Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-306

CVE-2026-41940

cPanel ve WHM giriş akışında kimlik doğrulama atlatma açığı

WebPros cPanelWebPros WHMWebPros WP Squared

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
26 Eki 2026
Açık yaşı
181 gün
Kaydı açan
VulnCheck
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 30 Nis 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2026. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Bu açık, saldırganların şifre bilmeden hosting yönetim paneline girmesine olanak tanıyor ve şu anda gerçek saldırılarda kullanılıyor. Web siteleri, müşteri verileri ve e-posta hizmetleri ele geçirilebilir. Güncelleme acilen uygulanmalıdır.

ÖzetTürkçe

cPanel ve WHM'nin giriş akışında, kimliği doğrulanmamış uzak saldırganların kontrol paneline yetkisiz erişim kazanmasına izin veren bir kimlik doğrulama atlatma açığı bulunuyor. Açık (CWE-306), 11.40 sonrasındaki birçok sürüm dalını etkiliyor. Etkilenen ürünler WebPros cPanel, WHM ve 11.136.1.7 öncesindeki WP Squared sürümleridir. Açık CISA'nın bilinen istismar edilen açıklar (KEV) listesine eklenmiştir ve aktif olarak istismar edilmektedir.

Saldırgan ne yapabilir?

Kimlik bilgisi gerekmeden uzaktan saldırgan kontrol paneline yetkisiz erişim sağlayabilir. Bu erişimle barındırılan sitelerin ve hesapların gizliliği, bütünlüğü ve erişilebilirliği tamamen tehlikeye girebilir.

Kaynaktaki açıklama (İngilizce)

cPanel and WHM versions after 11.40 contain an authentication bypass vulnerability in the login flow that allows unauthenticated remote attackers to gain unauthorized access to the control panel.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. cPanel/WHM'i kendi sürüm dalınız için yayımlanan düzeltilmiş sürüme güncelleyin: 11.86.0.41, 11.94.0.28, 11.102.0.39, 11.110.0.97, 11.118.0.63, 11.124.0.35, 11.126.0.54, 11.130.0.19, 11.132.0.29, 11.134.0.20 veya 11.136.0.5. Üretici
  2. WP Squared kullanıyorsanız sürüm 11.136.1.7 veya daha yenisine yükseltin. Üretici
  3. CISA gereği: üretici talimatlarına göre azaltım önlemlerini uygulayın; bulut hizmetleri için BOD 22-01 yönergelerini izleyin; azaltım önlemleri mümkün değilse ürünün kullanımını durdurun. CISA
  4. Güncelleme yapılana kadar yönetim paneli portlarına erişimi güvenlik duvarıyla yalnızca güvenilir IP adresleriyle sınırlandırın. Genel öneri

Ek önlemler

  • Güncellemeden önceki dönemde panel girişlerini, yeni oluşturulan hesapları ve yapılandırma değişikliklerini inceleyerek olası ele geçirilme izlerini arayın. Genel öneri
  • Sunucunun ele geçirildiğinden şüpheleniyorsanız panel, hosting hesabı, API ve SSH parolalarını ile anahtarlarını yenileyin. Genel öneri
  • cPanel/WHM'e erişimi VPN veya IP izin listesiyle sınırlandırın ve otomatik güncellemeleri etkin tutun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler3 yazılım

YazılımEtkilenenDüzeltildiği sürüm
WebPros cPanel ≥ 11.40.0.0, < 11.86.0.41 11.86.0.41
≥ 11.88.0.0, < 11.94.0.28 11.94.0.28
≥ 11.96.0.0, < 11.102.0.39 11.102.0.39
≥ 11.104.0.0, < 11.110.0.97 11.110.0.97
≥ 11.112.0.0, < 11.118.0.63 11.118.0.63
≥ 11.120.0.0, < 11.124.0.35 11.124.0.35
≥ 11.126.0.0, < 11.126.0.54 11.126.0.54
≥ 11.128.0.0, < 11.130.0.19 11.130.0.19
≥ 11.132.0.0, < 11.132.0.29 11.132.0.29
≥ 11.134.0.0, < 11.134.0.20 11.134.0.20
≥ 11.136.0.0, < 11.136.0.5 11.136.0.5
WebPros WHM ≥ 11.40.0.0, < 11.86.0.41 11.86.0.41

ve 11 satır daha

Kaynaklar12 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.