CVE-2026-41940

اسم البرنامج المصاب والإصدارات المتأثرة cPanel و WHM الإصدارات السابقة لـ 11.110.0.97 cPanel و WHM الإصدارات السابقة لـ 11.118.0.63 cPanel و WHM الإصدارات السابقة لـ 11.126.0.54 cPanel و WHM الإصدارات السابقة لـ 11.132.0.29 cPanel و WHM الإصدارات السابقة لـ 11.134.0.20 cPanel و WHM الإصدارات السابقة لـ 11.136.0.5 WP Squared الإصدارات السابقة لـ 136.1.7

Description يوجد تجاوز للمصادقة في تدفق تسجيل الدخول لخدمة cpsrvd التي تؤثر على cPanel و WHM و WP Squared. تنبع المشكلة من عدم تعقيم رأس Authorization بشكل صحيح، مما يسمح بحقن CRLF (Carriage Return Line Feed). من خلال إرسال رأس تفويض أساسي مصمم خصيصًا يحتوي على أحرف r ، يمكن لمهاجم عن بُعد غير مصرح له التلاعب بملفات الجلسة المؤقتة التي يتم إنشاؤها على القرص. يسمح هذا للمهاجم بحقن خصائص عشوائية، مثل user=root ، في ملف الجلسة. عندما يقوم النظام بإعادة تحميل الجلسة، فإنه يقبل هذه القيم المحقونة كقيم صالحة، مما يمنح المهاجم وصولاً إداريًا كاملاً بصلاحيات root دون الحاجة إلى كلمة مرور. يُقدر وجود ما بين 1.5 إلى 2 مليون نسخة معرضة لهذا الخطر عالميًا. تم استغلال هذه الثغرة من قبل مجموعة Sorry ransomware ومتغيرات Mirai للحصول على صلاحيات root وتشفير الملفات وإنشاء وصول دائم عبر أبواب خلفية خفية.

Recommendations تحديث cPanel و WHM إلى الإصدارات 11.110.0.97 أو 11.118.0.63 أو 11.126.0.54 أو 11.132.0.29 أو 11.134.0.20 أو 11.136.0.5. تحديث WP Squared إلى الإصدار 136.1.7 أو أحدث. كإجراء تخفيف مؤقت، قم بحظر حركة المرور الواردة على المنافذ 2082 و 2083 و 2086 و 2087 و 2095 و 2096. قصر الوصول إلى لوحة إدارة WHM على عناوين IP ثابتة موثوقة أو نطاقات VPN. فحص المسار /var/cpanel/sessions/ للبحث عن ملفات تحتوي على إدخالات user=root أو user=admin غير مصرح بها. إجراء تدوير لكلمات مرور root و WHM والموزعين والمستخدمين في حال الاشتباه في حدوث اختراق.