🛡️ AI 安全工具模块
CVE-2026-41940：cPanel & WHM 未认证 Root RCE（CRLF 会话注入）
AI 安全工具生态系统的官方安全审计与利用模块
本模块为 CVE-2026-41940 提供全面的诊断工具和技术评估例程。该漏洞是 cPanel & WHM 中的一个严重未认证认证绕过漏洞（CVSS 10.0）。攻击者利用在过早会话初始化期间 HTTP Authorization 头解析器中对 CRLF 序列处理不当的缺陷，可以操纵服务器端会话文件，并在没有有效凭据的情况下获得完整的 root 级 WHM 授权。
"控制会话，掌控主机。"
由于 WHM 接口直接以管理权限运行，管理端口（2083/2087）上的认证绕过向量意味着 Web Host Manager 安装面临立即完全失陷的风险。
| 规格 | 分配值 | 备注 |
|---|---|---|
| CVE 标识符 | CVE-2026-41940 |
cPanel & WHM 会话头注入绕过 |
| 严重性评级 | 严重 (CVSS v3.1: 10.0) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 漏洞类型 | CWE-113 / CWE-287 |
CRLF 注入与身份验证绕过 |
| 受影响组件 | cPanel & WHM 会话守护进程 (cpsrvd) |
HTTP Authorization 头解析引擎 |
| 攻击向量 | 网络 (TCP 2083 / 2087) | 未经身份验证的构造 HTTP 授权请求 |
| 所需权限 | 无 | 无需任何用户身份验证或交互 |
graph TD
A[Unauthenticated Attacker] -->|Crafted Authorization Header with CRLF| B[cPanel / WHM Service]
B -->|Premature Session File Generation| C[Inject Parameters into Session Data]
C -->|Bypass Credential Validation| D[Grant Elevated WHM Administrative Token]
D -->|Post-Exploitation Actions| E[Full System Root Compromise]
| 分支 | 易受攻击版本范围 | 已修补版本 |
|---|---|---|
| 110.x | ≤ 11.110.0.96 |
11.110.0.97 |
| 118.x | ≤ 11.118.0.62 |
11.118.0.63 |
| 126.x | ≤ 11.126.0.53 |
11.126.0.54 |
| 132.x | ≤ 11.132.0.28 |
11.132.0.29 |
| 134.x | ≤ 11.134.0.19 |
11.134.0.20 |
| 136.x | ≤ 11.136.0.4 |
11.136.0.5 |
Splunk Enterprise 查询：
index=cpanel sourcetype=cpanel_access_log
| rex field=_raw "(?i)authorization:\s*(?[^\r\n]+)"
| where match(auth_header, "[\r\n]") OR match(auth_header, "%0D%0A")
| stats count by clientip, http_user_agent, uri_path, auth_header
| sort - countMicrosoft Sentinel 查询：
CommonSecurityLog
| where DeviceVendor =~ "cPanel" or DeviceProduct has "WHM"
| where AdditionalExtensions has "Authorization"
| where AdditionalExtensions matches regex "(\r\n|\n|\r|%0D%0A)"
| summarize EventCount = count(), IPs = make_set(SourceIP, 10) by bin(TimeGenerated, 5m), DeviceName
| where EventCount > 0\r、\n）。⚠️ 重要：此模块在 AI Security Tool 生态系统的安全 CLI 环境中执行。命令必须通过主工具终端运行。
要执行监控与诊断例程，请确保已安装 AI Security Tool 核心引擎：