cpanel-cve-2026-41940-fix

Одноразовое обнаружение и устранение последствий для серверов cPanel/WHM, скомпрометированных через CVE-2026-41940, включая проверки IOC, очистку от вредоносного ПО, блокировку C2 и установку исправлений.

Эксплуатация наблюдается в дикой природе как минимум с 23 февраля 2026 года — за шесть недель до выхода патча. Кампания, которую мы устраняли на нескольких серверах, устанавливает Linux-ботнет под названием nuclear.x86 вместе с крипто-майнером на базе XMRig.

Этот репозиторий содержит один Bash-скрипт, который:

• Определяет, является ли ваш сервер уязвимым (проверка сборки cPanel)
• Определяет, скомпрометирован ли ваш сервер (11 проверок IOC)
• Устраняет последствия безопасно — убивает вредоносное ПО, блокирует C2-IP, очищает поддельные сессии, перезапускает cpsrvd
• Устанавливает патчи cPanel/WHM через /scripts/upcp --force
• Создаёт отчёт по форензике и сохраняет улики

Скрипт предназначен для хостинг-провайдеров, системных администраторов и реселлеров cPanel, которым необходимо быстро провести триаж парка серверов.

⚠️ Перед запуском

Если wget или curl возвращают Killed при попытке загрузки, вредоносное ПО всё ещё работает — nuclear.x86 активно убивает инструменты загрузки, чтобы предотвратить очистку. Сначала выполните шаг уничтожения (скрипт делает это за вас в режиме --fix).

Если вы не можете загрузить этот скрипт по этой причине, скопируйте и вставьте его через SSH с вашего ноутбука или используйте scp.

Установка

Или с помощью curl:

Одной строкой (сначала просмотрите скрипт, затем запускайте):

Проверьте перед запуском. Этот скрипт выполняется от root и изменяет состояние системы. Откройте и прочитайте его сначала. Не передавайте случайные скрипты из интернета напрямую в bash.

Использование

Три режима

Коды возврата

Расположение выходных данных

• Журнал: /var/log/cpanel-cve-fix/scan-<TIMESTAMP>.log
• Отчёт: /var/log/cpanel-cve-fix/report-<TIMESTAMP>.txt
• Резервная копия улик: /root/cve-cleanup-backup-<TIMESTAMP>/

Что проверяется (этап сканирования)

Что делает (этап исправления / автоматизации)

• Убивает известные процессы вредоносного ПО (после снятия снимка PID, cmdline, пути к exe)
• Блокирует известные C2-IP в CSF, если он установлен, иначе в iptables (и сохраняет правила)
• Очищает /var/cpanel/sessions/raw/* (с предварительным резервным копированием в tar.gz)
• Перезапускает cpsrvd, cpdavd, cphulkd, queueprocd, dnsadmin
• Устанавливает патчи cPanel через /scripts/upcp --force (только в --auto)
• Очищает кэши менеджера пакетов, DNS-кэш BIND (rndc flush), старые журналы
• Усиливает защиту, включая CSF LF_INTEGRITY, если доступно

Что он намеренно НЕ делает

Эти действия принесли бы больше вреда, чем пользы, при запуске без участия оператора через SSH, поэтому они попадают в отчёт о ручных действиях:

• ❌ Ротация SSH-ключей (заблокировало бы вам доступ к тому самому серверу, на котором вы его запускаете)
• ❌ Ротация паролей cPanel / MySQL / email (скрипт не может обновить все зависимые конфигурации)
• ❌ Восстановление данных из резервной копии (только вы знаете вашу последнюю известную хорошую точку восстановления)
• ❌ Удаление произвольных файлов в /home/*/public_html
• ❌ Массовое удаление записей cron

Использование для парка серверов

Для массовой проверки множества серверов с jump-box:

Затем выполните поиск по отчётам:

Ручные действия, которые вы всё равно должны выполнить после запуска скрипта

Скрипт перечислит их в своём отчёте. Ни одно из них нельзя безопасно автоматизировать.

1. Смените все локальные пароли Linux (злоумышленник имеет доступ к /etc/shadow)
2. Смените пароли cPanel + реселлеров из WHM
3. Смените все пароли MySQL/баз данных и обновите wp-config.php, .env, config.php и т. д.
4. Смените пароли всех email-аккаунтов
5. Смените все API-токены (cPanel, WHM, сторонние)
6. Перегенерируйте SSH-ключи для root и любого IT-пользователя — и удалите старый публичный ключ из GitHub / GitLab / Bitbucket / CI / целевых систем развёртывания
7. Проверьте /home/*/public_html на наличие веб-шеллов (недавно изменённые .php файлы)
8. Проверьте email-форвардеры / FTP-аккаунты / cron-задания cPanel на наличие бэкдоров
9. Восстановите данные из резервной копии, созданной до первой временной метки IOC (в масштабах отрасли это примерно 23 февраля 2026 года)
10. Сообщите затронутым клиентам о необходимости сменить пароль cPanel везде, где они его использовали повторно

Пропатченные версии cPanel / WHM

Вы должны быть на одной из этих сборок или выше:

Проверьте свою версию с помощью /usr/local/cpanel/cpanel -V.

Индикаторы компрометации (IOC)

FAQ

Безопасно ли запускать на здоровом сервере? Да. Режим по умолчанию — только сканирование и не вносит изменений. Режимы исправления и автоматизации идемпотентны.

Вызовет ли это простой? --fix вызывает кратковременное прерывание работы WHM/cPanel при перезапуске cpsrvd (~10 секунд). --auto запускает /scripts/upcp --force, что может занять 10–30 минут — веб-сайты остаются доступными в это время, но WHM кратковременно недоступен в конце.

Моя версия cPanel отсутствует в списке пропатченных — я в безопасности? Если вы на треке старше 110.0.x, вы используете версию с завершённым жизненным циклом. cPanel не выпустит патч. Считайте хост скомпрометированным, пока не доказано обратное, и срочно обновитесь.

Скрипт сообщает Killed, когда пытается что-либо сделать. Это nuclear.x86 активно убивает ваши инструменты. Сначала выполните шаг уничтожения вручную:

Затем повторно запустите скрипт.

Работает ли это на AlmaLinux / Rocky / CloudLinux / CentOS? Да — на всех стандартных платформах cPanel. Протестировано на AlmaLinux 8, Rocky 9, CloudLinux 7+.

Затронет ли это веб-сайты моих клиентов? Нет. Скрипт не изменяет ничего в /home/*/public_html. Он затрагивает только конфигурацию уровня ОС, сессии cPanel, правила межсетевого экрана и известные вредоносные процессы.

Участие в разработке

Приветствуются pull request'ы — особенно для:

• Дополнительных IOC (новые C2-IP, новые имена вредоносного ПО), наблюдаемых в дикой природе
• Улучшений усиления защиты для конкретных ОС
• Переводов выходных данных отчёта

Пожалуйста, не добавляйте ничего, что автоматически ротирует учётные данные или удаляет пользовательские данные — намеренное ограничение деструктивной поверхности является осознанным решением.

Лицензия

MIT. Используйте, форкайте, интегрируйте в свои собственные инструменты. Указание авторства приветствуется, но не обязательно.

Авторы

Создано WHMCSPilot.com — SM.

Авторы исследования уязвимости: команда безопасности cPanel, watchTowr Labs, Rapid7, KnownHost и более широкое хостинг-сообщество, которое делилось IOC по мере развития кампании.

Отказ от ответственности

Этот скрипт предоставляется как есть, без каких-либо гарантий. Это инструмент первичного реагирования — не замена полноценного взаимодействия по реагированию на инциденты. Если вы обрабатываете PII, платёжные данные или другие регулируемые данные, проконсультируйтесь со своим DPO и квалифицированной фирмой по реагированию на инциденты, прежде чем объявлять скомпрометированный сервер чистым.

Если сервер был активно скомпрометирован, самый безопасный путь — всегда пересборка из известной хорошей резервной копии, а не очистка на месте.