cPanel/WHM — panel quản trị hosting phổ biến nhất thế giới — từng dính một zero-day cho phép kẻ tấn công vượt cả mật khẩu lẫn 2FA để lên thẳng root WHM. Lỗi đã vá từ tháng 4/2026, nhưng câu chuyện đằng sau nó vẫn đáng đọc: đây là một trong những zero-day bị khai thác lâu nhất trước khi có bản vá trong năm nay.

Lỗi là gì

CVE-2026-41940 (CVSS 9.8) là lỗi CRLF injection trong session file của cpsrvd (/var/cpanel/sessions/raw/): kẻ tấn công chèn ký tự xuống dòng vào session để giả mạo một phiên đăng nhập hợp lệ, bỏ qua hoàn toàn xác thực — kể cả 2FA — rồi leo lên quyền root của WHM.

  • Ảnh hưởng mọi cPanel/WHM sau bản 11.40, bao gồm cả WP Squared.
  • Lúc công bố, khoảng 1,5 triệu instance cPanel lộ ra internet.

Dòng thời gian khai thác — và những con số cần nói đúng

  • 03/04/2026: mốc khai thác sớm nhất mà CrowdStrike xác nhận được (theo báo cáo hồi cứu của CrowdStrike đầu tháng 11/2026) — ít nhất 25 ngày trước bản vá 28/04. Từ 30/04, khai thác lan rộng theo kiểu cơ hội.
  • 28/04/2026: cPanel phát hành bản vá.
  • 30/04/2026: CISA đưa vào KEV, hạn liên bang 03/05/2026. Mình kiểm chứng trực tiếp feed CISA KEV sáng nay: dateAdded 2026-04-30, dueDate 2026-05-03, và ghi rõ ransomware use = Known. (Một số nguồn ghi 01/05 là sai.)
  • Hai con số hay bị trích sai: ngày 23/02 chỉ là claim của KnownHost/CERT Uganda, cPanel không xác nhận — đừng viết như mốc đã xác nhận. Con số "44.000 bị xâm nhập" cũng không phải do CrowdStrike xác nhận — đừng gán cho họ.

Chưa vá xong đâu: tháng 7 vẫn có chiến dịch mới

Theo cùng báo cáo CrowdStrike, tháng 7/2026 vẫn có chiến dịch quét khai thác các server chưa vá — qua 10 package Packagist bị chiếm. Bài học: vá tháng 4 không có nghĩa là đã vá xong, nếu server của bạn chưa từng được rà soát lại.

Cần làm gì (nếu bạn chạy cPanel/WHM):

  1. Cập nhật lên bản vá sau 28/04/2026 ngay nếu chưa làm.
  2. Rà lại log session và các phiên đăng nhập bất thường từ tháng 4 tới nay.
  3. Kiểm tra các package/composer dependency lạ — đừng chỉ tin vào phiên bản cPanel.

Nguồn: