В cPanel нашли дыру, позволяющую войти в админку миллионов сайтов без пароля

Злоумышленники активно эксплуатируют критическую уязвимость CVE-2026-41940 в cPanel и WebHost Manager (WHM) — серверном ПО для управления веб-хостингом, которым пользуются десятки миллионов владельцев сайтов по всему миру. Ошибка позволяет удалённо обойти экран авторизации и получить полный доступ к панели администрирования, а вместе с ней — ко всем сайтам, почте, базам данных и конфигурациям на сервере. Крупные хостинг-провайдеры уже установили обновления.

10 флагманских процессоров Intel за 10 лет

Лучший процессор под DDR4 в 2026 году: AM4 против LGA 1700

Снято в Голливуде? Почему Стэнли Кубрик физически не смог бы подделать лунную походку

Сравнительный тест камер флагманских смартфонов (2026): итоги

Топ-10 смартфонов до 10 тысяч рублей (2026 год)

Обзор смартфона Samsung Galaxy Z Flip8: исчезающий вид?

Выбираем лучшие игровые ноутбуки на российском рынке (вторая половина 2026 года)

Компьютер месяца, спецвыпуск: во что дефицит чипов памяти превратил бюджетные игровые ПК и при чем здесь Steam Machine

Источник изображения: Wesley Tingey / unsplash.com

Уязвимость затрагивает все поддерживаемые версии cPanel и WHM. Оба пакета обеспечивают глубокий доступ к серверам: управляют размещёнными сайтами, электронной почтой и критически важными настройками доменов. Компрометация такого ПО даёт атакующему потенциально неограниченный доступ ко всем обрабатываемым данным. Разработчик cPanel призвал клиентов самостоятельно убедиться в установке обновлений, даже если их хостинг-провайдер уже применил исправления.

Канадский центр кибербезопасности (Canadian Centre for Cyber Security) предупредил в бюллетене, что уязвимость позволяет скомпрометировать сайты на серверах общего хостинга, в том числе у крупных провайдеров. Ведомство заявило, что «эксплуатация весьма вероятна», и потребовало от клиентов cPanel и их хостинг-провайдеров незамедлительных действий для предотвращения несанкционированного доступа.

Хостинг-провайдер Namecheap сообщил, что заблокировал доступ к панелям cPanel сразу после того, как узнал об уязвимости, — мера позволила предотвратить эксплуатацию и выиграть время на установку обновлений. HostGator также установил обновления и охарактеризовал проблему как «критическую уязвимость обхода аутентификации».

Один из хостинг-провайдеров обнаружил, что злоумышленники использовали уязвимость за несколько месяцев до её публичного раскрытия. Генеральный директор KnownHost Дэниел Пирсон (Daniel Pearson) написал на Reddit, что компания зафиксировала попытки эксплуатации ещё 23 февраля. KnownHost тоже ненадолго заблокировал доступ к клиентским системам перед установкой обновлений.

По словам Пирсона, примерно 30 серверов в сети компании сигнализировали о попытках несанкционированного доступа. Пирсон подчеркнул, что речь идёт именно о попытках, а признаков успешного взлома обнаружено не было. Разработчик cPanel также выпустил обновление безопасности для WP Squared — аналогичного инструмента для управления сайтами на WordPress.