{"id":314,"date":"2026-06-20T10:00:00","date_gmt":"2026-06-20T10:00:00","guid":{"rendered":"https:\/\/shattered.io\/it\/?p=314"},"modified":"2026-06-29T23:46:43","modified_gmt":"2026-06-29T23:46:43","slug":"cve-2026-41940-cpanel-authentication-bypass-2026","status":"publish","type":"post","link":"https:\/\/shattered.io\/it\/cve-2026-41940-cpanel-authentication-bypass-2026\/","title":{"rendered":"CVE-2026-41940: cPanel Espone 1,5 Milioni di Server per 64 Giorni [2026]"},"content":{"rendered":"\n

Una vulnerabilit\u00e0 critica di authentication bypass nel software di hosting pi\u00f9 diffuso al mondo tiene sotto scacco oltre 1,5 milioni di server<\/strong>. CVE-2026-41940 ha permesso ad attaccanti sconosciuti di ottenere accesso root completo a sistemi cPanel e WHM senza inserire una password valida, operando indisturbati per 64 giorni<\/strong> prima che una patch fosse resa disponibile. Il 22 giugno 2026, migliaia di server esposti risultano ancora vulnerabili.<\/p>\n\n\n\n

Il Quadro: 1,5 Milioni di Server Esposti su Internet<\/h2>\n\n\n\n

cPanel e WebHost Manager (WHM) sono il sistema di gestione hosting pi\u00f9 installato al mondo. Secondo l’analisi Shodan citata da Rapid7<\/strong>, alla data di scoperta della vulnerabilit\u00e0 erano presenti su internet circa 1,5 milioni di istanze cPanel raggiungibili pubblicamente<\/strong>. Ogni singola di queste istanze rappresentava un bersaglio potenzialmente sfruttabile da remoto, senza credenziali, in pochi millisecondi.<\/p>\n\n\n\n

CVE-2026-41940 \u00e8 classificata con CVSS 9.8<\/strong> dalle analisi dei vendor e partner di sicurezza (Rapid7, Hadrian, Arctic Wolf, Picus Security), mentre il National Vulnerability Database assegna un punteggio CVSS v4.0 di 9.3<\/strong> con vettore CVSS:4.0\/AV:N\/AC:L\/AT:N\/PR:N\/UI:N\/VC:H\/VI:H\/VA:H\/SC:N\/SI:N\/SA:N<\/code>. In entrambi i casi il giudizio \u00e8 univoco: critica, sfruttabile da remoto, senza autenticazione, senza interazione utente<\/strong>.<\/p>\n\n\n\n

L’impatto interessa tutte le versioni di cPanel e WHM successive alla 11.40<\/strong>, una gamma che copre praticamente ogni installazione attiva degli ultimi anni. Il software \u00e8 usato da provider di hosting in oltre 70 paesi, inclusi i principali player del mercato italiano e da decine di migliaia di hosting provider indipendenti in tutta Europa.<\/p>\n\n\n\n

La Tecnica: CRLF Injection nel Gestore di Sessioni<\/h2>\n\n\n\n

La vulnerabilit\u00e0 risiede in un difetto fondamentale nel modo in cui cPanel scrive e legge i file di sessione durante il processo di autenticazione. Si tratta di una CRLF injection<\/strong>, ovvero l’inserimento di sequenze di ritorno a capo (\\r\\n<\/code>) in valori che vengono salvati su disco prima che l’autenticazione sia completata.<\/p>\n\n\n\n

Il team di watchTowr Labs<\/strong>, i cui risultati tecnici sono stati citati da CrowdSec nell’analisi della vulnerabilit\u00e0, ha identificato la causa radice in un problema nella gestione delle sessioni in Session.pm<\/code>, il modulo Perl che gestisce il ciclo di vita delle sessioni in cPanel. Nello specifico si tratta di un difetto write-then-filter<\/em>: il filtraggio dei dati avviene dopo<\/em> che il file di sessione \u00e8 stato scritto su disco, rendendo l’injection persistente abbastanza a lungo da essere letta e applicata al successivo caricamento della sessione.<\/p>\n\n\n\n

Gli analisti di Hadrian<\/strong> hanno documentato il contenuto specifico dei campi iniettati nel loro report tecnico pubblico. L’attaccante inserisce nella sessione voci come user=root<\/code>, hasroot=1<\/code>, tfa_verified=1<\/code>, un cp_security_token<\/code> arbitrario e un timestamp di autenticazione valido. Quando il daemon cpsrvd<\/code> rilegge il file di sessione, tratta questi campi come stato di sessione autentico, producendo una sessione root pienamente autenticata senza che sia mai stata verificata una password o un secondo fattore.<\/p>\n\n\n\n

Il team di Picus Security<\/strong> ha sottolineato nella propria analisi come lo sfruttamento attivo in natura precedesse la patch di circa due mesi<\/strong>, classificando l’incidente tra i casi pi\u00f9 gravi di zero-day su software di infrastruttura del 2026. Rapid7<\/strong> ha descritto il difetto nelle note tecniche come “un problema nel caricamento e salvataggio delle sessioni”, una formulazione volutamente riduttiva rispetto alla gravit\u00e0 reale: accesso root non autenticato su un server di hosting completo significa pieno controllo su tutti i siti, database, email e credenziali ospitati.<\/p>\n\n\n\n

La Catena di Exploit: Da Zero a Root in Millisecondi<\/h2>\n\n\n\n

L’attacco non richiede strumenti sofisticati. Un singolo script HTTP \u00e8 sufficiente per sfruttarlo. Il flusso tipico documentato dai ricercatori procede in quattro fasi rapide:<\/p>\n\n\n\n

    \n
  1. Identificazione del target<\/strong>: l’attaccante individua un pannello cPanel esposto sulla porta 2082 o 2083, oppure WHM sulla porta 2086 o 2087, tramite scansione di massa su Shodan o strumenti analoghi.<\/li>\n
  2. Richiesta pre-autenticazione malformata<\/strong>: viene inviata una richiesta HTTP contenente sequenze CRLF (\\r\\n<\/code>) in un campo gestito durante la fase di login, tipicamente nell’header Authorization<\/code> o nel cookie di sessione iniziale.<\/li>\n
  3. Scrittura del file di sessione compromesso<\/strong>: cPanel scrive su disco un file di sessione contenente i campi iniettati. La mancata sanitizzazione preventiva consente la persistenza dei dati malevoli.<\/li>\n
  4. Accesso root autenticato<\/strong>: l’attaccante presenta il token di sessione corrotto nella richiesta successiva. cpsrvd<\/code> lo riconosce come sessione root valida e garantisce accesso completo al pannello di controllo.<\/li>\n<\/ol>\n\n\n\n

    La gravit\u00e0 di questo scenario \u00e8 amplificata dall’assenza totale di prerequisiti per l’attaccante: non \u00e8 necessario conoscere nomi utente, password, codici 2FA o avere accesso fisico o di rete privilegiato. Chiunque possa raggiungere la porta cPanel su internet pu\u00f2 diventare amministratore root del server.<\/p>\n\n\n\n

    # Struttura del file di sessione cPanel compromesso via CRLF injection\n# (documentato da Hadrian Security Research)\nsession_token=legitimate_token_here\nuser=root          # campo iniettato tramite \\r\\n\nhasroot=1          # bypass del controllo admin\ntfa_verified=1     # bypass dell'autenticazione a due fattori\ncp_security_token=attacker_controlled_token\nsuccessful_internal_auth_with_timestamp=1740000000\n\n# Verifica versione cPanel installata\n\/usr\/local\/cpanel\/cpanel -V\n\n# Aggiornamento d'emergenza\n\/usr\/local\/cpanel\/scripts\/upcp --force<\/code><\/pre>\n\n\n\n
    64 Giorni di Zero-Day: La Cronologia dell’Esposizione<\/h2>\n\n\n\n
    La cronologia dell’incidente rivela una finestra di esposizione eccezionalmente lunga per una vulnerabilit\u00e0 di questa gravit\u00e0. Il primo sfruttamento attivo confermato risale al 23 febbraio 2026<\/strong>. cPanel ha rilasciato la patch di emergenza il 28 aprile 2026<\/strong>. Il risultato \u00e8 una finestra di zero-day di 64 giorni<\/strong>, durante i quali qualsiasi server cPanel raggiungibile da internet era potenzialmente compromesso senza che esistesse una correzione disponibile.<\/p>\n\n\n\n
    Data<\/th>Evento<\/th>Impatto<\/th><\/tr><\/thead>
    23 febbraio 2026<\/td>Primo sfruttamento attivo confermato in natura<\/td>Inizio finestra zero-day<\/td><\/tr>
    Marzo 2026<\/td>Campagne di scansione massiva su 1,5M istanze esposte<\/td>Escalation dell’attivit\u00e0 malevola<\/td><\/tr>
    28 aprile 2026<\/td>cPanel rilascia aggiornamenti di sicurezza d’emergenza per tutti i branch<\/td>Fine finestra zero-day (64 giorni totali)<\/td><\/tr>
    Maggio 2026<\/td>CISA aggiunge CVE-2026-41940 al catalogo Known Exploited Vulnerabilities<\/td>Obbligo di patching per agenzie federali USA<\/td><\/tr>
    Giugno 2026<\/td>Migliaia di server ancora non aggiornati, exploit attivo<\/td>Rischio persistente per hosting europeo<\/td><\/tr><\/tbody><\/table>\n\n\n\n
    Sessantaquattro giorni di sfruttamento senza patch disponibile rappresentano un record preoccupante per software di infrastruttura critica di questa diffusione. A titolo di confronto, il CVE-2026-35273 di Oracle PeopleSoft<\/a> (CVSS 9.8) ha avuto una finestra di esposizione di circa 30 giorni prima della patch. L’Ivanti EPMM zero-day<\/a> che ha colpito quattro governi UE ha avuto tempi simili, ma un bacino di utenza molto pi\u00f9 limitato rispetto agli 1,5 milioni di istanze cPanel.<\/p>\n\n\n\n
    CISA KEV e la Risposta Istituzionale in Europa<\/h2>\n\n\n\n
    L’inclusione di CVE-2026-41940 nel catalogo Known Exploited Vulnerabilities (KEV) della CISA<\/strong> ha trasformato questa vulnerabilit\u00e0 da problema tecnico a emergenza istituzionale globale. Il catalogo KEV segnala al mercato che lo sfruttamento \u00e8 confermato e attivo, imponendo alle agenzie federali americane l’applicazione della patch entro una scadenza precisa. Storicamente, le CVE nel catalogo KEV vengono sfruttate in modo pi\u00f9 intensivo nei giorni successivi all’inserimento, poich\u00e9 i ricercatori e gli attori malevoli rivolgono maggiore attenzione al target.<\/p>\n\n\n\n
    In Italia, l’Agenzia per la Cybersicurezza Nazionale (ACN)<\/strong> e il CSIRT Italia<\/strong> hanno emesso avvisi di sicurezza raccomandando l’aggiornamento immediato di tutte le istanze cPanel e WHM esposte. Il contesto italiano \u00e8 particolarmente delicato: secondo il Rapporto TIM sulla Cybersecurity 2026, nel corso del 2025 sono state censite 48.500 CVE<\/strong> a livello globale, con un tasso di sfruttamento attivo in crescita del 23% anno su anno. I server di hosting gestiti da provider italiani ospitano milioni di siti web di piccole e medie imprese, la cui compromissione ha ricadute dirette sulla continuit\u00e0 operativa e sulla conformit\u00e0 GDPR.<\/p>\n\n\n\n
    L’ACN<\/a> e il CSIRT Italia<\/a> rimangono i punti di riferimento operativi per gli amministratori italiani nella gestione di emergenze come questa. A livello europeo, la ENISA<\/a> ha incluso le vulnerabilit\u00e0 di authentication bypass nei pannelli di gestione hosting tra le priorit\u00e0 del suo Threat Landscape 2026, sottolineando come il settore hosting condiviso sia strutturalmente esposto a impatti amplificati rispetto ad altri contesti enterprise.<\/p>\n\n\n\n
    L’Impatto sul Settore Hosting Europeo e Italiano<\/h2>\n\n\n\n
    Il mercato europeo dei servizi di web hosting vale miliardi di euro e cresce a un tasso annuo composto del 14,9%<\/strong> per il periodo 2023-2030, secondo le proiezioni di settore. Il mercato globale dell’hosting ha raggiunto un valore di 182,28 miliardi di dollari nel 2026<\/strong>, con il Nord America al 38,63% dei ricavi. L’Europa rappresenta il secondo mercato per dimensione, con una concentrazione di installazioni cPanel nei provider di hosting condiviso, VPS e cloud gestito.<\/p>\n\n\n\n
    In Italia, i principali provider di hosting gestiscono decine di migliaia di server per piccole e medie imprese, e-commerce, studi professionali e pubblica amministrazione locale. Un accesso root non autorizzato ottenuto via CVE-2026-41940 su un server di hosting condiviso pu\u00f2 compromettere centinaia o migliaia di siti web<\/strong> ospitati sullo stesso server in un colpo solo. Le implicazioni GDPR sono immediate: ogni esfiltrazione di dati personali costituisce una violazione che deve essere notificata al Garante entro 72 ore<\/strong>, con sanzioni fino al 2% del fatturato globale annuo o 10 milioni di euro.<\/p>\n\n\n\n
    La portata del rischio per l’hosting europeo va letta anche in rapporto al Fortinet Threat Report 2026<\/a>, che documenta un incremento del 389% negli attacchi ransomware, con il settore hosting tra i target prioritari per la capacit\u00e0 di monetizzare l’accesso a sistemi multi-tenant. Un singolo server cPanel compromesso pu\u00f2 diventare punto di ingresso per decine di campagne ransomware o phishing distinte, ciascuna rivolta ai clienti del provider.<\/p>\n\n\n\n
    Chi Ha Analizzato la Vulnerabilit\u00e0: I Ricercatori<\/h2>\n\n\n\n
    La risposta della comunit\u00e0 di sicurezza \u00e8 stata rapida e tecnicamente approfondita. Sei organizzazioni di ricerca indipendenti hanno pubblicato analisi di CVE-2026-41940 nei giorni successivi al rilascio della patch del 28 aprile 2026:<\/p>\n\n\n\n