Хакеры используют уязвимость cPanel (CVE-2026-41940) и компрометируют тысячи сайтов

После раскрытия уязвимости CVE-2026-41940 злоумышленники начали массовые взломы панелей cPanel/WHM: были захвачены тысячи сайтов, появлялись вымогательские заметки, а сотни тысяч серверов остаются потенциально уязвимы.

Через несколько дней после публичного раскрытия критической уязвимости в cPanel и WebHost Manager (WHM) злоумышленники начали массовые компрометации, используя баг в панелях управления для получения контроля над серверами. Уязвимость имеет трекер CVE-2026-41940; исследователи отмечали, что она позволяла атакующим получить практически полный контроль над уязвимыми инстансами и размещать на взломанных сайтах произвольный контент. В ряде случаев на скомпрометированных страницах появлялись вымогательские записки с указанием контактных идентификаторов (chat‑ID) для связи с злоумышленниками. Эти заражённые страницы оказались проиндексированы поисковыми системами, что увеличило видимость инцидентов и усугубило риск для владельцев сайтов и их посетителей.

Некоммерческая организация Shadowserver, занимающаяся сканированием сети, опубликовала статистику по состоянию на понедельник, 4 мая 2026 года: более 550 000 серверов с запущенной cPanel были признаны потенциально уязвимыми. По её данным, число зарегистрированных инстансов, вероятно скомпрометированных, сначала достигало примерно 44 000, а затем сократилось примерно до 2 000, что отражает динамику обнаружения и последующей очистки отдельных случаев. Американское Агентство по кибербезопасности и инфраструктуре (CISA) выпустило предупреждение в четверг и включило CVE-2026-41940 в каталог Known Exploited Vulnerabilities (KEV), потребовав от государственных учреждений установить исправления до ближайшего воскресенья. Представители CISA не сразу прокомментировали, удалось ли всем организациям выполнить требование в срок.

Ранние сигналы злоупотреблений поступали ещё до публичного раскрытия уязвимости: по словам генерального директора хостинг‑компании KnownHost Дэниела Пирсона, атаки фиксировались как минимум с 23 февраля. Представитель cPanel подтвердил получение запроса на комментарий, но фактического разъяснения по инциденту не предоставил. хотя число обнаруженных компромиссов сократилось с пиковых значений, сотни тысяч серверов остаются под угрозой без своевременного применения патчей.