Atualização de Segurança do cPanel: CVE-2026-41940

Em 28 de abril de 2026, a cPanel lançou uma atualização de segurança para resolver a vulnerabilidade de autenticação CVE-2026-41940, identificada na camada de gerenciamento de sessões do software.

Após a confirmação de um relatório verificável e reproduzível, a equipe disponibilizou as atualizações em aproximadamente 28 horas para todas as versões suportadas da plataforma, além de algumas versões legadas. Atualmente, mais de 98% dos servidores em todo o mundo estão executando uma versão atualizada do cPanel e WHM.

Descrição da Vulnerabilidade

A CVE-2026-41940 é uma vulnerabilidade de autenticação que afeta todas as versões do cPanel e WHM após a versão 11.40, com um score CVSS de 9.8. A vulnerabilidade permitia que uma sessão não autenticada fosse tratada como autenticada devido à ausência de uma etapa de sanitização em um dos caminhos de código durante o manuseio da autenticação básica.

Resposta e Ações Tomadas

O processo de resposta à vulnerabilidade incluiu:

• 27 de abril: Vulnerabilidade confirmada e resposta à incidência iniciada.
• 28 de abril: Publicação de artigo de suporte e abertura de canais de colaboração com parceiros.
• 28 de abril: Atualizações de código mescladas e publicadas para todas as versões suportadas.
• 29 de abril: Comunicação abrangente enviada a parceiros e clientes diretos, incluindo um script de detecção de indicadores de comprometimento.

Ferramentas de Detecção e Remediação

Foram disponibilizadas ferramentas adicionais, incluindo um script de detecção de comprometimento e ferramentas de remediação automatizada, que ajudaram a acelerar a adoção da atualização.

Atualizações para Versões Legadas

Atualizações direcionadas foram fornecidas para várias versões legadas, demonstrando o compromisso da cPanel em garantir a segurança em uma ampla gama de configurações.

Colaboração com Parceiros

A cPanel trabalhou em estreita colaboração com parceiros que participaram ativamente do processo de resposta, testando scripts e validando o comportamento das atualizações em configurações não padronizadas.

Compromissos Futuros

A cPanel está se comprometendo a se tornar uma Autoridade de Numeração CVE e a formalizar canais de comunicação para melhorar a notificação sobre vulnerabilidades críticas.

Mais informações e orientações sobre a atualização estão disponíveis no artigo de suporte em https://support.cpanel.net/hc/en-us/articles/40073787579671.