Il 28 aprile cPanel ha pubblicato una correzione d’emergenza per la CVE-2026-41940, una vulnerabilità con gravità 9,8 in cPanel e WHM, il pannello con cui moltissimi provider gestiscono server di hosting, siti, email e database. Secondo l’azienda sono coinvolte tutte le versioni successive alla 11.40, cioè, in pratica, qualsiasi installazione di cPanel aggiornata almeno una volta negli ultimi dieci anni.
Il meccanismo è di una semplicità imbarazzante. Inserendo caratteri di a capo in un’intestazione di autenticazione costruita ad arte, un attaccante riesce a scrivere parametri a sua scelta nel file di sessione del servizio. Quando il file viene ricaricato, il server lo considera autenticato. Il risultato è l’accesso amministrativo senza credenziali, con il controllo di tutti i siti e gli account ospitati.
Due mesi di vantaggio
Un provider di hosting ha segnalato che la falla era sfruttata almeno da fine febbraio, quindi per circa due mesi prima della correzione. Quanti server siano stati violati, non è noto. Ma la conseguenza è chiara: molti server esposti in quelle settimane potrebbero essere compromessi anche se oggi risultano aggiornati.
Le versioni corrette sono la 11.110.0.97, la 11.118.0.63, la 11.126.0.54 e la 11.132.0.29, o successive nei rispettivi rami; per gli altri rami supportati valgono le build indicate nell’avviso. La maggior parte dei server si aggiorna da sola, ma solo se gli aggiornamenti automatici sono attivi.
Se il tuo sito vive su un hosting condiviso o su un server gestito con cPanel, chi ottiene WHM può modificare i file, copiare i database, creare caselle email o inserire codice malevolo nelle pagine. Anche se non gestisci direttamente il server, ti conviene sapere se il tuo provider ha reagito.
Se i server li gestisci tu, verifica la versione con /usr/local/cpanel/cpanel -V e forza l’aggiornamento con /scripts/upcp --force. Poi limita le porte di WHM e cPanel, la 2083 e la 2087, agli indirizzi fidati.
Siccome la patch non cancella un’intrusione già avvenuta, controlla accessi amministrativi recenti, account e chiavi SSH creati senza motivo, attività pianificate e file modificati da febbraio in poi. Se il server era esposto, cambia le password di root, di WHM, degli account ospitati e dei database.
Se invece il sito è ospitato da altri, scrivi oggi al provider e chiedigli due cose: se ha aggiornato, e se ha verificato.
