Em 01/05/2026 em 07:51, chuvadenovembro disse:

Será que a coisa foi tão rapida que os invasores nem tiveram tempo de desenvolver algo automatizado para tornar os servidores zumbis da botnet? kkk

No reddit eu vi pelo menos um caso de sequestro do servidor.

Tem casos de sequestro do servidor, tem casos onde foi apagado tudo sem deixar rastro e como o xploit em python está ao alcance de todos os objetivos de ataque variam bastante. Parece que a própria correção feita pelo cpanel é um baita remendo, nenhuma surpresa, já que cpanel sempre foi uma colcha de retalhos, boa sorte a todos!

ATUALIZAÇÃO sobre a vulnerabilidade de autenticação do cPanel/WHM (CVE-2026-41940): O Shadowserver agora relata pelo menos 44.000 IPs únicos comprometidos e ativamente escaneando sua rede de honeypots em 30 de abril de 2026.

O que isso significa na prática. Em aproximadamente 24 horas após a divulgação pública, os atacantes já assumiram o controle de servidores cPanel/WHM vulneráveis suficientes para usá-los como um enxame global de escaneamento, caçando o próximo lote de vítimas. Cada um desses 44.000 IPs é, por si só, um host comprometido, principalmente servidores de hospedagem compartilhada que executam sites de clientes, e-mail e bancos de dados.

O Shadowserver também relata aproximadamente 650.000 instâncias de cPanel/WHM expostas à internet no total. Qualquer coisa não corrigida hoje está sentada no pool de alvos.

https://x.com/IntCyberDigest/status/2050312962477564148

Por quanto tempo será que esse incidente vai causar prejuizos?

The Hacker News

Critical cPanel Vulnerability Weaponized to Target Govern...

cPanel CVE-2026-41940 exploited within 24 hours, enabling 44,000 IP attacks and data breaches across global networks.

A equipe do cPanel está realizando uma análise forense para identificar o vetor do ataque e já disponibilizou scripts emergenciais para correção e mitigação de vulnerabilidades.

https://support.cpanel.net/hc/en-us/articles/40229402602519-Security-CVE-2026-23918

Pelo que vi, a atualização do DA corrige esse problema do apache também:

https://docs.directadmin.com/changelog/version-1.701.html

• apache2.4 updated from 2.4.66 to 2.4.67

• exim updated from 4.99.1 to 4.99.2

• litespeed updated from 6.3.5-2 to 6.3.5-5

• modsecurity3 updated from 3.0.14 to 3.0.15

• ModSecurity rules from OWASP CRS updated from 4.25.0 to 4.26.0

• modsecurity updated from 2.9.12 to 2.9.13

• proftpd_mod_clamav updated from 0.14rc2 to f277f03363ae1479fc043c7ac91a9c517fd1d974

• pureftpd updated from 1.0.53 to 1.0.54

Mais outra galera:

The Hacker News

cPanel CVE-2026-41940 Under Active Exploitation to Deploy...

CVE-2026-41940 exploitation by 2,000 IPs enabled Filemanager backdoor attacks, causing credential theft and persistent access.