Zum Inhalt springen
StartAdvisoriesRansomwareCW-PodcastPodcastsBücherCreatorsSpeakerFirmenKarriereEventsCB-NetzwerkMatrix-ServerFAQBesucherstatistikFormulareSuche
CVE-2026-41940CriticalCVSS: 9.3

Kritische Sicherheitslücke in cPanel & WHM: Authentifizierungs-Bypass (CVE-2026-41940)

In cPanel & WHM ab Version 11.40 wurde eine kritische Schwachstelle im Authentifizierungsablauf entdeckt, die es nicht authentifizierten Remote-Angreifern ermöglicht, unbefugten Zugriff auf das Control Panel zu erlangen. Der CVSS-Score beträgt 9.3 (Critical). WebPros hat am 28. April 2026 Sicherheitsupdates für alle betroffenen Versionen veröffentlicht.

METADATEN

Entdeckt:
29.04.2026
Patch verfügbar:
Ja

BETROFFENE SYSTEME

  • •cPanel & WHM 11.40 bis 11.86.0.40
  • •cPanel & WHM 11.86.0.0 bis 11.86.0.40
  • •cPanel & WHM 11.88.0.0 bis 11.94.0.27
  • •cPanel & WHM 11.94.0.0 bis 11.94.0.27
  • •cPanel & WHM 11.96.0.0 bis 11.102.0.38
  • •cPanel & WHM 11.102.0.0 bis 11.102.0.38
  • •cPanel & WHM 11.104.0.0 bis 11.110.0.96
  • •cPanel & WHM 11.110.0.0 bis 11.110.0.96
  • •cPanel & WHM 11.112.0.0 bis 11.118.0.62
  • •cPanel & WHM 11.118.0.0 bis 11.118.0.62
  • •cPanel & WHM 11.120.0.0 bis 11.124.0.34
  • •cPanel & WHM 11.125.0.0 bis 11.126.0.53
  • •cPanel & WHM 11.126.0.0 bis 11.126.0.53
  • •cPanel & WHM 11.128.0.0 bis 11.130.0.18
  • •cPanel & WHM 11.130.0.0 bis 11.130.0.18
  • •cPanel & WHM 11.132.0.0 bis 11.132.0.28
  • •cPanel & WHM 11.134.0.0 bis 11.134.0.19
  • •cPanel & WHM 11.136.0.0 bis 11.136.0.4
  • •WP Squared 136.1.0 bis 136.1.6

Zusammenfassung

Für die Webhosting-Software cPanel & WHM wurde eine kritische Sicherheitslücke (CVE-2026-41940) veröffentlicht, die alle Versionen nach 11.40 betrifft. Die Schwachstelle erlaubt einen Authentifizierungs-Bypass im Login-Ablauf, wodurch ein nicht authentifizierter Angreifer aus der Ferne vollständigen Zugriff auf das cPanel/WHM-Control Panel erlangen kann. Der CVSSv4-Score beträgt 9.3 (Critical). Der Sicherheitsforscher Sybre Waaijer hat die Schwachstelle verantwortungsvoll gemeldet.

Technische Details

Die Schwachstelle (CWE-306: Missing Authentication for Critical Function) liegt im Authentifizierungsmechanismus von cPanel und WHM. Ein nicht authentifizierter Angreifer kann durch Manipulation des Login-Flows eine bestehende Session übernehmen oder eine neue authentifizierte Session erstellen, ohne gültige Anmeldedaten zu besitzen. Die Ausnutzung erfolgt über die Ports 2083, 2087, 2095 und 2096.

Im Detail ermöglicht die Schwachstelle das Einschleusen von Session-Daten durch Newline-Injection in benutzerkontrollierte Felder. Ein Angreifer kann bösartige Session-Attribute wie successful_internal_auth_with_timestamp, hasroot=1 oder tfa_verified=1 in eine Badpass-Session einschleusen und sich so als authentifizierter Root-Benutzer ausgeben. Die Auswirkungen umfassen:

  • Vollständige Übernahme des cPanel/WHM-Servers
  • Zugriff auf alle gehosteten Accounts und Datenbanken
  • Mögliche Kompromittierung der DNS- und Mail-Dienste
  • Laterale Bewegung im Netzwerk

Betroffene Systeme

Betroffen sind alle cPanel & WHM Installationen ab Version 11.40, die noch nicht auf die gepatchten Versionen aktualisiert wurden:

Branch Nicht betroffene (gepatchte) Version
cPanel & WHM 11.86 >= 11.86.0.41
cPanel & WHM 11.94 >= 11.94.0.28
cPanel & WHM 11.102 >= 11.102.0.39
cPanel & WHM 11.110 >= 11.110.0.97
cPanel & WHM 11.118 >= 11.118.0.63
cPanel & WHM 11.124 >= 11.124.0.35
cPanel & WHM 11.126 >= 11.126.0.54
cPanel & WHM 11.130 >= 11.130.0.19
cPanel & WHM 11.132 >= 11.132.0.29
cPanel & WHM 11.134 >= 11.134.0.20
cPanel & WHM 11.136 >= 11.136.0.5
WP Squared >= 136.1.7

Zusätzlich wurde für CentOS 6/CloudLinux 6 auf Version 110.0.50 ein direktes Update auf v110.0.103 bereitgestellt.

Empfehlungen und Maßnahmen

Sofortmaßnahmen:

  1. Update einspielen – Führen Sie das Update umgehend aus:

    /scripts/upcp --force

  2. Version prüfen und Dienst neustarten:

    /usr/local/cpanel/cpanel -V
/scripts/restartsrv_cpsrvd --hard

  3. Auf Kompromittierung prüfen – Nutzen Sie das von cPanel bereitgestellte Erkennungsskript ioc_checksessions_files.sh, das nach anomalen Session-Dateien sucht (badpass-Origin mit Authentifizierungsmarkern, token_denied-Zähler, malformed Session-Einträge).

  4. Falls kein Update möglich ist, wenden Sie folgende Mitigationsmaßnahmen an:

    • Blockieren Sie eingehenden Traffic auf den Ports 2083, 2087, 2095 und 2096
    • Deaktivieren Sie Service-Subdomains: 
      whmapi1 set_tweaksetting key=proxysubdomains value=0 && /scripts/proxydomains remove && /scripts/rebuildhttpdconf && /scripts/restartsrv_httpd
    • Stoppen Sie cpsrvd und cpdavd: 
      whmapi1 configureservice service=cpsrvd enabled=0 monitored=0 && whmapi1 configureservice service=cpdavd enabled=0 monitored=0 && /scripts/restartsrv_cpsrvd --stop && /scripts/restartsrv_cpdavd --stop

  5. Nach einer bestätigten Kompromittierung müssen alle Passwörter (Root- und WHM-Benutzer) zurückgesetzt, betroffene Sessions gelöscht und die Systeme auf Persistenz-Mechanismen (Cron, SSH-Keys, Backdoors) überprüft werden. Im Zweifel sollte der Server neu aufgesetzt und Accounts aus Backups wiederhergestellt werden.

Quellen

REFERENZEN