Panele hostingu / DATA PUBLICZNEGO OGŁOSZENIA
cPanel 2026: krytyczna luka w logowaniu
Obejście uwierzytelniania w cPanel i WHM pokazało, jak luka w panelu zarządzania może zagrozić wielu usługom na serwerze.
Co się wydarzyło?
28 kwietnia 2026 roku cPanel opublikował komunikat i aktualizacje bezpieczeństwa dotyczące luki w uwierzytelnianiu. Problem otrzymał identyfikator CVE-2026-41940. Dotyczył cPanel & WHM, także wariantu DNSOnly, oraz produktu WP Squared.
Producent wyjaśnił, że dwie ścieżki kodu zapisywały dane sesji, ale tylko jedna wykonywała wymagane oczyszczanie danych wejściowych. Błąd w drugiej ścieżce, związanej z obsługą Basic authentication, pozwalał potraktować nieuwierzytelnioną sesję jako uwierzytelnioną. Atakujący mógł uzyskać dostęp bez prawidłowych danych logowania.
Dlaczego był to kryzys dla hostingu?
Panel zarządzania ma dostęp do plików, poczty, baz i konfiguracji usług. Przejęcie sesji administracyjnej może więc zagrozić całemu serwerowi i wielu utrzymywanym na nim serwisom. Zakres szkód zależy od uprawnień konta, do którego napastnik uzyskał dostęp.
30 kwietnia 2026 roku podatność trafiła do katalogu CISA Known Exploited Vulnerabilities. Odnotowany w NVD wpis KEV potwierdzał jej wykorzystywanie w rzeczywistych atakach. Administratorzy musieli równolegle wdrażać poprawki i sprawdzać, czy wcześniej nie doszło do naruszenia.
Jak wyglądała reakcja?
Producent udostępnił poprawki dla wielu gałęzi, również wybranych starszych wydań. Historyczne wersje naprawcze obejmowały m.in. 11.126.0.54, 11.134.0.20 i 11.136.0.5, a dla WP Squared 136.1.7. Weryfikacja wymagała sprawdzenia właściwej gałęzi i pełnego numeru kompilacji.
Zalecenia obejmowały aktualizację, potwierdzenie wersji, restart usługi panelu oraz ocenę śladów kompromitacji. cPanel udostępnił narzędzie wykrywające wybrane wskaźniki naruszenia, a następnie korygował je, aby ograniczyć fałszywe alarmy. Wynik skanowania należało więc porównać z logami i innymi śladami możliwego włamania.
Co to oznacza dla administratora?
Panel administracyjny jest osobną warstwą bezpieczeństwa. Aktualny CMS i silne hasło nie zastępują aktualizacji panelu ani kontroli jego sesji. Po podejrzeniu przejęcia potrzebna jest ocena całego środowiska, w tym dostępów i zmian w usługach.
WHM to panel zarządzania serwerem. WHMCS służy m.in. do rozliczeń i obsługi klienta - to odrębny produkt. Zakres tej podatności należy odczytywać z komunikatu dla cPanel & WHM oraz WP Squared.