zerodayevil/cve-2026-41940-pocCVE-2026-41940을 시연하는 개념 증명 코드로, 취약점 검증 및 보안 연구를 위한 재현 가능한 테스트 케이스를 제공합니다.
🛡️ AI 보안 도구 모듈
CVE-2026-41940: cPanel & WHM 비인증 루트 RCE (CRLF 세션 주입)
AI 보안 도구 생태계를 위한 공식 보안 감사 및 익스플로잇 모듈
🌐 웹 데모 • 📚 프로젝트 웹사이트 • 💬 커뮤니티 채팅
웹사이트 내비게이션: 홈 • 업데이트 • 다운로드 • 모듈
이 모듈은 cPanel & WHM의 치명적인 비인증 인증 우회 취약점인 CVE-2026-41940(CVSS 10.0)에 대한 포괄적인 진단 도구와 기술 평가 루틴을 제공합니다. 조기 세션 초기화 과정에서 HTTP Authorization 헤더 파서의 부적절한 CRLF 시퀀스 처리를 악용함으로써, 공격자는 서버 측 세션 파일을 조작하고 유효한 자격 증명 없이 완전한 루트 수준의 WHM 권한을 획득할 수 있습니다.
"세션을 장악하면 호스트를 소유한다."
WHM 인터페이스는 관리자 권한으로 직접 동작하기 때문에, 관리 포트(2083/2087)에서의 인증 우회 벡터는 Web Host Manager 설치 전반에 걸쳐 즉각적인 완전 장악 위험을 의미합니다.
| 사양 | 할당된 값 | 비고 |
|---|---|---|
| CVE 식별자 | CVE-2026-41940 |
cPanel & WHM 세션 헤더 주입 우회 |
| 심각도 등급 | 치명적 (CVSS v3.1: 10.0) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 취약점 유형 | CWE-113 / CWE-287 |
CRLF 주입 및 인증 우회 |
| 영향받는 구성 요소 | cPanel & WHM 세션 데몬 (cpsrvd) |
HTTP Authorization 헤더 파싱 엔진 |
| 공격 벡터 | 네트워크 (TCP 2083 / 2087) | 인증되지 않은 조작된 HTTP authorization 요청 |
| 필요 권한 | 없음 | 사용자 인증 또는 상호작용이 전혀 필요하지 않음 |
graph TD
A[Unauthenticated Attacker] -->|Crafted Authorization Header with CRLF| B[cPanel / WHM Service]
B -->|Premature Session File Generation| C[Inject Parameters into Session Data]
C -->|Bypass Credential Validation| D[Grant Elevated WHM Administrative Token]
D -->|Post-Exploitation Actions| E[Full System Root Compromise]
| 브랜치 | 취약한 버전 범위 | 패치된 버전 |
|---|---|---|
| 110.x | ≤ 11.110.0.96 |
11.110.0.97 |
| 118.x | ≤ 11.118.0.62 |
11.118.0.63 |
| 126.x | ≤ 11.126.0.53 |
11.126.0.54 |
| 132.x | ≤ 11.132.0.28 |
11.132.0.29 |
| 134.x | ≤ 11.134.0.19 |
11.134.0.20 |
| 136.x | ≤ 11.136.0.4 |
11.136.0.5 |
Splunk Enterprise 쿼리:
index=cpanel sourcetype=cpanel_access_log
| rex field=_raw "(?i)authorization:\s*(?[^\r\n]+)"
| where match(auth_header, "[\r\n]") OR match(auth_header, "%0D%0A")
| stats count by clientip, http_user_agent, uri_path, auth_header
| sort - countMicrosoft Sentinel 쿼리:
CommonSecurityLog
| where DeviceVendor =~ "cPanel" or DeviceProduct has "WHM"
| where AdditionalExtensions has "Authorization"
| where AdditionalExtensions matches regex "(\r\n|\n|\r|%0D%0A)"
| summarize EventCount = count(), IPs = make_set(SourceIP, 10) by bin(TimeGenerated, 5m), DeviceName
| where EventCount > 0\r, \n)를 제거하도록 하십시오.⚠️ 중요: 이 모듈은 AI Security Tool 생태계의 안전한 CLI 환경 내에서 실행됩니다. 명령은 반드시 메인 도구 터미널을 통해 실행해야 합니다.
모니터링 및 진단 루틴을 실행하려면 AI Security Tool 코어 엔진이 설치되어 있는지 확인하십시오: