cPanel CVE-2026-41940: CVSS 9.8, 1,5 Mio. Servere [2026]

Den 28. april 2026 udsendte cPanel en nødopdatering til en kritisk sårbarhed, der allerede havde været udnyttet aktivt i næsten to måneder. CVE-2026-41940 giver uautoriserede angribere root-adgang til mere end 1,5 millioner webservere globalt uden brug af gyldige legitimationsoplysninger. CVSS-scoren er 9,8 ud af 10 mulige. Det er den mest alvorlige autentificeringsomgåelse i webhosting-infrastruktur, som sikkerhedsindustrien har set i nyere tid.

Virksomheder og hostingudbydere, der anvender cPanel og WebHost Manager (WHM), stod over for en ubehagelig sandhed: angrebet var simpelt, krævede nul specialviden og omgik endda to-faktor-autentificering. Udnyttelseskoden er nu offentliggjort. Shodan-søgninger viser fortsat mere end 1,5 millioner eksponerede systemer på internettet.

Hvad er CVE-2026-41940?

CVE-2026-41940 er en præ-autentificerings-sårbarhed i cPanel og WHM (WebHost Manager), der skyldes en CRLF-injektion (Carriage Return Line Feed) i login-processen. cPanel er verdens mest udbredte webhosting-kontrolpanel og bruges af hundredvis af millioner websteder via delte hostingmiljøer over hele verden.

Sårbarheden er klassificeret under CWE-306: Manglende autentificering for kritisk funktion. Alle cPanel/WHM-versioner efter 11.40 er sårbare, herunder WP Squared (cPanels WordPress-hostingprodukt). Det betyder i praksis, at stort set alle cPanel-installationer globalt var eksponerede, indtil nødpatchen blev udgivet den 28. april 2026.

CVE-databasen CVE.org tildelte CVE-2026-41940 officielt den 29. april 2026, dagen efter cPanels nødpatch. CVSS v3.1-scoren er 9,8, mens CVSS v4.0-scoren er 9,3. Begge klassificeres som kritiske.

Parameter	Detalje
CVE-ID	CVE-2026-41940
CVSS v3.1	9,8 (Kritisk)
CVSS v4.0	9,3 (Kritisk)
CWE	CWE-306: Manglende autentificering for kritisk funktion
Angrebsvektor	Netværk, ingen brugerinteraktion krævet
Berørte versioner	cPanel/WHM v11.40 og nyere (alle versioner)
Berørte produkter	cPanel og WHM, DNSOnly, WP Squared
Første kendte udnyttelse	23. februar 2026 (bekræftet af KnownHost)
Patch-dato	28. april 2026
Zero-day-vindue	ca. 60 dage
CISA KEV	Tilføjet april/maj 2026
Eksponerede systemer (Shodan)	~1.500.000

Teknisk dybdeanalyse: CRLF-injektion som angrebsvåben

CRLF-injektion er en angrebsklasse, der har eksisteret i årtier, men CVE-2026-41940 demonstrerer, at selv en af verdens mest udbredte hostingplatforme kan indeholde grundlæggende fejl i session-håndtering. Angrebet fungerer i tre trin og kræver ingen adgangskode, intet brugernavn og ingen særlige rettigheder.

Trin 1: CRLF-injektion via Basic Auth-header. cPanel modtager HTTP-forespørgsler med en Authorization: Basic-header. Angriberen sender en adgangskode, der indeholder rå \r\n-tegn (carriage return og line feed). Disse tegn indsættes direkte i en sessionsfil på serveren, inden autentificeringen gennemføres.

Trin 2: Manipulation af sessionsfilen. cPanel gemmer sessionsdata i to formater parallelt: en rå tekstfil og en JSON-cache. En kapløbsbetingelse (race condition) i session-writeren betyder, at angriberens injicerede data overlever og behandles som legitime sessionsattributter. Ifølge Hadrians tekniske analyse kan angriberen injicere linjerne user=root, hasroot=1, tfa_verified=1, et valgfrit cp_security_token og et gyldigt tidsstempel.

Trin 3: Root-adgang til WHM. Når cPanel-dæmonen (cpsrvd) genindlæser sessionsfilen, behandles de injicerede linjer som gyldige sessionsattributter, herunder bekræftelse af, at sessionen allerede er root-verificeret og to-faktor-autentificeret. Resultatet er komplet administrativ adgang til WHM, der styrer alle websteder, databaser og e-mailkonti på serveren.

# Konceptuelt angrebsmønster (forenklet illustration)
# Angriberen sender en manipuleret Basic Auth-header:
Authorization: Basic [base64(brugernavn:kodeord\r\nuser=root\r\nhasroot=1\r\ntfa_verified=1)]

# cPanel skriver sessionsfilen INDEN autentificering er gennemført
# Sessionsfilen læses igen med injicerede felter som legitime sessionsattributter
# Angriberen opnår fuld WHM-administratoradgang uden gyldige legitimationsoplysninger

WatchTowr og Hadrian offentliggjorde begge tekniske analyser og proof-of-concept exploit-kode kort efter patchudgivelsen. Det betyder, at enhver angriber med grundlæggende tekniske færdigheder kan reproducere angrebet mod upatchede systemer.

Tidslinje: 60 dage som nul-dag

Det mest alarmerende aspekt af CVE-2026-41940 er ikke selve sårbarheden, men vinduet mellem første udnyttelse og den offentlige patch. Den amerikanske hostingudbyder KnownHost bekræftede, at angribere aktivt udnyttede fejlen allerede fra den 23. februar 2026, mere end to måneder inden cPanel offentliggjorde patchen den 28. april 2026.

I de 60 dage, der gik fra første kendte udnyttelse til patchudgivelsen, var 1,5 millioner interneteksponerede cPanel-servere potentielt sårbare over for root-kompromittering. Det er et ekstremt langt zero-day-vindue. Selv nationale cybersikkerhedsmyndigheder som CISA og ENISA presser typisk på for patches inden for 15 til 30 dage fra offentlig kendskab.

23. februar 2026: Første bekræftede udnyttelse i fri natur (KnownHost)
28. april 2026: cPanel udgiver nødpatch og offentlig sikkerhedsadvarsel
29. april 2026: CVE-ID tildelt; cPanel tilføjer detektionsscript og handlingsanvisninger
29. april 2026: NVD offentliggør CVE-record med CVSS 9,8 og CVSS 9,3 (v4.0)
30. april 2026: Cloudflare udgiver nød-WAF-regel specifikt for CVE-2026-41940
30. april 2026: Cato Networks registrerer aktive udnyttelsesforsøg; virtuel patching aktiveres
Maj 2026: CISA tilføjer CVE-2026-41940 til KEV-kataloget (Known Exploited Vulnerabilities)
Maj 2026: WatchTowr, Rapid7 og Picus Security offentliggør tekniske analyser og PoC-kode

Det 60 dage lange nul-dag-vindue rejser alvorlige spørgsmål om cPanels interne sårbarhedsresponsproces og om hostingudbydere generelt monitorerer deres systemer tilstrækkeligt for tegn på aktiv udnyttelse.

Angrebsomfang: 1,5 millioner eksponerede cPanel-servere globalt

Rapid7 foretog en Shodan-søgning og fandt ca. 1,5 millioner interneteksponerede cPanel-instanser, der potentielt er berørt. cPanel er ikke et nicheprodukt. Platformen driver en meget stor del af verdens delte webhostinginfrastruktur og bruges af tusindvis af hostingudbydere og hundredvis af millioner domæner globalt.

Det unikke ved denne angrebsflade er multiplikatoreffekten: én kompromitteret cPanel/WHM-server giver en angriber adgang til alle websteder, databaser og e-mailkonti på den pågældende server. Delte hostingmiljøer samler typisk 200 til 2.000 websteder på en enkelt server. Med 1,5 millioner eksponerede servere taler vi teoretisk om potentielt hundredvis af millioner af berørte websteder.

Picus Security konkluderede i sin tekniske analyse: “CVE-2026-41940 er en præ-autentificeringsangreb med netværksrækkevidde, der ikke kræver brugerinteraktion eller særlige rettigheder. Kombinationen af disse faktorer placerer denne sårbarhed i den absolutte øverste kategori af kritiske trusler mod webhosting-infrastruktur.”

Rapid7 bemærkede desuden i sin rapport, at “udbredt udnyttelse i fri natur forventes at være forestående”, baseret på tilgængeligheden af proof-of-concept exploit-kode og det store antal eksponerede systemer. Med offentliggjort PoC og et angreb, der kan udføres på under et sekund, er det realistisk at forvente, at angribere har scannet og udnyttet en betydelig del af de eksponerede systemer.

Sårbarheden omgår to-faktor-autentificering

En særlig bekymrende egenskab ved CVE-2026-41940 er, at den ikke blot omgår adgangskodebeskyttelse, men også to-faktor-autentificering (2FA). Normalt betragtes 2FA som et robust sekundært sikkerhedslag, der beskytter mod credential-tyveri og phishing. I dette tilfælde er 2FA fuldstændig ineffektivt.

Angriberen injicerer feltet tfa_verified=1 direkte i sessionsfilen, som cPanel-dæmonen fortolker som bekræftelse på, at 2FA allerede er gennemført korrekt. Systemet har ingen mekanisme til at validere, om 2FA rent faktisk fandt sted. Det stoler blindt på sessionsfilens indhold.

En sikkerhedsekspert fra Eye Security skrev på LinkedIn ved offentliggørelsen: “Dette er en kritisk autentificeringsomgåelse og potentielt RCE i cPanel og WHM med en CVSS-score på 9,8. Den tillader uautoriserede angribere at opnå administrativ adgang til berørte systemer. cPanel udgav nødpatches den 28. april 2026, og proof-of-concept exploit-kode er nu offentligt tilgængeligt. Dette er alvorligt.”

Det faktum, at 2FA omgås, understreger et fundamentalt designproblem: sikkerhedskontroller, der er placeret oven på en sårbar session-håndteringsmekanisme, giver en falsk tryghedsfølelse. Angribere behøver ikke at bryde 2FA direkte. De omgår blot den mekanisme, der bekræfter, om 2FA er brugt.

Hvem er i risikozonen?

CVE-2026-41940 berører primært tre kategorier af systemer og organisationer, og konsekvenserne er meget forskelligartede afhængigt af konteksten.

Delte hostingudbydere er i direkte og akut risiko. Virksomheder, der tilbyder delt webhosting og driver WHM-administrationsportaler eksponeret mod internettet, er de primære mål. En angriber, der kompromitterer WHM, opnår kontrol over alle kunder på serveren, herunder adgang til databaser, e-mail, filsystemer og konfigurationsfiler.

Resellerhosting og webbureauer er ligeledes i høj risiko. Mange webbureauer og IT-firmaer driver cPanel-servere som resellere for at huse kundewebsteder. Disse organisationer administrerer ofte adskillige kunders websteder fra en enkelt WHM-installation. Et enkelt vellykket angreb kompromitterer dermed alle kunder i én operation.

Selvadministrerede VPS og dedikerede servere er sårbare, hvis WHM-portalen er eksponeret mod internettet. Shodan-tallene antyder, at mange organisationer ikke begrænser adgangen til WHM via IP-whitelisting eller VPN, selv om disse tiltag ville reducere angrebsfladen drastisk.

WP Squared, cPanels WordPress-specifikke hostingplatform, er desuden inkluderet i de berørte produkter og patchet i version 136.1.7. Det betyder, at managed WordPress-hostingudbydere baseret på WP Squared ligeledes var eksponerede og skulle opdatere straks.

Industriens reaktion: watchTowr, Rapid7 og Hadrian

Reaktionen fra sikkerhedsindustrien var hurtig og koordineret. Tre sikkerhedsfirmaer spillede centrale roller i at dokumentere og oplyse om CVE-2026-41940, og deres arbejde satte standarden for gennemsigtighed i sårbarhedsrespons.

WatchTowr offentliggjorde den første tekniske dybdeanalyse og en proof-of-concept exploit. WatchTowrs arbejde demonstrerede, at angrebet er reproducerbart med grundlæggende tekniske færdigheder. WatchTowr er notorisk for at offentliggøre tekniske detaljer hurtigt efter patches for at presse organisationer til at opdatere med det samme.

Rapid7 udgav sin analyse via Rapid7 Blog og kvantificerede angrebsfladen. Rapid7 konkluderede, at “en bred Shodan-søgning returnerer ca. 1,5 millioner potentielt sårbare cPanel-instanser eksponeret mod internettet, og udbredt udnyttelse i fri natur forventes at være forestående.” Rapid7 anbefalede øjeblikkelig patching som eneste acceptable handling.

Hadrian og Picus Security bidrog med detaljerede tekniske analyser, der beskriver race condition-aspektet og den præcise sessionsfil-manipulationsmekanisme. Picus Security opsummerede sårbarhedens kerne: “En angriber kan skrive angribervalgte linjer ind i en cPanel-sessionsfil inden autentificering, og efterfølgende narre serveren til at læse disse linjer som legitime sessionsattributter, herunder dem, der markerer sessionen som root med 2FA allerede bekræftet.”

Cato Networks beskyttede sine kunder via virtuel patching via IPS-systemet allerede den 30. april 2026, samme dag som Cloudflare udgav sin WAF-nødregel. Det er et eksempel på, hvordan moderne netværkssikkerhedsplatforme kan reducere eksponering selv inden organisationer selv kan patche.

CISA tilføjer CVE-2026-41940 til KEV-katalog

Det amerikanske Cybersecurity and Infrastructure Security Agency (CISA) tilføjede CVE-2026-41940 til sit Known Exploited Vulnerabilities (KEV)-katalog, som er CISAs autoritative liste over sårbarheder bekræftet udnyttet i angreb mod rigtige systemer. Tilføjelsen til KEV-kataloget medfører et bindende direktiv for alle amerikanske føderale agenturer om at patche inden for en specificeret deadline.

KEV-kataloget bruges desuden af sikkerhedsteams over hele verden som en prioriteringsliste til vulnerability management. Tilstedeværelsen af CVE-2026-41940 i kataloget signalerer til sikkerhedsprofessionelle globalt, at dette ikke er en teoretisk sårbarhed, men en der aktivt udnyttes mod produktionssystemer.

CISAs inkludering af cPanel-fejlen er bemærkelsesværdig, fordi den viser, at truslen ikke er begrænset til statslige eller kritiske infrastruktursystemer. Webhosting er fundamental infrastruktur for millioner af organisationer, herunder mange offentlige institutioner, og kompromittering af en hostingplatform kan have kaskadevirkninger på tværs af mange sektorer.

Cloudflare WAF-nødopdatering og virtuel patching

Cloudflare udgav en nød-WAF-regel for CVE-2026-41940 den 30. april 2026, to dage efter cPanels patch. Cloudflares WAF-løsning fungerer som et virtuelt lag, der blokerer CRLF-injektionsforsøg i Basic Auth-headere, inden de når cPanel-installationen.

Virtuel patching er en afgørende sikkerhedsmekanisme i situationer, hvor organisationer ikke kan patche straks. Store virksomheder med komplekse hostingmiljøer, kritiske applikationer eller aftalte vedligeholdelsesvinduet kan ikke altid opgradere cPanel øjeblikkeligt uden risiko for nedetid. WAF-regler og IPS-signaturer giver reel beskyttelse, mens den egentlige patch planlægges og valideres.

Cato Networks bekræftede, at de registrerede aktive udnyttelsesforsøg den 30. april 2026 og aktiverede IPS-baseret virtuel patching for alle kunder med det samme. Det illustrerer, at moderne SASE- og SSE-platforme kan levere zero-day-beskyttelse mod kendte angrebsmønstre, selv inden patches er tilgængelige fra leverandøren.

Nordisk og europæisk eksponering

cPanel er udbredt i hele Europa og Norden. Hostingudbydere i Danmark, Sverige, Norge og Finland bruger cPanel som primær hostingplatform, og mange SMV’er, webbureauer og uddannelsesinstitutioner driver egne cPanel-servere. Shodan-søgninger afslører eksponerede WHM-installationer i nordiske netblokke, selv om præcise tal for Norden ikke er offentliggjort af nogen af de sikkerhedsfirmaer, der analyserede CVE-2026-41940.

Under NIS2-direktivet, implementeret i dansk lovgivning, har organisationer inden for kritiske sektorer pligt til at håndtere kendte sårbarheder proaktivt. NIS2 pålægger 6.000 danske virksomheder at implementere passende tekniske foranstaltninger mod kendte sårbarheder. Manglende patching af en CVSS 9,8-sårbarhed tilføjet til CISA’s KEV-katalog udgør i mange tilfælde en direkte overtrædelse af NIS2-kravene om sårbarhedshåndtering, og bøder på op til €10 millioner kan pålægges ved manglende compliance.

ENISA (EU’s cybersikkerhedsagentur) sender regelmæssige advarsler om kritiske sårbarheder til nationale myndigheder i EU-landene via CERT-EU-koordineringsstrukturen. CVE-2026-41940 er af den kaliber, der typisk triageres på det højeste niveau og videregives til sektorspecifikke CERT-enheder i de nordiske lande, herunder DKCERT i Danmark, NCSC-NO i Norge og CERT-SE i Sverige.

Et særlig bekymrende scenario i nordisk kontekst er kommunale og regionale webstedsinfrastrukturer. Mange danske kommuner og regioner har websteder hostet hos udbydere, der anvender cPanel. Hvis hostingudbyderen ikke patchede hurtigt, kan borgernes data og offentlige tjenester have været eksponerede i det 60 dage lange zero-day-vindue.

Historisk kontekst: cPanels sikkerhedshistorie og hosting supply chain

CVE-2026-41940 er ikke den første alvorlige sårbarhed i cPanel. Platformen, der blev grundlagt i 1996, har en blandet sikkerhedshistorie, der afspejler udfordringerne ved at vedligeholde en kompleks platform brugt af millioner af servere med meget forskelligartede konfigurationer og versioner.

Platformen er attraktiv for angribere netop fordi en enkelt sårbarhed i cPanel-kernen har ekstrem multiplikatoreffekt. En exploit rammer potentielt hundredvis af millioner af websteder på tværs af tusindvis af hostingudbydere globalt. Det er et klassisk eksempel på en hosting supply chain-sårbarhed: én komponent i hostinginfrastrukturen kompromitterer effektivt hele kæden ned til slutbrugerne.

Sammenlignet med andre kritiske sårbarheder i enterprise-infrastruktur i 2025 og 2026 skiller CVE-2026-41940 sig ud ved tre faktorer: det ekstremt lange zero-day-vindue, det faktum at 2FA er fuldstændig ineffektivt, og den enorme angrebsflade på 1,5 millioner eksponerede systemer. Oracle WebLogic CVE-2026-21962 (CVSS 10.0) og Check Point VPN CVE-2026-50751 (CVSS 9.3) var begge alvorlige, men ingen af dem eksponerede et tilsvarende antal systemer i et 60 dages zero-day-vindue.

CVE	Produkt	CVSS	Eksponerede systemer	Zero-day-vindue	2FA omgået
CVE-2026-41940	cPanel/WHM	9,8	~1.500.000	~60 dage	Ja
CVE-2026-21962	Oracle WebLogic	10,0	140.000+ angreb	Nej	Nej
CVE-2026-50751	Check Point VPN	9,3	Ukendt	Nej	Nej
CVE-2026-0257	Palo Alto GlobalProtect	7,8	Ukendt	Ja	Nej

Patch og afhjælpning: Hvad du skal gøre nu

cPanel har udgivet patches for alle understøttede versionsgrene. Hvis din organisation driver cPanel/WHM, er øjeblikkelig opdatering den eneste acceptable handling. Der eksisterer ingen workaround. Platformen skal patches.

De patchede versioner inkluderer: cPanel og WHM 11.86.0.41, 11.110.0.97, 11.118.0.63, 11.126.0.54, 11.132.0.29, 11.134.0.20 og 11.136.0.5 samt nyere. WP Squared er patchet i version 136.1.7 og nyere.

Ud over patching anbefaler sikkerhedseksperter og cPanel selv at:

Gennemgå sessionsfiler i cPanel’s sessionsmappe for tegn på CRLF-injektion ved hjælp af cPanels officielle detektionsscript (udgivet 29. april 2026)
Rotere alle administrative legitimationsoplysninger til WHM og alle konti på berørte servere
Begrænse WHM-adgang via IP-whitelisting eller VPN og aldrig eksponere WHM direkte mod det åbne internet
Aktivere Cloudflares WAF-regel for CVE-2026-41940 hvis Cloudflare bruges som proxy
Gennemgå adgangslogfiler for usædvanlige sessioner og aktivitet fra ukendte IP-adresser i perioden 23. februar til 28. april 2026
Kontakte hostingudbyderen for bekræftelse af, at de patchede inden for acceptable tidsrammer

Organisationer, der mistænker kompromittering, bør overveje at inddrage et professionelt incident response-firma. Et vellykket angreb via CVE-2026-41940 giver angribere root-adgang, hvilket typisk resulterer i etablering af persistens via bagdøre, webshells eller skjulte admin-konti. Disse er svære at opdage efter patching og kan potentielt forblive aktive i måneder.

Relateret dækning

Læs mere om kritiske sårbarheder og cybersikkerhed

Fem prognoser: Hvad sker der nu med cPanel-sikkerheden?

Baseret på de tekniske detaljer, angrebsomfanget og den historiske kontekst er der fem konkrete prognoser for den kommende periode:

Prognose 1: Ransomware-aktører udnytter aktivt upatchede systemer. PoC-koden er offentlig og angrebet er trivielt at reproducere. Ransomware-grupper, der typisk scanner massivt for kendte sårbarheder, har med stor sandsynlighed allerede inkorporeret CVE-2026-41940 i deres angrebsplaybooks. Hostingudbydere, der endnu ikke har patchet, risikerer massekompromittering og potentielle løsesumskrav mod deres kunder.

Prognose 2: Regulatorisk pres under NIS2 tvinger hostingudbydere til at dokumentere patchprocesser. Under NIS2 og tilsvarende europæisk regulering vil tilsynsmyndigheder undersøge, om hostingudbydere patchede inden for rimelig tid. Organisationer, der kan dokumentere et patchvindue på under 72 timer fra offentlig disclosure, vil stå stærkest juridisk.

Prognose 3: cPanel indfører sandboxed session-håndtering som strukturel ændring. Den grundlæggende fejl, at sessionsfiler skrives og læses med utilstrækkelig sanitering, er en arkitektonisk svaghed. cPanel vil sandsynligvis indføre mere robuste session-håndteringsmekanismer, der isolerer brugerinput fra session-state, som en del af en bredere sikkerhedsgennemgang.

Prognose 4: Opdagelse af kompromitterede systemer vil tage måneder. Med et 60 dages zero-day-vindue er det muligt, at mange systemer allerede er kompromitteret på måder, der ikke er umiddelbart synlige. Avancerede angribere etablerer persistens via bagdøre og webshells, som kan forblive aktive i lang tid efter patching, medmindre organisationer foretager en grundig incident response-undersøgelse.

Prognose 5: Cloud-native hosting accelererer på bekostning af traditionelle cPanel-installationer. Hændelser som CVE-2026-41940 accelererer konsolideringen mod managed cloud-hosting, hvor kunden ikke selv administrerer hostinginfrastrukturen. Traditionel shared hosting baseret på cPanel/WHM med interneteksponeret kontrolpanel er strukturelt sårbar over for denne type angreb, og mange organisationer vil overveje migrering til cloud-native alternativer.

FAQ: CVE-2026-41940 og cPanel-sikkerheden

Er mit websted berørt, selv om jeg ikke selv administrerer serveren?

Potentielt ja. Hvis dit websted hostes på en delt hostingserver, der kører cPanel, og din hostingudbyder ikke patchede CVE-2026-41940 hurtigt, kan angribere have kompromitteret hele serveren, herunder dine filer, din database og din e-mail. Kontakt din hostingudbyder for at bekræfte, at de patchede inden for acceptable tidsrammer.

Hjælper to-faktor-autentificering ikke mod dette angreb?

Nej. CVE-2026-41940 omgår specifikt 2FA ved at injicere feltet tfa_verified=1 i sessionsfilen. 2FA bekræftes aldrig rent faktisk. Systemet narres til at tro, det er sket. Det er en fundamental begrænsning ved 2FA-implementationer, der er baseret på session-state frem for kryptografisk verifikation.

Hvad er det korteste tidspunkt, det tager at udnytte sårbarheden?

Angrebet kræver et enkelt HTTP-kald med en manipuleret Authorization-header. Det kan udføres på under et sekund med den offentliggjorte PoC-kode. Ingen forberedelse, ingen brugerinteraktion og intet særligt udstyr er nødvendigt.

Hvad skal jeg gøre, hvis jeg mistænker, at mit system er kompromitteret?

Patch cPanel straks til en patchet version. Kør cPanels officielle detektionsscript (udgivet 29. april 2026) for at søge efter kompromitterede sessioner. Roter alle administrative adgangskoder og API-nøgler. Gennemgå adgangslogfiler for aktivitet fra ukendte IP-adresser i perioden 23. februar til 28. april 2026. Overvej at inddrage et professionelt incident response-firma ved mistanke om kompromittering.

Gælder sårbarheden kun for WHM, eller også for det normale cPanel-brugerpanel?

Den primære angrebsvektor er rettet mod WHM (WebHost Manager), som er administratorpanelet med root-adgang til serveren. Det normale cPanel-brugerpanel (port 2082/2083) anvender lignende session-håndtering og kan potentielt også være berørt, men WHM-kompromittering er langt mere alvorlig i konsekvenser, da det giver fuld serverkontrol.

Er Linux VPS-servere uden cPanel/WHM berørt?

Nej. CVE-2026-41940 er specifik for cPanel-softwaren. Servere, der kører alternative kontrolpaneler (Plesk, DirectAdmin, ISPConfig) eller ingen kontrolpanel, er ikke berørt af denne sårbarhed.

Hvornår bør jeg kontakte min hostingudbyder?

Straks. Bed specifikt om bekræftelse af, at cPanel/WHM er opdateret til en patchet version, og at de har gennemgået logfiler for tegn på kompromittering i perioden 23. februar til 28. april 2026. En professionel hostingudbyder bør kunne levere denne dokumentation inden for 24 timer.

Læs mere om cybersikkerhed og sårbarhedshåndtering på shattered.io. Se også vores analyse af Asocks-botnettet, der ramte 17 millioner enheder i 163 lande, og Palo Alto GlobalProtect-autentificeringsomgåelsen CVE-2026-0257, der deler tekniske træk med CVE-2026-41940.