다.

기여

PR 환영합니다 — 특히 다음 항목:

• 야생에서 발견된 추가 IOC (새 C2 IP, 새 악성코드 이름)
• OS별 보안 강화 조정
• 보고서 출력 번역

자격 증명을 자동으로 교체하거나 사용자 데이터를 삭제하는 기능은 추가하지 마세요 — 파괴적 표면을 좁게 유지하는 것이 의도적입니다.

라이선스

MIT. 사용, 포크, 자체 도구에 통합이 가능합니다. 출처 표시는 선택 사항입니다.

크레딧

WHMCSPilot.com — SM 제작.

취약점 연구 크레딧: cPanel 보안 팀, watchTowr Labs, Rapid7, KnownHost 및 캠페인 전개 과정에서 IOC를 공유한 광범위한 호스팅 커뮤니티.

면책 조항

이 스크립트는 보증 없이 있는 그대로 제공됩니다. 초기 대응 분류 도구이며 — 완전한 침해 대응 절차를 대체하지 않습니다. PII, 결제 데이터 또는 기타 규제 대상 데이터를 처리하는 경우, 손상된 서버를 정리했다고 선언하기 전에 DPO 및 자격을 갖춘 IR 회사에 문의하세요.

서버가 적극적으로 손상된 경우, 가장 안전한 방법은 항상 알려진 정상 백업에서 재구축하는 것이지, 제자리에서 정리하는 것이 아닙니다.