CVE-2026-41940 — cPanel & WHM 身份验证绕过

CVSS v3.1：9.8（严重）

概述

CVE-2026-41940 是 cPanel & WHM 中的一个严重身份验证绕过漏洞，允许未经身份验证的攻击者获得控制面板的完全管理权限。该漏洞在公开披露后的 24 小时内即被野外利用，勒索软件被部署在易受攻击的主机上。该漏洞由 watchTowr 研究人员发现并公开披露。

技术细节

cPanel/WHM 的登录流程在身份验证握手期间未正确验证会话令牌。通过向登录端点发送特定序列的 HTTP 请求，攻击者可以操纵服务器接受伪造或跳过的身份验证步骤，从而有效绕过凭证验证。

该漏洞利用了 login.cgi 和 cpsess 令牌生成流程中的竞争条件/逻辑缺陷。服务器没有正确验证会话是否是通过合法登录建立的——它仅检查是否存在格式正确的会话 Cookie，而这种 Cookie 可以被预测或强制生成。

受影响版本

• 所有 11.40 之后 至安全补丁发布前的最新 cPanel & WHM 版本
• 确认受影响：11.40–11.98、12.0–12.6

复现步骤

1. 定位到目标 cPanel/WHM 实例（cPanel 使用 2082 端口，WHM 使用 2083 端口）
2. 向 /login.cgi 发送初始请求以获取 cpsess 令牌前缀
3. 使用泄露的令牌种子伪造会话 Cookie
4. 使用伪造的会话直接访问管理端点

概念验证

python exploit.py --target 192.168.1.100 --port 2083 --ssl --cmd "id"

缓解措施

• 立即将 cPanel/WHM 升级到最新的补丁版本
• 通过防火墙限制对 cPanel/WHM 端口（2082、2083、2095、2096）的访问
• 启用多因素身份验证
• 在访问日志中监控未经授权的 cpsess 令牌使用情况

参考

• watchTowr 披露：https://labs.watchtowr.com/
• CVE 条目：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-41940
• cPanel 安全公告：https://news.cpanel.com/category/security/