Понад 40 000 серверів скомпрометовано в результаті активної експлуатації cPanel

Критична вразливість обходу автентифікації в cPanel та WebHost Manager (WHM) активно експлуатується, і масштаб збитків є значним. За оцінками Shadowserver Foundation, понад 40 000 серверів, імовірно, вже скомпрометовано, а Агентство з кібербезпеки та захисту інфраструктури США (CISA) додало цю вразливість, що відстежується як CVE-2026-41940, до свого каталогу відомих експлуатованих вразливостей (KEV). Агентство закликає всіх постраждалих адміністраторів негайно застосувати патчі.

cPanel є однією з найпоширеніших панелей керування веб-хостингом у світі, яка забезпечує роботу мільйонів вебсайтів у середовищах спільного, VPS та виділеного хостингу. Саме така широка розповсюдженість робить цю вразливість настільки серйозною за наслідками.

Що таке CVE-2026-41940 і чому це важливо?

CVE-2026-41940 — це вразливість обходу автентифікації, що означає: зловмисники можуть отримати доступ до адміністративних функцій cPanel або WHM без надання дійсних облікових даних. На практиці це дає загрозливим суб'єктам можливість маніпулювати розміщеними вебсайтами, отримувати доступ до збережених даних, змінювати конфігурації серверів, впроваджувати шкідливий код і потенційно переміщатися між сайтами в середовищах спільного хостингу, де на одному сервері співіснує безліч вебсайтів.

Вразливість класифікована як критична, що відображає як легкість її експлуатації, так і рівень доступу, який вона надає. Після того як зловмисник отримує адміністративний контроль над середовищем cPanel, наслідки можуть поширитися далеко за межі самого сервера. Відвідувачі вебсайтів, розміщених на скомпрометованих серверах, можуть бути піддані впливу шкідливого програмного забезпечення, фішингових сторінок або скриптів для збору облікових даних без будь-яких видимих попереджень.

Додавання вразливості CISA до каталогу KEV є чітким сигналом того, що її експлуатація — не теоретична. Це відбувається зараз, у масштабах.

Прихований ризик для звичайних користувачів інтернету

Більшість людей, які зіткнуться з цією новиною, припустять, що вона стосується лише хостингових компаній та адміністраторів вебсайтів. Це припущення упускає ширший контекст. Коли хостинговий сервер скомпрометовано, кожен вебсайт, що працює на цій інфраструктурі, стає потенційним вектором атаки.

Середовища спільного хостингу, поширені серед малого бізнесу, особистих вебсайтів і стартапів на ранніх стадіях, часто розміщують десятки або навіть сотні вебсайтів на одному сервері. Якщо цей сервер працює на вразливій версії cPanel і не був виправлений, одна подія експлуатації може одночасно вплинути на всі ці сайти.

Користувачі, які відвідують ці вебсайти, можуть зіткнутися з такими ризиками, як автоматичне завантаження шкідливого програмного забезпечення, підроблені сторінки входу, призначені для крадіжки облікових даних, захоплення сесій та маніпуляції з вмістом у стилі атаки «людина посередині». Скомпрометований сервер може обслуговувати шкідливий вміст, виглядаючи у браузері абсолютно нормально.

Це не віддалений або малоймовірний сценарій. За оцінками, вже постраждало 40 000 серверів, тому значна частина щоденного вебтрафіку, найімовірніше, зараз торкається скомпрометованої інфраструктури.

Що це означає для вас

Якщо ви керуєте вебсайтом на хостингу на основі cPanel, першочерговий пріоритет очевидний: перевірте, чи ваш хостинг-провайдер виправив CVE-2026-41940, і без зволікань застосуйте всі доступні оновлення. Якщо ви не впевнені щодо свого рівня ризику, зв'яжіться з хостером безпосередньо.

Для звичайних користувачів, які не керують серверами, ситуація потребує іншого підходу до усвідомлення загроз. Є кілька практичних кроків, які варто зробити:

  • Тримайте функції безпеки браузера ввімкненими. Більшість сучасних браузерів мають захист безпечного перегляду, який позначає відомі шкідливі сайти. Переконайтеся, що ці функції активовані.
  • Будьте обережні з обліковими даними. Якщо ви помічаєте щось незвичне на знайомому вебсайті, наприклад дещо інший вигляд сторінки входу або несподівані попередження про сертифікат, не продовжуйте роботу.
  • Використовуйте надійний DNS-резолвер із фільтрацією загроз. Деякі DNS-сервіси позначають відомі шкідливі домени ще до того, як ваш браузер завантажить сторінку.
  • Розгляньте використання VPN у публічних або ненадійних мережах. VPN шифрує ваш трафік між вашим пристроєм і VPN-сервером, знижуючи ризик перехоплення на мережевому рівні, особливо у публічних мережах Wi-Fi, де зловмисники можуть скористатися ослабленими конфігураціями серверів.
  • Відстежуйте облікові записи, пов'язані з сайтами, якими ви регулярно користуєтеся. Якщо вебсайт, з яким ви взаємодієте, працює на скомпрометованому хостингу, облікові дані, збережені або передані через цей сайт, можуть бути під загрозою.

Для хостинг-провайдерів і системних адміністраторів вказівки CISA є однозначними: негайно застосуйте патчі, перевірте журнали доступу на ознаки несанкціонованої діяльності та перегляньте будь-які конфігурації, які могли бути змінені в період експлуатації.

Кампанія з експлуатації CVE-2026-41940 в cPanel нагадує про те, що вразливості у фундаментальній вебінфраструктурі створюють хвилі наслідків, що поширюються далеко за межі самих серверів. Бути поінформованим і вживати базових захисних заходів — це найбільш практичні відповіді, доступні користувачам на будь-якому рівні технічного досвіду.