cPanel WHM: פרצה קריטית מאפשרת כניסה בלי סיסמה, ותוקפים כבר מנצלים אותה
ב-28 באפריל 2026 פרסמה cPanel עדכוני חירום לחולשה CVE-2026-41940, שמאפשרת לעקוף את ההתחברות ללוח הבקרה. CISA הוסיפה אותה ב-30 באפריל לקטלוג החולשות המנוצלות.
TL;DR בקצרה
- CVE-2026-41940 היא עקיפת הזדהות בניהול ה-session של cPanel WHM, בחומרה של 9.8 מתוך 10.
- cPanel פרסמה תיקונים ב-28 באפריל, ו-CISA הוסיפה את החולשה לקטלוג המנוצלות ב-30 באפריל, עם דדליין של שלושה ימים.
- KnownHost אישרה ניצול בפועל, ו-watchTowr פרסמה ב-29 באפריל ניתוח וקוד הדגמה.
- התיקון הוא עדכון לאחת הגרסאות המתוקנות, ובשרת שהיה חשוף כדאי להריץ גם את סקריפט הבדיקה של cPanel.
ב-28 באפריל 2026 פרסמה cPanel עדכוני חירום לפרצה קריטית ב-cPanel WHM. החולשה, CVE-2026-41940, מאפשרת לתוקף להיכנס ללוח הבקרה בלי סיסמה. ב-30 באפריל CISA הוסיפה אותה לקטלוג החולשות המנוצלות. הדדליין לגופים פדרליים בארה״ב היה שלושה ימים בלבד.
cPanel היא לוח בקרה לאחסון אתרים, ו-WHM הוא ממשק הניהול של השרת כולו. לפי watchTowr, cPanel מנהלת מעל 70 מיליון דומיינים. מי שנכנס ל-WHM שולט בכל האתרים שעל השרת. לפי BleepingComputer, תוקף כזה יכול ליצור או למחוק חשבונות. הוא יכול גם להשאיר דלת אחורית, לגנוב סיסמאות ולשלוח ספאם.
cPanel WHM: איך עוקפים את ההתחברות
לפי cPanel, הבעיה היא בניהול ה-session, הרשומה שהשרת רושם כדי לדעת מי התחבר. למסלול הראשון לכתיבת הרשומה יש סינון קלט. למסלול השני, של הזדהות Basic, לא היה סינון כזה. בקשה מיוחדת יכולה לגרום לשרת להתייחס להתחברות לא מאומתת כאל מאומתת.
הניתוח של watchTowr מפרט את השלבים. התוקף מזין סיסמה עם תווי ירידת שורה. התווים האלה מוסיפים לרשומה שורות משלו, כמו user=root. אחר כך בקשה בלי אסימון אבטחה תקין גורמת לשרת לשכתב את הרשומה, והשורות המוזרקות הופכות לנתונים רשמיים. בסוף השרת מקבל את ההתחברות כמאומתת, בלי לבדוק את הסיסמה.
watchTowr פרסמה את הניתוח ב-29 באפריל, יחד עם קוד הדגמה. cPanel מסרה שאישרה את החולשה ב-27 באפריל. עדכונים לכל הענפים הגיעו ב-28 באפריל.
לפי Rapid7, מספיק שהשירות הפגיע חשוף כדי שהמערכת תהיה פגיעה. אין צורך בהגדרה מיוחדת. לפי cPanel, החולשה פוגעת גם ב-WP Squared עד גרסה 11.136.1.6. לדבריה, מוצרים אחרים של WebPros אינם מושפעים.
הניצול בפועל של פרצת cPanel WHM
KnownHost, חברת אחסון, אישרה לפי watchTowr ו-Rapid7 שתוקפים משתמשים בפרצה בפועל. לדברי Rapid7, אולי הניצול החל כבר ב-23 בפברואר 2026. זו הערכה שמבוססת על תגובה ב-Reddit, והיא לא אומתה.
Check Point Research מדווחת ב-4 במאי ש-Shadowserver זיהתה כ-44,000 כתובות IP. הן סרקו או תקפו מערכות פיתיון שלה. מבחינת החשיפה, חיפוש פשוט ב-Shodan מחזיר כ-1.5 מיליון מופעי cPanel החשופים לאינטרנט. Rapid7 מדגישה שלא כולם בהכרח פגיעים.
חברות אחסון הגיבו מהר. Namecheap חסמה זמנית את הפורטים 2083 ו-2087 כבר ב-28 באפריל, עד שהעדכון הגיע. ב-10 במאי מסרה cPanel שמעל 98% מהשרתים בעולם כבר קיבלו את התיקון.
הגרסאות המתוקנות של cPanel & WHM, לפי BleepingComputer ו-watchTowr: 11.110.0.97, 11.118.0.63 ו-11.126.0.54. וגם 11.132.0.29, 11.134.0.20 ו-11.136.0.5. Rapid7 מוסיפה את 11.86.0.41 ואת 11.130.0.19, ואת WP Squared 136.1.7. החולשה פוגעת בכל גרסה אחרי 11.40, ולכן גרסה שלא מופיעה ברשימה דורשת שדרוג.
מה זה אומר עבורכם
- שאלו את חברת האחסון: אם האתר שלכם על אחסון משותף, בקשו אישור בכתב שהשרת עודכן לגרסה מתוקנת.
- מנהלי שרתים, עדכנו: הריצו
/scripts/upcp --forceובדקו שהגרסה היא אחת מהרשימה למעלה. - סגרו את הגישה עד העדכון: חסמו מהאינטרנט את הפורטים 2083 ו-2087, או הגבילו אותם לכתובות מהימנות.
- חפשו סימני פריצה: cPanel פרסמה סקריפט שבודק את רשומות ה-session. הריצו אותו על כל שרת שהיה חשוף, גם לזמן קצר.
- עדכון לא מספיק: בשרת שהיה חשוף, החליפו סיסמאות ובדקו אם נוספו חשבונות שלא יצרתם.
מה קרה מאז
נכון ל-21 באוקטובר 2026, הקטלוג של CISA מסמן את CVE-2026-41940 כחולשה שגם מפעילי כופרה משתמשים בה.
מקורות והרחבה
- Security Update: CVE-2026-41940cPanel
- The Internet Is Falling Down, Falling Down, Falling Down (cPanel & WHM Authentication Bypass CVE-2026-41940)watchTowr
- Known Exploited Vulnerabilities Catalog: CVE-2026-41940CISA
- cPanel and WHM emergency update fixes critical auth bypass bugBleepingComputer
- CVE-2026-41940: cPanel & WHM Authentication BypassRapid7
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
