🛡️ Модуль инструмента безопасности ИИ
CVE-2026-41940: Неаутентифицированный Root RCE в cPanel & WHM (CRLF-инъекция сессии)

Официальный модуль аудита безопасности и эксплуатации для экосистемы инструментов безопасности ИИ

---

🌐 Веб-демо • 📚 Веб-сайт проекта • 💬 Чат сообщества

Навигация по сайту: Главная • Обновления • Загрузки • Модули

---

🧠 Концептуальный обзор

Этот модуль предоставляет комплексные средства диагностики и процедуры технической оценки для CVE-2026-41940 — критической уязвимости обхода аутентификации без учётных данных в cPanel & WHM (CVSS 10.0). Используя некорректную обработку последовательностей CRLF в парсере HTTP-заголовка Authorization при преждевременной инициализации сессии, злоумышленник может манипулировать серверными файлами сессий и получить полную root-авторизацию в WHM без действительных учётных данных.

🎯 Основная философия воздействия

"Контролируй сессию — владеешь хостом."
Поскольку интерфейсы WHM работают непосредственно с административными привилегиями, векторы обхода аутентификации на портах управления (2083/2087) представляют собой непосредственный риск полной компрометации установок Web Host Manager.

📊 Спецификации уязвимости

Спецификация	Присвоенное значение	Примечания
Идентификатор CVE	CVE-2026-41940	Обход аутентификации через инъекцию заголовка сессии в cPanel & WHM
Уровень серьёзности	Критический (CVSS v3.1: 10.0)	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Тип уязвимости	CWE-113 / CWE-287	Инъекция CRLF и обход аутентификации
Уязвимый компонент	Демон сессий cPanel & WHM (cpsrvd)	Механизм разбора HTTP-заголовка Authorization
Вектор атаки	Сеть (TCP 2083 / 2087)	Неаутентифицированный специально сформированный HTTP-запрос авторизации
Требуемые привилегии	Отсутствуют	Не требуется аутентификация пользователя или взаимодействие

🕸 Сценарий атаки и архитектура

graph TD
    A[Unauthenticated Attacker] -->|Crafted Authorization Header with CRLF| B[cPanel / WHM Service]
    B -->|Premature Session File Generation| C[Inject Parameters into Session Data]
    C -->|Bypass Credential Validation| D[Grant Elevated WHM Administrative Token]
    D -->|Post-Exploitation Actions| E[Full System Root Compromise]
  

📋 Таблица уязвимых версий

Ветка	Диапазон уязвимых версий	Исправленная версия
110.x	≤ 11.110.0.96	11.110.0.97
118.x	≤ 11.118.0.62	11.118.0.63
126.x	≤ 11.126.0.53	11.126.0.54
132.x	≤ 11.132.0.28	11.132.0.29
134.x	≤ 11.134.0.19	11.134.0.20
136.x	≤ 11.136.0.4	11.136.0.5

🛡 Поиск угроз и запросы обнаружения

Запрос Splunk Enterprise:

index=cpanel sourcetype=cpanel_access_log 
| rex field=_raw "(?i)authorization:\s*(?[^\r\n]+)"
| where match(auth_header, "[\r\n]") OR match(auth_header, "%0D%0A")
| stats count by clientip, http_user_agent, uri_path, auth_header
| sort - count

Запрос Microsoft Sentinel:

CommonSecurityLog
| where DeviceVendor =~ "cPanel" or DeviceProduct has "WHM"
| where AdditionalExtensions has "Authorization"
| where AdditionalExtensions matches regex "(\r\n|\n|\r|%0D%0A)"
| summarize EventCount = count(), IPs = make_set(SourceIP, 10) by bin(TimeGenerated, 5m), DeviceName
| where EventCount > 0