Un marco de explotación proof-of-concept (PoC) armado, denominado “cPanelSniper”, ha sido publicado públicamente para la vulnerabilidad CVE-2026-41940, un fallo de máxima gravedad de omisión de autenticación en cPanel & WHM. Este exploit ya ha provocado el compromiso de decenas de miles de servidores en todo el mundo, con actividad maliciosa rastreada desde finales de febrero de 2026. La vulnerabilidad CVE-2026-41940 es un fallo crítico pre-autenticación originado en [...]

Se ha publicado la versión pública de un marco de explotación de prueba de concepto (PoC) armado llamado “cPanelSniper” para el CVE-2026-41940, una vulnerabilidad de omisión de autenticación de severidad máxima en cPanel & WHM que ya ha provocado el compromiso de decenas de miles de servidores en todo el mundo, con actividades de ataque rastreadas desde finales de febrero de 2026.

El CVE-2026-41940 es un fallo crítico de pre-autenticación originado en la forma en que el módulo Session.pm de cPanel maneja las cabeceras HTTP Authorization durante el inicio de sesión.

La vulnerabilidad surge porque la función saveSession() escribe los datos de la sesión en el disco antes de llamar a filter_sessiondata() para su saneamiento; esto significa que los caracteres CRLF incrustados en una cabecera de autorización Basic se escriben textualmente en el archivo de sesión del disco.

Un atacante puede inyectar campos como user=root, hasroot=1 y tfa_verified=1 directamente en el archivo de sesión, falsificando eficazmente una sesión de root de WHM totalmente autenticada sin necesidad de credenciales válidas.

El fallo tiene una puntuación CVSS de 9.8 (Crítica) y afecta a todas las versiones de cPanel & WHM posteriores a la 11.40, así como a WP Squared (WordPress Squared) v136.1.7. cPanel reveló el problema el 28 de abril de 2026 y lanzó parches de emergencia el mismo día, pero la explotación ya estaba activamente en marcha.

cPanelSniper: Cadena de Explotación de Cuatro Etapas

Publicado abiertamente en GitHub por el investigador de seguridad Mitsec (@ynsmroztas), cPanelSniper automatiza la explotación a través de una cadena de ataque precisa de cuatro etapas:

• Etapa 1 — Crea una sesión de WHM de pre-autenticación utilizando credenciales intencionalmente inválidas, obteniendo una cookie whostmgrsession
• Etapa 2 — Inyecta una carga útil CRLF a través de una cabecera Authorization: Basic manipulada, haciendo que cpsrvd escriba campos de sesión envenenados en el disco
• Etapa 3 — Activa el gadget interno do_token_denied a través de /scripts2/listaccts, volcando los datos brutos de la sesión en la caché y activando los campos inyectados
• Etapa 4 — Verifica el acceso total de root a WHM consultando /json-api/version, devolviendo un HTTP 200 y confirmando un estado de “PWNED” (hackeado)

La herramienta no requiere dependencias externas; es puro stdlib de Python 3.8+ y admite escaneo masivo, integración de tuberías con herramientas como Subfinder y Shodan, acceso interactivo a la shell de WHM y acciones de post-explotación que incluyen la ejecución de comandos, enumeración de cuentas y creación de administradores fraudulentos (backdoor).

La Shadowserver Foundation confirmó el 30 de abril de 2026 que se observaron 44.000 direcciones IP únicas escaneando víctimas, lanzando exploits o realizando ataques de fuerza bruta contra sus sensores de honeypot.

La actividad de explotación se ha rastreado hasta al menos el 23 de febrero de 2026, lo que indica que los atacantes estaban explotando este zero-day aproximadamente dos meses antes de que existiera cualquier parche. Los resultados de los ataques incluyen el despliegue de ransomware, la alteración de sitios web (defacements) y el reclutamiento de botnets.

La escala de la exposición es alarmante: aproximadamente 650.000 instancias de cPanel/WHM siguen expuestas a Internet, con cerca de 1,5 millones de instancias potencialmente vulnerables identificadas a través de Shodan.

CISA añadió el CVE-2026-41940 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 1 de mayo de 2026.

Mitigaciones

cPanel implementó parches de emergencia en todas las ramas activas:

Tú, como administrador, debes actualizar inmediatamente mediante /scripts/upcp --force, reiniciar los servicios cpsrvd y cpdavd, y bloquear el tráfico entrante en los puertos de cPanel 2083, 2087, 2095 y 2096 en el firewall.

Los equipos de seguridad deben auditar los directorios de sesión en busca de archivos de sesión sospechosos que contengan campos inyectados y rotar todas las credenciales administrativas como medida de precaución.