Están aprovechando una falla crítica en cPanel y WHM para instalar el malware Mirai en servidores expuestos. Esta acción extiende una amenaza de botnet que normalmente afecta a dispositivos conectados, provocando un aumento significativo de tráfico sospechoso de Telnet y generando preocupación en organizaciones que no anticipaban este tipo de ataques contra sus servidores.

Esstán explotando un fallo crítico de cPanel y WHM para colocar el malware Mirai en servidores expuestos, extendiendo una amenaza de botnet normalmente asociada con dispositivos conectados.

Esta actividad produjo un fuerte aumento del tráfico sospechoso de Telnet y dejó al descubierto un problema de seguridad de Internet más amplio. Su uso directo contra servidores genera preocupación en las organizaciones que podrían no asociar la infraestructura de hosting convencional con las operaciones de botnets impulsadas por Mirai.

El problema, CVE-2026-41940, permite que un atacante no autenticado evite el proceso de inicio de sesión en sistemas cPanel y WHM vulnerables. Con acceso administrativo, un intruso puede alterar configuraciones, añadir archivos maliciosos y atacar otros sistemas.

La campaña demuestra por qué las interfaces de gestión sin parches siguen siendo objetivos. Los analistas de JPCERT/CC identificaron un aumento repentino de paquetes similares a Mirai dirigidos al puerto TCP 23 a principios de mayo.

El aumento comenzó el 30 de abril y luego disminuyó gradualmente, pero conectó la infraestructura de hosting comprometida a un ecosistema de botnet.

Muchas de las direcciones de origen observadas pertenecían a proveedores de hosting, y los investigadores encontraron interfaces de administración de cPanel cuando visitaron esas direcciones.

JPCERT/CC señaló en un informe que el monitoreo por sí solo no puede probar la ruta de infección. Aun así, informes independientes indicaron que la explotación probablemente estaba ligada a la actividad de Mirai o variantes de Mirai.

Explotan el bypass de autenticación de cPanel CVE-2026-41940

El CVE-2026-41940 es un fallo grave de bypass de autenticación que afecta a las implementaciones de cPanel y WHM. Permite el acceso a funciones administrativas sin una cuenta válida, creando una ruta hacia el compromiso total.

La cobertura anterior sobre la explotación activa de un día cero en cPanel detalló cómo se aprovechó la debilidad antes de que las organizaciones tuvieran tiempo de aplicar las correcciones de emergencia.

Una vez dentro, los atacantes pueden convertir un servidor de alojamiento web en un punto de apoyo operativo en lugar de simplemente robar los datos alojados.

El código derivado de Mirai puede usar ese punto de apoyo para sondear servicios expuestos, propagarse a través de objetivos adicionales o proporcionar tráfico para operaciones de denegación de servicio. Esto amplía el impacto más allá de un único panel de control vulnerado, especialmente donde los proveedores gestionan muchos sitios.

El tráfico observado se centró en el puerto 23, utilizado comúnmente por Telnet, un protocolo de acceso remoto heredado que no debería estar expuesto.

Las familias de Mirai han abusado repetidamente de credenciales débiles y servicios remotos accesibles; la evolución de la amenaza de la botnet Mirai muestra por qué los atacantes buscan formas rápidas de añadir sistemas a sus redes.

La actividad puede haber involucrado infecciones de Mirai explotando el CVE-2026-41940. La organización también señaló informes de otros daños no relacionados con Mirai, lo que demuestra que el bypass de autenticación permite otros abusos.

Señales mundiales y pasos defensivos

Estados Unidos representó la mayor parte del tráfico de origen. También aparecieron aumentos bruscos alrededor del 1 de mayo en Alemania, Francia y Canadá.

Los cambios en los patrones regionales sugieren que las infecciones se distribuyeron por todo Internet en lugar de limitarse a un solo país, proveedor o grupo de servidores.

Japón reflejó la misma tendencia. El tráfico similar a Mirai desde direcciones japonesas dirigido al puerto 23 aumentó aproximadamente 15 veces el nivel visto antes del incremento.

En el punto máximo, muchos paquetes provenían de direcciones asignadas a varios proveedores de hosting. El análisis de la campaña de toma de control de servidores proporciona un contexto útil sobre el riesgo creado por las instalaciones expuestas de cPanel y WHM.

Para quienes se defienden, la primera prioridad es instalar las correcciones del proveedor para el CVE-2026-41940 en cada servidor afectado y verificar que ninguna instancia obsoleta siga siendo accesible.

Tú, como administrador, también deberías restringir la administración remota a redes de confianza, desactivar Telnet donde no sea esencial y reemplazar las contraseñas débiles o reutilizadas por credenciales únicas y fuertes.

Las organizaciones que sospechen un compromiso deben inspeccionar los procesos activos y las conexiones de red salientes, comprobando si cada servicio tiene un propósito operativo claro.

También deberían revisar los registros de cPanel y del sistema en busca de sesiones administrativas inesperadas, cuentas nuevas, cambios de configuración o archivos inexplicables.

Las nuevas revelaciones de fallos de cPanel refuerzan la necesidad de tratar los paneles de hosting como sistemas de alto valor que requieren parches y monitoreo regulares. El incidente es un recordatorio de que Mirai no se limita a cámaras, routers y otros dispositivos del Internet de las Cosas.

Un servidor comprometido puede convertirse en otro nodo de botnet, exponiendo a su operador y clientes a interrupciones y más abusos. El parcheo rápido, el acceso remoto limitado y la revisión continua del tráfico inusual siguen siendo las salvaguardas más prácticas.