64 Tage Zero-Day im cPanel und WHM: 1,5 Millionen Server betroffen

Die Authentication-Bypass-Schwachstelle CVE-2026-41940 im cPanel und WHM wurde offenbar rund 64 Tage lang aktiv ausgenutzt. Mit einem CVSS-Score von 9,8 gilt sie als kritisch. Ein Patch steht bereits zur Verfügung und sollte umgehend installiert werden, falls dies noch nicht geschehen ist. Laut Shodan gelten rund 1,5 Millionen Server als exponiert.

Dem Hosting-Anbieter KnownHost zufolge laufen Angriffe auf die Sicherheitslücke bereits seit Ende Februar 2026. Die CISA nahm den Eintrag kurz nach dem Disclosure in ihre KEV-Liste auf. Schon bei der Langflow-Schwachstelle hatte dieser Schritt Notfall-Patches ausgelöst.

Technische Mechanik

Hinter cPanel steht die Entwicklerfirma WebPros. Der Fehler steckt im Session-Handling von cpsrvd, dem Perl-Daemon für die cPanel- und WHM-Weboberflächen. Eine CRLF-Injection-Schwachstelle in der Basic-Auth-Behandlung ermöglicht es Angreifern, manipulierte Session-Dateien anzulegen. Eine Anmeldung ist dafür nicht nötig, am Ende stehen Root-Rechte auf dem Host. Eine Sanitizer-Funktion war zwar vorhanden, wurde aber an der entscheidenden Stelle nicht aufgerufen.

Im schlimmsten Fall übernehmen Angreifer den kompletten cPanel-Host inklusive Konfigurationen, Datenbanken und gehosteten Websites. Rapid7-Sicherheitsforscher Ryan Emmons schätzt die Zahl der exponierten Instanzen via Shodan auf rund 1,5 Millionen. Unklar bleibt, wie viele davon tatsächlich verwundbar sind oder bereits kompromittiert wurden.

Anzeige

Bereits eingesetzte Schadsoftware

Die Ausnutzung ist nicht theoretisch. Angreifer nutzen die Schwachstelle aktiv, um Mirai-Botnet-Varianten und eine Ransomware mit der Bezeichnung „Sorry“ auszuliefern. Die Shadowserver Foundation meldet 44.000 einzelne IP-Adressen, die ihre Honeypots scannen oder Exploits gegen cPanel-Endpunkte fahren. Rund 650.000 IPs hosten exponierte cPanel- und WHM-Instanzen.

Auch die Vorgeschichte der Veröffentlichung ist ungewöhnlich. Nach einem Bericht von webhosting.today soll ein Sicherheitsforscher das cPanel-Team bereits etwa zwei Wochen vor dem öffentlichen Advisory auf die Schwachstelle aufmerksam gemacht haben. Der Hinweis sei zunächst zurückgewiesen worden. Erst später veröffentlichte cPanel die offizielle Warnung und stellte einen Patch bereit. Offen bleibt, ob der Meldende zu diesem Zeitpunkt bereits von der aktiven Ausnutzung wusste.

Was Admins jetzt tun müssen

Größere Hosting-Anbieter wie Namecheap, KnownHost, HostPapa und InMotion haben bereits gehandelt. Die Ports 2083 und 2087 wurden präventiv geblockt, bevor der Patch verfügbar war. Eine ähnlich entschlossene Reaktion zeigten Behörden zuletzt beim deutschen BKA-Einsatz wegen eines anderen Zero-Days.

Admins sollten zügig die gepatchte Version einspielen, cpsrvd neu starten und Indikatoren für Kompromittierung prüfen. Wer eine aktiv ausgenutzte Lücke wie zuletzt bei Adobe Acrobat zu spät patcht, riskiert einen Totalverlust. Bei Verdacht auf eine Kompromittierung empfehlen die Forscher von Nocinit die Migration auf ein sauberes System aus einem Pre-Breach-Backup. Von einer manuellen Bereinigung raten Experten ab.