CVE-2026-41940: a falha crítica do cPanel que colocou 1,5 milhão de servidores em risco

Publicado pela Pentesty · Análise de vulnerabilidade

Se você opera um ambiente de hospedagem web, administra servidores cPanel e WHM ou supervisiona infraestrutura de clientes, precisa parar o que está fazendo e ler isto.

Em 28 de abril de 2026, foi divulgada publicamente uma vulnerabilidade crítica de desvio de autenticação no cPanel e WHM. Seu identificador é CVE-2026-41940, e a pontuação CVSS é 9,8 de 10. Isso significa acesso remoto sem autenticação aos painéis administrativos. Sem necessidade de credenciais. Sem necessidade de engenharia social.

Cerca de 1,5 milhão de instâncias do cPanel expostas à internet podem estar vulneráveis agora. E a situação piora: há evidências confiáveis de que a exploração zero-day já acontecia em 23 de fevereiro de 2026. Isso é mais de dois meses antes do lançamento da correção.

Quando a CVE se tornou pública, os atacantes já poderiam estar dentro dos sistemas.

O que é a CVE-2026-41940?

A vulnerabilidade é uma falha de injeção CRLF no processo de carregamento de sessões do cPanel.

CRLF significa Carriage Return Line Feed, ou retorno de carro e avanço de linha. São os caracteres \r\n usados para separar linhas em cabeçalhos HTTP e em muitos formatos de arquivo. Quando entradas que contêm esses caracteres não são sanitizadas adequadamente, um atacante pode injetar dados arbitrários em arquivos que a aplicação depois interpreta como conteúdo legítimo.

Neste caso específico, o ataque funciona assim:

1. O atacante envia uma requisição especialmente preparada ao processo de login do cPanel
2. A injeção CRLF faz com que o arquivo de sessão seja gravado com propriedades controladas pelo atacante
3. O atacante injeta user=root no arquivo de sessão
4. O cPanel lê a sessão e concede acesso administrativo sem exigir senha

O resultado é controle total, com privilégios de root, sobre o servidor cPanel, todos os sites hospedados, bancos de dados, contas de e-mail e arquivos de configuração. É o tipo de falha que a OWASP classifica como controle de acesso quebrado e falhas de identificação. Veja nosso guia do OWASP Top 10 para desenvolvedores para entender como essas classes aparecem no código do dia a dia.

Quem é afetado?

Todas as versões posteriores ao cPanel e WHM 11.40 são vulneráveis, até as seguintes versões corrigidas:

Se você está usando uma versão que não está entre essas versões corrigidas, seu servidor está exposto neste momento.

A cronologia oculta: exploração zero-day antes da divulgação

Uma das partes mais preocupantes dessa história é a suspeita sobre a janela de exploração.

Pesquisadores acreditam que a exploração ativa pode ter começado por volta de 23 de fevereiro de 2026. A divulgação pública ocorreu em 28 de abril. É um intervalo de 64 dias em que os atacantes poderiam comprometer silenciosamente servidores cPanel enquanto os defensores nem sabiam que a vulnerabilidade existia.

É também por isso que a varredura proativa importa. Ferramentas como a Pentesty.co verificam continuamente sua infraestrutura usando milhares de modelos atualizados do Nuclei, incluindo verificações de vulnerabilidades de desvio de autenticação, e entregam relatórios profissionais em menos de 10 minutos. Você não precisa esperar uma CVE se tornar pública para saber que há um problema. Para entender melhor por que esperar comunicados não basta, veja por que seu relatório de pentest pode estar mentindo para você e como priorizar o que de fato é corrigido.

Como mitigar a CVE-2026-41940

Isso não é opcional. Atualize o cPanel e WHM para a versão corrigida do seu ramo. Não há uma razão legítima para adiar isso.

/usr/local/cpanel/scripts/upcp --force

Verifique sua versão atual com:

cat /usr/local/cpanel/version

Embora não seja uma correção permanente, você pode reduzir sua superfície de ataque bloqueando o acesso público às portas administrativas do cPanel:

• TCP 2083 para a interface de usuário do cPanel
• TCP 2087 para a interface administrativa do WHM

Use seu firewall ou o CSF para permitir apenas intervalos de IP confiáveis:

csf -a YOUR_TRUSTED_IP

Se suspeitar que a exploração já ocorreu, verifique se há anomalias nos arquivos de sessão e registros de acesso:

# Check cPanel session files for suspicious entries
grep -r "user=root" /var/cpanel/sessions/

# Review WHM access logs
tail -n 1000 /usr/local/cpanel/logs/access_log | grep -i "2087"

Procure sessões com privilégios de root iniciadas por endereços IP inesperados, especialmente qualquer atividade entre o fim de fevereiro e o fim de abril.

Se o servidor pode ter ficado exposto durante essa janela, presuma que todos os sites hospedados podem ter sido comprometidos. Procure novas contas administrativas no WordPress ou em outras plataformas de CMS, arquivos .htaccess modificados, web shells em diretórios public_html e alterações não autorizadas de DNS.

Por que a injeção CRLF continua reaparecendo

A injeção CRLF não é uma classe nova de vulnerabilidade. Ela é documentada há décadas. Ainda assim, continua aparecendo em software em produção porque a sanitização de entradas frequentemente é incompleta, os desenvolvedores identificam padrões óbvios de ataque, mas deixam passar casos extremos, e o armazenamento de sessões em arquivos cria riscos adicionais em comparação ao uso de bancos de dados.

Bases de código legadas com longos históricos acumulam dívida técnica em áreas críticas para a segurança. E, sem testes automatizados executados continuamente, essas falhas persistem por meses ou anos sem detecção.

É por isso que avaliações regulares de vulnerabilidades não são um mero diferencial. Uma única CVE como essa pode desfazer anos de investimento em infraestrutura.

Principais conclusões

A CVE-2026-41940 é uma falha de desvio de autenticação com CVSS 9,8 no cPanel e WHM, que não exige credenciais para ser explorada. Cerca de 1,5 milhão de servidores podem estar vulneráveis. A exploração provavelmente começou dois meses antes da divulgação pública. Atualize agora para a versão corrigida do seu ramo, implemente restrições de rede como controle secundário e audite registros de sessão e sites hospedados em busca de sinais de comprometimento.

Antecipar-se a vulnerabilidades como a CVE-2026-41940 exige mais do que ler comunicados. Exige avaliação contínua. Pentesty.co automatiza testes de intrusão com mais de 8.000 modelos do Nuclei e entrega relatórios profissionais em PDF em minutos, não dias. Encontre suas exposições antes dos atacantes.

Dúvidas sobre varredura contínua ou qualidade dos relatórios? Solicite acesso antecipado à Pentesty.