cPanel और WebHost Manager (WHM) डैशबोर्ड के नवीनतम संस्करणों को छोड़कर सभी को प्रभावित करने वाली एक महत्वपूर्ण भेद्यता का फायदा उठाकर बिना ऑथेंटिकेशन के कंट्रोल पैनल तक पहुंच प्राप्त की जा सकती है।
सुरक्षा मुद्दा, वर्तमान में CVE-2026-41940 के रूप में पहचाना गया और 9.8 के गंभीरता स्कोर के साथ, एक आपातकालीन अपडेट में संबोधित किया गया है जिसमें पैच्ड सॉफ्टवेयर संस्करण प्राप्त करने के लिए मैन्युअल रूप से एक कमांड चलाने की आवश्यकता होती है।
WebPros International के स्वामित्व में, WHM और cPanel सर्वर और वेबसाइट प्रबंधन के लिए Linux-आधारित वेब होस्टिंग कंट्रोल पैनल हैं। जबकि WHM सर्वर-स्तरीय नियंत्रण प्रदान करता है, cPanel वेबसाइट बैकएंड, वेबमेल, और डेटाबेस के लिए एडमिनिस्ट्रेटर एक्सेस प्रदान करता है।
दोनों उत्पाद सबसे व्यापक रूप से तैनात होस्टिंग कंट्रोल पैनल में से हैं, जो कई होस्टिंग प्रदाताओं के साथ उनके मानकीकृत इंटरफेस, गैर-तकनीकी उपयोगकर्ताओं के लिए उपयोग में आसानी, और सामान्य होस्टिंग स्टैक के साथ गहन एकीकरण के लिए लोकप्रिय हैं।
कोई तकनीकी विवरण सार्वजनिक रूप से प्रकट नहीं किया गया है, लेकिन इस मुद्दे की गंभीरता महत्वपूर्ण प्रतीत होती है, क्योंकि Namecheap ने ग्राहकों की सुरक्षा के लिए पैच उपलब्ध होने तक WHM और cPanel के लिए उपयोग किए जाने वाले पोर्ट 2083 और 2087 तक पहुंच को अस्थायी रूप से अवरुद्ध कर दिया।
"हमें आपको यह सूचित करते हुए खेद है कि cPanel सॉफ्टवेयर में एक महत्वपूर्ण सुरक्षा भेद्यता की पहचान की गई है जो वर्तमान में समर्थित सभी संस्करणों को प्रभावित करती है," Namecheap ने कहा।
होस्टिंग प्रदाता ने कहा कि भेद्यता "एक ऑथेंटिकेशन लॉगिन एक्सप्लॉइट से संबंधित है जो कंट्रोल पैनल तक अनधिकृत पहुंच की अनुमति दे सकती है।"
Namecheap की अधिसूचना के कुछ घंटों बाद, cPanel ने एक सुरक्षा बुलेटिन प्रकाशित किया जिसमें बताया गया कि सुरक्षा मुद्दे को निम्नलिखित उत्पाद संस्करणों में संबोधित किया गया है:
- 11.110.0.97
- 11.118.0.63
- 11.126.0.54
- 11.132.0.29
- 11.136.0.5
- 11.134.0.20
एक सुरक्षित संस्करण स्थापित करने के लिए, विक्रेता अनुशंसा करता है कि प्रशासक कमांड /scripts/upcp –force निष्पादित करें, जो cPanel अपडेट प्रक्रिया को चलाता है और इसे निष्पादित करने के लिए मजबूर करता है भले ही सिस्टम सोचता है कि यह पहले से ही नवीनतम संस्करण पर चल रहा है।
cPanel के असमर्थित संस्करण पर चल रहे सर्वर सुरक्षा अपडेट के लिए अयोग्य हैं। इस मामले में, प्रशासकों को जल्द से जल्द समर्थित संस्करण में अपग्रेड करने की सलाह दी जाती है।
cPanel तक पहुंच प्राप्त करने वाला एक हमलावर होस्टिंग खाते में मौजूद हर चीज को नियंत्रित कर सकता है, वेबसाइटों और डेटा से लेकर ईमेल तक। वे बैकडोर या वेब शेल प्लांट करने, उपयोगकर्ताओं को दुर्भावनापूर्ण स्थानों पर रीडायरेक्ट करने, संवेदनशील फाइलें चुराने, स्पैम या फ़िशिंग ईमेल भेजने, या कॉन्फिगरेशन फाइलों से पासवर्ड इकट्ठा करने के लिए एक्सेस का उपयोग कर सकते हैं।
WHM पूरे सर्वर और उसके द्वारा होस्ट की जाने वाली सभी वेबसाइटों तक पहुंच प्रदान करता है। इसका मतलब है कि एक खतरा अभिनेता cPanel खाते बना और हटा सकता है, मशीन पर लगातार पहुंच स्थापित कर सकता है, और इसे विभिन्न दुर्भावनापूर्ण गतिविधियों (जैसे प्रॉक्सी ट्रैफिक, स्पैम, मैलवेयर डिलीवरी, बॉटनेट) के लिए उपयोग कर सकता है।
प्रभावित प्रबंधन इंटरफेस का उपयोग करने वाले वेबसाइट मालिकों को यह सुनिश्चित करना चाहिए कि उन्होंने पैच्ड संस्करण में अपडेट किया है।
अपडेट [29 अप्रैल, 16:51 EST]: VulnCheck द्वारा सौंपा गया ट्रैकिंग नंबर जोड़ा गया।
Mythos द्वारा पाया गया 99% अभी भी अनपैच्ड है।
AI ने चार जीरो-डे को एक एक्सप्लॉइट में जोड़ दिया जो रेंडरर और OS दोनों सैंडबॉक्स को बायपास करता है। नए एक्सप्लॉइट्स की एक लहर आ रही है।
ऑटोनॉमस वैलिडेशन समिट (12 और 14 मई) में, देखें कि कैसे ऑटोनॉमस, संदर्भ-समृद्ध वैलिडेशन पता लगाता है कि क्या शोषक है, नियंत्रण साबित करता है, और रिमेडिएशन लूप को बंद करता है।
अपना स्थान सुरक्षित करें
