وقتی سازوکار احراز هویت خودش به نقطه ضعف تبدیل میشود
در روزهای گذشته انتشار خبر یک آسیبپذیری بسیار خطرناک در cPanel و WHM، توجه فعالان حوزه امنیت و مدیران سرورها را به خود جلب کرده است. اهمیت این موضوع تنها به دلیل شدت آسیبپذیری نیست، بلکه به خاطر نوع عملکرد آن است؛ نقصی که میتواند فرآیند احراز هویت را عملاً بیاثر کند.
احراز هویت معمولاً نخستین سد دفاعی هر سامانه محسوب میشود، اما در این مورد مهاجم میتواند بدون داشتن نام کاربری یا رمز عبور معتبر، از این لایه عبور کند و به بخش مدیریتی دسترسی پیدا کند.
ماهیت این نقص امنیتی
طبق اطلاعات منتشرشده، مشکل از نحوه پردازش درخواستهای ورود در cPanel و WHM ناشی میشود. در شرایط خاص، امکان دستکاری درخواستها وجود دارد؛ بهگونهای که سیستم درخواستهای جعلی را معتبر تشخیص میدهد.
در چنین وضعیتی، مهاجم قادر است بدون دسترسی به credentials واقعی، وارد محیط مدیریتی شود. این یعنی مکانیزم لاگین که باید نقش محافظ اصلی را ایفا کند، عملاً دور زده میشود.
گستره تأثیرگذاری
کنترلپنل cPanel یکی از پرکاربردترین ابزارهای مدیریت هاستینگ در جهان است و روی تعداد زیادی از سرورها و زیرساختهای میزبانی مورد استفاده قرار میگیرد؛ از سرورهای کوچک شخصی گرفته تا محیطهای سازمانی و تجاری.
به همین دلیل، وجود چنین ضعفی میتواند سرویسهای زیادی را در معرض خطر قرار دهد، از جمله:
- وبسایتها و سرویسهای آنلاین
- پایگاههای داده
- سرویسهای ایمیل
- دسترسی مدیریتی کامل از طریق WHM
در سناریوهای جدی، این آسیبپذیری حتی میتواند به تصاحب کامل سرور منجر شود.
چرا این آسیبپذیری بحرانی محسوب میشود؟
در ارزیابی آسیبپذیریهای امنیتی، معمولاً سه عامل اهمیت زیادی دارند:
- شدت آسیبپذیری
- میزان سادگی بهرهبرداری
- وسعت تأثیر
این مورد هر سه معیار را در بالاترین سطح قرار میدهد:
- دسترسی سطح بالا پس از نفوذ
- امکان سوءاستفاده بدون نیاز به اطلاعات ورود
- استفاده گسترده cPanel در اینترنت
ترکیب این عوامل باعث شده این نقص در دسته آسیبپذیریهای «بحرانی واقعی» قرار بگیرد؛ نه صرفاً یک تهدید تئوریک.
واکنش شرکتها و مدیران زیرساخت
اهمیت موضوع باعث شد برخی ارائهدهندگان خدمات میزبانی، حتی پیش از انتشار نسخه اصلاحی، دسترسی به پورتهای مدیریتی cPanel و WHM مانند 2083 و 2087 را محدود کنند.
این نوع اقدامات معمولاً زمانی انجام میشود که:
- احتمال بهرهبرداری واقعی بالا باشد
- یا انتشار اکسپلویت عمومی در کوتاهمدت پیشبینی شود
هشدار امنیتی — آسیبپذیری بحرانی در cPanel / WHM
محصول آسیبپذیر: cPanel / WHM
شناسه آسیبپذیری: CVE-2026-41940
درجه خطر: 9.8 — بحرانی
نوع حمله: دور زدن احراز هویت بدون نیاز به لاگین
وضعیت فعلی: بهرهبرداری فعال در سطح اینترنت (0-Day)
جزئیات فنی
این آسیبپذیری به دلیل ضعف در مدیریت CRLF Injection طی فرآیند ورود و مدیریت session ایجاد شده است.
سرویس آسیبپذیر
cpsrvd
سناریوی حمله
مهاجم با ارسال هدر Authorization دستکاریشده و تزریق کاراکترهای \r\n در درخواست، میتواند session مخربی ایجاد کند که پیش از تکمیل احراز هویت روی دیسک ذخیره میشود.
در ادامه، مقادیری مانند:
user=rootدر session تزریق شده و پس از بارگذاری مجدد session، مهاجم بدون ورود واقعی به دسترسی مدیریتی میرسد.
پیامدهای احتمالی
در صورت موفقیت حمله، مهاجم میتواند:
- دسترسی کامل root به سرور بگیرد
- تمام اکانتهای هاست را کنترل کند
- فایلها و دیتابیسها را تغییر دهد
- بکدور ایجاد کند
- اطلاعات حساس را سرقت کند
- از سرور برای نفوذ به سایر سیستمها استفاده کند
نسخههای آسیبپذیر
تقریباً تمام نسخههای cPanel/WHM که هنوز patch امنیتی دریافت نکردهاند، در معرض خطر قرار دارند.
نسخههای ایمن
- 11.86.0.41+
- 11.110.0.97+
- 11.118.0.63+
- 11.126.0.54+
- 11.130.0.19+
- 11.132.0.29+
- 11.134.0.20+
- 11.136.0.5+
اقدامات فوری پیشنهادی
بهروزرسانی فوری:
/scripts/upcp --force
rebootبررسی نسخه نصبشده:
/usr/local/cpanel/cpanel -Vراهکار موقت در صورت عدم امکان آپدیت
مسدودسازی پورتهای مدیریتی:
iptables -A INPUT -p tcp -m multiport --dports 2083,2087,2095,2096 -j DROPیا توقف سرویس cPanel:
service cpanel stopنشانههای احتمالی نفوذ (IoC)
در لاگها موارد زیر بررسی شوند:
- وجود همزمان
token_deniedوcp_security_token - session دارای
tfa_verifiedبدون origin معتبر - sessionهایی که قبل از لاگین ایجاد شدهاند اما سطح دسترسی دارند
- وجود
\nیا\r\nدر password - کوکیهای مشکوک
whostmgrsession
مسیر لاگها
/usr/local/cpanel/logs/access_log
/usr/local/cpanel/logs/error_log
/usr/local/cpanel/logs/login_logوضعیت تهدید
گزارشها نشان میدهد این آسیبپذیری حداقل حدود یک ماه در حال exploitation بوده و اسکن گسترده سرورهای اینترنتی برای یافتن پورتهای باز مرتبط با cPanel انجام میشود.
تمرکز مهاجمان عمدتاً روی سرورهای public با دسترسی مستقیم به WHM و cPanel است.
پیشنهادهای سختسازی امنیتی
- محدود کردن دسترسی WHM به IPهای مشخص
- فعالسازی احراز هویت دومرحلهای برای مدیران
- غیرفعالکردن لاگین مستقیم root
- محدود کردن دسترسی مدیریتی از طریق VPN
- مانیتورینگ مداوم مسیر:
/var/cpanel/sessions/جمعبندی
این رخداد بار دیگر نشان میدهد که حتی حیاتیترین لایههای امنیتی نیز در صورت پیادهسازی نادرست میتوانند به نقطه ضعف تبدیل شوند.
در دنیای واقعی، امنیت فقط به داشتن مکانیزم احراز هویت وابسته نیست؛ بلکه کیفیت پیادهسازی، بهروزرسانی مستمر، مانیتورینگ دقیق و اعمال سیاستهای دسترسی محدود، نقش تعیینکنندهای در حفظ امنیت زیرساخت دارند.
