Эта ошибка позволяет хакерам захватывать полный контроль над серверами, на которых запущено затронутое программное обеспечение, которым, по оценкам, пользуются десятки миллионов владельцев веб-сайтов по всему миру.
Многие коммерческие компании, предоставляющие услуги веб-хостинга, уже установили исправления для систем своих клиентов. Однако разработчик cPanel настоятельно призвал клиентов убедиться, что их системы обновлены, поскольку ошибка затрагивает все поддерживаемые версии программного обеспечения.
cPanel и WHM — это два программных пакета, используемых для управления веб-серверами, которые размещают веб-сайты, управляют электронной почтой и обрабатывают важные конфигурации и базы данных, необходимые для поддержания интернет-домена. Эти пакеты имеют глубокий доступ к управляемым ими серверам, что потенциально дает злоумышленнику неограниченный доступ к данным, обрабатываемым затронутым программным обеспечением.
Ошибка, официально отслеживаемая как CVE-2026-41940, позволяет злоумышленникам удаленно обойти экран входа в систему и получить полный доступ к административной панели программного обеспечения.
Учитывая повсеместное распространение программного обеспечения cPanel и WHM в индустрии веб-хостинга, хакеры могут скомпрометировать потенциально большое количество веб-сайтов, которые не устранили эту ошибку.
Национальное агентство Канады по кибербезопасности заявило в своем уведомлении, что ошибка может быть использована для компрометации веб-сайтов на серверах общего хостинга, таких как крупные компании веб-хостинга.
Агентство заявило, что «вероятность эксплуатации крайне высока», и что немедленные действия со стороны клиентов cPanel или их веб-хостов необходимы для предотвращения вредоносного доступа.
Гигант веб-хостинга Namecheap, который использует cPanel для управления своими веб-серверами клиентами, сообщил, что компания заблокировала доступ к панелям cPanel клиентов после обнаружения уязвимости, чтобы предотвратить ее использование и выиграть время для установки исправлений в системах своих клиентов.
HostGator также сообщил, что установил исправления в своих системах и рассматривает эту ошибку как «критическую уязвимость для обхода аутентификации».
Одна из компаний веб-хостинга утверждает, что обнаружила доказательства того, что хакеры злоупотребляли этой уязвимостью в течение нескольких месяцев до того, как попытки были обнаружены.
Генеральный директор KnownHost Дэниел Пирсон заявил в сообщении на Reddit, что его компания видела попытки эксплуатации уязвимости еще 23 февраля. Компания сообщила, что также ненадолго заблокировала доступ к системам клиентов перед применением исправлений.
<“>По словам Пирсона, около 30 серверов в KnownHost демонстрировали признаки несанкционированных попыток доступа из тысяч компьютеров в их сети. Пирсон сравнил эти действия с попытками и не видел признаков активного компрометации. cPanel также сообщила, что выпустила исправление безопасности для WP Squared, аналогичного инструмента для управления веб-сайтами WordPress.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Zack Whittaker
