📢❗🚨Итно известување: Критична ранливост во cPanel & WHM – CVE-2026-41940‼️

MKD-CIRT ги известува хостинг-провајдерите, администраторите на сервери, институциите и сите правни лица кои користат cPanel & WHM дека е објавена критична безбедносна ранливост означена како CVE-2026-41940.

Ранливоста се однесува на cPanel & WHM, вклучително и на одредени инсталации на cPanel DNSOnly и WP Squared, и овозможува заобиколување на автентикација. Доколку успешно се искористи, ранливоста може да овозможи неовластен пристап до административниот интерфејс на cPanel/WHM, што претставува сериозен ризик за доверливоста, интегритетот и достапноста на засегнатите системи.

Оваа ранливост е особено значајна за хостинг-компаниите, бидејќи компромитирање на еден cPanel/WHM сервер може да влијае врз повеќе веб-страници, кориснички акаунти, e-mail сметки, бази на податоци, DNS записи и други поврзани услуги.

Засегнати системи❗❗❗

Потенцијално засегнати се:

cPanel & WHM сервери;

cPanel DNSOnly сервери;

shared hosting околини;

reseller hosting околини;

VPS и dedicated сервери со cPanel/WHM;

WP Squared инсталации;

сервери со исклучени автоматски ажурирања;

сервери кои користат постари или неподдржани верзии.

🚨Препорачани итни активности

MKD-CIRT препорачува сите администратори и хостинг-провајдери веднаш да извршат проверка дали користат cPanel/WHM и да преземат мерки за ажурирање на системите.

Потребно е да се изврши ажурирање со следната команда:

/scripts/upcp –force

По завршување на ажурирањето, проверете ја верзијата:

/usr/local/cpanel/cpanel -V

Потоа рестартирајте го cPanel сервисот:

/scripts/restartsrv_cpsrvd

Дополнителни заштитни мерки🛡️🛡️🛠️🛠️

Доколку ажурирањето не може да се изврши веднаш, MKD-CIRT препорачува да се применат привремени мерки за намалување на ризикот:

ограничување на пристапот до WHM/cPanel административните интерфејси само од доверливи IP адреси;

користење VPN или bastion host за административен пристап;

забрана на јавен пристап до WHM интерфејсот;

проверка дали автоматските ажурирања се овозможени;

ревизија на сите администраторски, reseller и cPanel кориснички акаунти;

проверка на API токени и SSH клучеви;

проверка на DNS записи, cron jobs и web server конфигурации.

Особено внимание треба да се посвети на следните портови:

2082 / 2083 – cPanel;

2086 / 2087 – WHM;

2095 / 2096 – Webmail.

Проверка за можен компромис

Администраторите треба да извршат проверка на логови и системска активност, особено за:

невообичаени најави во WHM/cPanel;

најави од непознати IP адреси;

новокреирани кориснички акаунти;

промени во root/reseller привилегии;

неовластени SSH клучеви;

непознати cron jobs;

промени во DNS записи;

сомнителни PHP датотеки или webshell датотеки;

промени во .htaccess;

невообичаен outbound traffic;

спам или phishing активност од серверот;

промени во веб-страници, бази на податоци или e-mail сметки.

Корисни локации за проверка на логови:

/usr/local/cpanel/logs/access_log
/usr/local/cpanel/logs/login_log
/usr/local/cpanel/logs/error_log
/usr/local/cpanel/logs/session_log
/var/log/secure
/var/log/messages
/var/log/exim_mainlog
/var/log/maillog
/usr/local/apache/logs/access_log
/usr/local/apache/logs/error_log

Доколку постои сомневање за компромитација

Доколку постои сомневање дека серверот е компромитиран, потребно е:

1. системот да се изолира од јавен пристап, без бришење на логови;

2. да се зачуваат релевантни логови и форензички податоци;

3. да се изврши ажурирање на cPanel/WHM;

4. да се ресетираат лозинки за root, WHM, reseller, cPanel, FTP, e-mail и database корисници;

5. да се отповикаат непознати API токени и SSH клучеви;

6. да се проверат сите веб-страници за webshell, backdoor или phishing содржина;

7. да се провери mail queue за злоупотреба;

8. да се проверат DNS записи за неовластени измени;

9. да се известат засегнатите корисници, доколку постои можност нивните податоци или услуги да биле компромитирани;

10. да се достави пријава до MKD-CIRT.

Препорака до хостинг-компаниите

MKD-CIRT препорачува сите хостинг-компании во Република Северна Македонија да направат итен попис на сите cPanel/WHM сервери, да ја проверат нивната верзија, да извршат ажурирање и да документираат кои системи се закрпени.

Дополнително, се препорачува проверка на логови најмалку за последните 30 дена, со цел навремено откривање на евентуални обиди за експлоатација или компромитација.

Пријава на инцидент

Доколку забележите злоупотреба, компромитација, сомнителни активности или масовно влијание врз корисници, пријавете го инцидентот до MKD-CIRT преку официјалниот канал за пријава:

Онлајн пријава | MKD-CIRT | Национален центар за одговор на компјутерски инциденти

MKD-CIRT ќе продолжи да ја следи состојбата и ќе споделува дополнителни информации и препораки доколку бидат достапни нови сознанија.

MKD-CIRT | Национален центар за одговор на компјутерски инциденти

Доколку не е можно испраќање на пополнетиот образец, ве молиме пријавата на инцидент да ја испратите по е-пошта на адреса info@mkd-cirt.mk