V orodjih cPanel, WHM in WP Squared so varnostni raziskovalci odkrili kritično varnostno ranljivost, označeno s CVE-2026-41940, ki napadalcem omogoča popoln obhod avtentikacijskega mehanizma. Še bolj zaskrbljujoče je dejstvo, da so napadalci to ranljivost aktivno izkoriščali že pred uradnim razkritjem, prvotni poskusi izkoriščanja pa segajo v pozni februar 2026.
Ranljivost prizadene tri ključne komponente infrastrukture za upravljanje spletnih strežnikov: cPanel, ki je eden najbolj razširjenih nadzornih panelov za upravljanje spletnih gostovanj, WHM (WebHost Manager) kot nadrejeni upravljalski vmesnik ter WP Squared, orodje za upravljanje WordPress namestitev v večjem obsegu. Glede na razširjenost teh platform je potencialni vpliv izjemno velik.
CVE-2026-41940 predstavlja kritično grožnjo, saj napadalcem omogoča, da brez veljavnih poverilnic pridobijo nepooblaščen dostop do sistema. V rokah izkušenega napadalca to pomeni možnost prevzema nadzora nad celotnim strežnikom, vključno z vsemi gostiteljskimi računi, bazami podatkov in spletnimi mesti, ki se nahajajo na prizadetem sistemu.
Situacijo dodatno otežuje dejstvo, da je bil javno objavljen proof-of-concept (PoC) kod, ki demonstrira izkoriščanje ranljivosti. To bistveno znižuje vstopno bariero za manj izkušene napadalce in poveča verjetnost množičnih poskusov eksploatacije.
Upravljavci sistemov, ki uporabljajo cPanel, WHM ali WP Squared, morajo takoj ukrepati. Prednostna naloga je namestitev varnostnih popravkov, ki jih je izdal razvijalec. Vse sisteme je treba nadgraditi na najnovejšo različico, ki odpravlja CVE-2026-41940. Do namestitve popravkov priporočamo omejitev dostopa do upravljalskih vmesnikov samo na zaupanja vredne IP naslove ter povečan nadzor dnevniških datotek za odkrivanje neobičajnih vzorcev dostopa.
Incident ponovno poudarja pomen proaktivnega upravljanja ranljivosti in hitre odzivnosti pri namestitvi varnostnih popravkov, še posebej pri kritični infrastrukturi za upravljanje strežnikov.
Vir: https://www.bleepingcomputer.com/news/security/critical-cpanel-and-whm-bug-exploited-as-a-zero-day-poc-now-available/
Originalna objava: 2026-04-30
Članek je pripravljen na osnovi tujega vira s pomočjo AI in prilagojen za slovenskega bralca.