CVE-2026-41940

Nome do Software Vulnerável e Versões Afetadas cPanel e WHM versões anteriores a 11.110.0.97 cPanel e WHM versões anteriores a 11.118.0.63 cPanel e WHM versões anteriores a 11.126.0.54 cPanel e WHM versões anteriores a 11.132.0.29 cPanel e WHM versões anteriores a 11.134.0.20 cPanel e WHM versões anteriores a 11.136.0.5 WP Squared versões anteriores a 136.1.7

Description Existe um bypass de autenticação no fluxo de login do daemon de serviço cpsrvd, afetando o cPanel, WHM e WP Squared. O problema decorre da sanitização inadequada do cabeçalho Authorization, permitindo uma injeção de CRLF (Carriage Return Line Feed). Ao enviar um cabeçalho de Autorização Básica especialmente elaborado contendo caracteres r , um invasor remoto não autenticado pode manipular os arquivos de sessão temporários criados no disco. Isso permite que o invasor injete propriedades arbitrárias, como user=root, no arquivo de sessão. Quando o sistema recarrega a sessão, ele aceita esses valores injetados como válidos, concedendo ao invasor acesso administrativo root total sem senha. Estima-se que entre 1,5 a 2 milhões de instâncias estejam expostas mundialmente. Esta falha foi explorada por grupos de ransomware Sorry e variantes do Mirai para obter acesso root, criptografar arquivos e estabelecer persistência via backdoors furtivos.

Recommendations Atualize o cPanel e o WHM para as versões 11.110.0.97, 11.118.0.63, 11.126.0.54, 11.132.0.29, 11.134.0.20 ou 11.136.0.5. Atualize o WP Squared para a versão 136.1.7 ou posterior. Como mitigação temporária, bloqueie o tráfego de entrada nas portas 2082, 2083, 2086, 2087, 2095 e 2096. Restrinja o acesso ao plano de gerenciamento do WHM a endereços IP estáticos confiáveis ou intervalos de VPN. Audite /var/cpanel/sessions/ em busca de arquivos contendo entradas user=root ou user=admin não autorizadas. Realize a rotação de senhas de root, WHM, revendedor e usuário se houver suspeita de invasão.