Criminelen kunnen zonder wachtwoord binnenbreken op servers van naar schatting 70 miljoen domeinen, omwille van een kritieke bug in cPanel en WHM. Die laat hen toe authenticatie te omzeilen.
Een kritieke bug treft software van cPanel. Naar schatting ongeveer 70 miljoen domeinen zouden zonder patch kwetsbaar zijn voor aanvallers, die authenticatie kunnen omzeilen om zo servers over te nemen. Een noodpatch is intussen beschikbaar, al is misbruik in het wild al even aan de gang.
Wat zijn cPanel en WHM?
cPanel is een heel populair beheerpaneel voor webhosting. De software staat in voor het beheer van servers, mail en domeinen via een grafische interface. De tool is gericht op eindgebruikers zoals websitebeheerders.
Ook hostingbedrijven gebruiken cPanel, en meer specifiek het onderdeel WHM (Web Host Manager). cPanel staat in voor het beheer van individuele websites, terwijl WHM de hostingprovider de tools geeft om domeinen van klanten te beheren. Moest het internet een appartementsgebouw zijn, dan kan je cPanel zien als de sleutels die de huurders van individuele appartementen gebruiken. WHM is de sleutelbos waarmee de verhuurder toegang heeft tot het hele pand.
Wat is het probleem?
CVE-2026-41940 is een nieuwe en kritieke bug die zowel cPanel als WHM treft. De CVSS-score van 9,3 is niet uit de lucht gegrepen. De bug laat aanvallers authenticatie omzeilen op alle ondersteunde versies van het beheerplatform. Met andere woorden: zowel de sleutelbos van de verhuurder als alle individuele sleutels van de huurders liggen te grabbel.
Zowel de sleutelbos van de verhuurder als alle individuele sleutels van de huurders liggen te grabbel.
CVE-2026-41940 omvat een fout in het laden en opslaan van sessies. WatchTowr beschrijft een aanval waarbij een aanvaller eerst een voorafgaande sessie aanmaakt via een mislukte login. Daarna kan die via een gemanipuleerde basic-authenticatieheader extra regels in het sessiebestand injecteren, omdat cPanel invoer op die plaats onvoldoende filterde.
Normaal volstaat dat niet meteen voor toegang, omdat cPanel ook een cachebestand met sessiegegevens gebruikt. De onderzoekers vonden echter een tweede stap waarmee de software de ruwe sessiedata opnieuw inleest en wegschrijft. Daardoor verschijnen geïnjecteerde velden zoals beheerdersrechten en een geldig authenticatietijdstip als legitieme sessiewaarden.
Vervolgens slaat WHM een gewone wachtwoordcontrole over. Het resultaat is potentieel nefast: een aanvaller kan zich volgens het onderzoek als root voordoen zonder het echte wachtwoord te kennen. Dat geeft een hacker toegang tot de gehele server, inclusief SSL-certificaten en databases.
Theoretische bug of praktisch misbruik?
De aanval is niet louter theoretisch. Daniel Pearson, CEO van hostingspecialist KnownHost, bevestigt dat aanvallen al zeker dertig dagen gaande zijn. cPanel heeft intussen een noodpatch gelanceerd. Alle versies van cPanel en WHM voor die patch zijn vatbaar voor de authenticatie-bug. Voor wie cPanel gebruikt, is er met andere woorden geen hogere prioriteit dan updaten. cPanel heeft intussen een script gepubliceerd waarmee gebruikers kunnen nagaan of ze al het slachtoffer zijn geworden van een aanval.
cPanel is een populaire oplossing. Het bedrijf wijst zelf naar grote spelers zoals OVHcloud, Team.blue en GoDaddy als klanten. WatchTowr weet dat zeker 70 miljoen domeinen wereldwijd beheerd worden door cPanel en WHM, al kunnen we dat cijfer niet zelf verifiëren. Dat cPanel een enorm marktaandeel heeft, en een bug de achterpoort naar miljoenen websites wereldwijd openzet, staat wel buiten kijf.
Groot risico
Dat maakt het risico des te groter: hoe breder het gebruik, hoe groter de kans dat beheerders hun software niet tijdig patchen. Op dit moment lijkt misbruik in het wild nog redelijk beperkt. Details over hoe de aanval concreet uitgevoerd moet worden, zijn nog niet publiekelijk beschikbaar. Er zijn echter criminelen die de kennis al hebben en het zal niet meer lang duren voor de exploit breder beschikbaar komt.
Deze bug past in een steeds maar langer lijstje van kwetsbaarheden in de IT-keten. Bugs treffen almaar vaker bedrijven die op hun beurt geïntegreerd zitten bij klanten wereldwijd. Zo groeit één bug in één stuk software snel uit tot een wereldwijd probleem.