Новая критическая уязвимость в cPanel и WHM угрожает миллионам сайтов

Исследователи кибербезопасности бьют тревогу по поводу обнаруженной критической уязвимости в широко используемом программном обеспечении для управления веб-серверами — cPanel и WebHost Manager (WHM). Эта брешь позволяет злоумышленникам полностью захватить контроль над серверами, работающими под управлением затронутого ПО. Считается, что данное программное обеспечение используется десятками миллионов владельцев веб-сайтов по всему миру.

Многие коммерческие хостинг-провайдеры уже установили патчи на системы своих клиентов. Однако производитель cPanel настоятельно призвал пользователей убедиться, что их системы обновлены, поскольку уязвимость затрагивает все поддерживаемые версии программного обеспечения.

Суть уязвимости и потенциальные риски

cPanel и WHM представляют собой комплексы программного обеспечения, предназначенные для управления веб-серверами, размещения сайтов, обработки электронной почты и настройки важных конфигураций, а также баз данных, необходимых для функционирования интернет-доменов. Эти пакеты обладают глубоким доступом к управляемым серверам, что потенциально предоставляет злоумышленнику неограниченный доступ к данным, обрабатываемым затронутым ПО.

Уязвимость, официально отслеживаемая под номером CVE-2026-41940, позволяет хакерам удаленно обойти экран входа в систему и получить полный доступ к панели администратора программного обеспечения. Учитывая повсеместное распространение cPanel и WHM в индустрии веб-хостинга, злоумышленники могут скомпрометировать огромное количество сайтов, которые не были обновлены.

Реакция рынка и предупреждения

Канадское национальное агентство кибербезопасности в своем предупреждении заявило, что уязвимость может быть использована для компрометации веб-сайтов на серверах общего хостинга, например, у крупных веб-хостинг-компаний. Агентство подчеркнуло, что «эксплуатация весьма вероятна» и для предотвращения несанкционированного доступа необходимы немедленные действия со стороны клиентов cPanel или их хостинг-провайдеров.

Крупные игроки рынка уже отреагировали:

• Гигант веб-хостинга Namecheap, использующий cPanel для управления серверами своих клиентов, сообщил, что компания заблокировала доступ к панелям cPanel после обнаружения уязвимости, чтобы предотвратить её эксплуатацию и выиграть время для установки патчей.
• HostGator также заявил, что обновил свои системы, и считает обнаруженную брешь «критической уязвимостью, позволяющей обойти аутентификацию».

Хронология и масштаб атак

Одна из хостинг-компаний обнаружила свидетельства того, что хакеры использовали эту уязвимость в течение нескольких месяцев до её официального обнаружения.

Дэниел Пирсон, генеральный директор KnownHost, в публикации на Reddit сообщил, что его компания фиксировала попытки эксплуатации уязвимости ещё с 23 февраля. Компания также временно блокировала доступ к клиентским системам перед применением патчей.

По словам Пирсона, около 30 серверов KnownHost из тысяч компьютеров в их сети показали признаки несанкционированного доступа. Он сравнил эти действия с попытками взлома и не обнаружил признаков активной компрометации данных. Кроме того, cPanel выпустила обновление безопасности для WP Squared — аналогичного инструмента для управления веб-сайтами на WordPress.