Уязвимость в cPanel

[rustelekom]

Безопасность: CVE-2026-41940 — обновление системы безопасности cPanel и WHM / WP2 от 28.04.2026
Девон Кортни

30.04.26 03:33 вечера по восточному времени: Обновлены инструкции по перезапуску и добавлена команда API для уровня 11.110.
30.04.26 02:33 вечера по восточному времени: Добавлены инструкции по обновлению серверов C6 / CL6 на 110.0.50
29.04.26 02: 46 вечера по восточному времени: Обновлены требуемые действия в статье и добавлен скрипт обнаружения.
28.04.26 04:36 вечера по восточному времени: Обновлена статья, чтобы включить исправленные версии.
28.04.26 03:19 вечера по восточному времени: Обновленная статья, отражающая изменения в шагах по смягчению последствий
28.04.26 12:05 По восточному времени: Опубликована первоначальная статья.

Причина
В программном обеспечении cPanel (включая DNSOnly) была обнаружена уязвимость, позволяющая обходить аутентификацию. Она затрагивает все версии после 11.40.

Решение
Мы выпустили исправление для следующих версий cPanel и WHM:

11.86.0.41
11.110.0.97
11.118.0.63
11.126.0.54
11.130.0.19
11.132.0.29
11.136.0.5
11.134.0.20
Мы выпустили обновление для следующей версии WP Squared:

136.1.7
Для клиентов, которые все еще используют CentOS 6 или CloudLinux 6 версии 110.0.50, мы выпустили обновление до версии 110.0.103. Чтобы обновиться до этой версии, выполните следующую команду, чтобы выбрать уровень обновления, а затем следуйте инструкциям в разделе «Необходимые действия» ниже.

whmapi1 set_tier tier=11.110.0.103

Необходимые действия
1. Немедленно обновите сервер до одной из перечисленных выше версий с помощью скрипта обновления cPanel:

/scripts/upcp --force

2. После завершения обновления проверьте и подтвердите возвращаемую версию сборки cPanel и перезапустите службу cPanel (cpsrvd):

/usr/local/cpanel/cpanel -V

/scripts/restartsrv_cpsrvd --hard

3. Обратите внимание, что если вы отключили обновления cPanel или привязали конфигурацию обновлений cPanel к определенной версии, они не будут обновляться автоматически. Пожалуйста, определите эти серверы и обновите их вручную в приоритетном порядке. Если на сервере используется CentOS 7 или CloudLinux 7, вам нужно будет установить версию 11.110.

whmapi1 set_tier tier=11.110

Информацию о том, как настроить параметры обновления cPanel из командной строки, можно найти в следующей статье службы поддержки:

Как настроить параметры обновления cPanel из командной строки

4. Если вы не можете решить проблему описанным выше способом, воспользуйтесь одним из следующих решений:

Заблокируйте входящий трафик через порты 2083, 2087, 2095 и 2096 на брандмауэре. Или
остановите cpsrvd и cpdavd:

whmapi1 configureservice service=cpsrvd enabled=0 monitored=0 && whmapi1 configureservice service=cpdavd enabled=0 monitored=0 && /scripts/restartsrv_cpsrvd --stop && /scripts/restartsrv_cpdavd --stop

В настоящее время мы работаем над поиском способов установки патча для версий, не указанных выше, особенно для версий с большим количеством серверов. Тем временем настоятельно рекомендуем следовать приведенным ниже инструкциям до тех пор, пока вы не обновитесь до поддерживаемой версии, которая будет обновляться по мере выхода патчей.

Предупреждение. Если на вашем сервере установлена неподдерживаемая версия cPanel, которая не поддерживает это обновление, настоятельно рекомендуем как можно скорее обновить сервер, так как он тоже может быть затронут.

Полная статья https://support.cpanel.net/hc/en-us/...ate-04-28-2026