Luka w logowaniu do cPanel i WHM pozwala wejść do panelu serwera bez hasła. CISA potwierdza ataki, także ransomware, a CERT Polska i Pełnomocnik Rządu wzywają do aktualizacji. Zaktualizuj dziś i sprawdź serwer.
Ten alert jest dla zarządu, CTO i CFO firm, które mają strony, sklepy lub pocztę na serwerach zarządzanych panelem cPanel i WHM albo korzystają z WP Squared, własnych lub u dostawcy hostingu. Werdykt: jeśli wersja cPanel i WHM nie ma poprawki dla swojej gałęzi, zaktualizuj ją dziś i sprawdź, czy serwer nie został już przejęty, bo luka jest masowo wykorzystywana, także w atakach ransomware.
Amerykańska agencja CISA 30 kwietnia 2026 roku dopisała podatność CVE-2026-41940 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w ścieżce logowania do panelu cPanel i WHM (WebHost Manager) oraz WP Squared. Pozwala napastnikowi z internetu wejść do panelu sterowania serwera bez hasła.
CISA dała agencjom federalnym tylko trzy dni na naprawę, do 3 maja 2026 roku, i oznaczyła lukę jako używaną w kampaniach ransomware. W Polsce CERT Polska wydał ostrzeżenie 30 kwietnia 2026 roku, a 19 maja 2026 roku Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa wydał rekomendację bezzwłocznej aktualizacji na podstawie art. 33 ust. 4a ustawy o krajowym systemie cyberbezpieczeństwa.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-41940 |
Data dodania do CISA KEV | 2026-04-30 |
Termin naprawy wg CISA | 2026-05-03 (3 dni od wpisu) |
Produkt | WebPros cPanel i WHM (WebHost Manager) oraz WP Squared (WP2) |
Wersje zagrożone | cPanel i WHM od 11.40, w dziewięciu gałęziach, zawsze wersje niższe niż poprawka: od 11.40 poniżej 86.0.41, od 88.0.0 poniżej 110.0.97, od 112.0.0 poniżej 118.0.63, od 120.0.0 poniżej 124.0.35, od 126.0.1 poniżej 126.0.54, od 128.0.0 poniżej 130.0.19, od 132.0.0 poniżej 132.0.29, od 134.0.0 poniżej 134.0.20, od 136.0.0 poniżej 136.0.5. WP Squared poniżej 136.1.7 (wg NVD) |
Wersje bezpieczne | Pierwsze wersje z poprawką w każdej gałęzi: 86.0.41, 110.0.97, 118.0.63, 124.0.35, 126.0.54, 130.0.19, 132.0.29, 134.0.20, 136.0.5; WP Squared 136.1.7 (wg NVD; baza europejska zapisuje je z prefiksem 11, np. 11.136.0.5). Najnowszą wersję podają informacje o wydaniach producenta |
Typ podatności | Obejście uwierzytelnienia; CWE-306 (brak uwierzytelnienia dla funkcji krytycznej) |
Ocena CVSS | VulnCheck: 9.8 (CVSS 3.1, KRYTYCZNA) oraz 9.3 (CVSS 4.0, KRYTYCZNA). NVD nie wystawiła własnej oceny. Atak przez sieć, bez logowania i bez udziału użytkownika |
Uwaga przy sprawdzaniu wersji: porównuje się numer tylko w obrębie własnej gałęzi. Wersja 130.0.18 jest podatna, choć liczba 130 jest większa niż 86 w poprawionej wersji 86.0.41.
Wyobraź sobie hotel, w którym portier w holu sprawdza klucz do pokoju, zanim wpuści kogoś na piętra. Klucz uniwersalny do wszystkich pokoi, zaplecza i sejfu ma tylko kierownik. Luka w cPanel przypomina sytuację, w której istnieje boczne przejście obok portiera: kto je zna, wchodzi na piętra, jakby miał klucz kierownika, a portier nawet go nie widzi.
Panel cPanel i WHM to właśnie taki klucz kierownika do serwera: pozwala zarządzać stronami, bazami danych, pocztą i kontami wszystkich klientów. Obejście logowania oznacza, że napastnik nie musi znać ani łamać hasła. CERT Polska zwraca uwagę, że podatność umożliwia także zdalne wykonanie kodu na serwerze, a publicznie dostępne narzędzie opisuje przejście od obejścia logowania do wykonania kodu. W praktyce oba skutki dzieli krótka droga, bo panel z definicji pozwala uruchamiać zadania na serwerze.
💡 cPanel to panel, w którym klient hostingu zarządza stroną, pocztą i bazami, a WHM to panel administratora całego serwera. WP Squared to oparta na cPanel platforma do hostingu WordPressa. Obejście uwierzytelnienia oznacza wejście do systemu bez podawania poprawnego hasła. Ransomware to złośliwe oprogramowanie szyfrujące dane w celu wymuszenia okupu. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś z internetu otwiera stronę logowania WHM | Bez hasła nie wchodzi dalej | Może wejść do panelu bez hasła |
Zarządzanie kontami i stronami klientów | Tylko administrator serwera | Także napastnik |
Pliki stron, bazy danych, poczta | Chronione hasłem panelu | Dostępne do odczytu, zmiany i zaszyfrowania |
Uwierzytelnianie dwuskładnikowe do panelu | Chroni przed skradzionym hasłem | Nie pomaga, bo logowanie jest pomijane |
Wiedza administratora o włamaniu | Nieudane logowania widać w logach | Brak oczywistych śladów nieudanych prób |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności, dopasowany do tego, co opisano publicznie. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga konta ani udziału użytkownika i da się go w pełni zautomatyzować (ocena SSVC CISA), więc przestępcy skanują internet hurtowo, zamiast wybierać cele.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie serwerów z otwartymi portami panelu (m.in. 2083, 2087, 2095, 2096) | Tysiące potencjalnych celów |
2. Obejście logowania | T+1 do 5 min | Użycie publicznego kodu omijającego ścieżkę logowania | Dostęp do panelu bez hasła |
3. Wykonanie kodu | T+5 do 15 min | Uruchomienie poleceń na serwerze przez funkcje panelu | Kontrola nad serwerem |
4. Utrwalenie i kradzież | T+15 min do kilku godzin | Założenie tylnych furtek, kopiowanie baz danych i plików | Dane klientów poza firmą |
5. Szyfrowanie | T+kilka godzin do dni | Uruchomienie programu szyfrującego pliki stron i baz (np. rodzina „Sorry” opisana przez BleepingComputer) | Strony niedostępne, żądanie okupu |
6. Szantaż | T+1 do 7 dni | Kontakt przez komunikator i żądanie zapłaty | Decyzja: odtwarzanie z kopii lub okup |
Mogę Ci jakoś pomóc?
Panel cPanel i WHM to centrum sterowania serwerem ze stronami, pocztą i bazami danych. Obejście logowania na takim panelu oznacza utratę kontroli nad wszystkim, co na nim działa. Dodatkowo, według BleepingComputer, organizacja Shadowserver zgłaszała na początku maja 2026 roku co najmniej 44 tys. adresów IP z przejętym cPanel, a próby wykorzystania sięgały końca lutego, czyli sprzed publikacji poprawki.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane strony, sklep i poczta, konieczność odtworzenia serwera | Godziny od przejęcia | 20 tys. do 250 tys. PLN (przestój, odtworzenie, migracja) |
Bezpieczeństwo danych | Wyciek baz klientów, zamówień, korespondencji e-mail | Godziny | 20 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Utracona sprzedaż, żądanie okupu, koszty pracy zewnętrznych specjalistów | Dni do tygodni | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Strony oznaczone jako zainfekowane, utrata zaufania klientów i partnerów | Dni do miesięcy | 20 tys. do 300 tys. PLN (utracone zamówienia i kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań). Podmioty krajowego systemu cyberbezpieczeństwa są adresatem rekomendacji Pełnomocnika Rządu | 72 godziny od wykrycia | 15 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera cPanel i WHM bez poprawki,
z panelem dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: najwyższy poziom ryzyka, bo luka nie wymaga hasła, da się ją zautomatyzować, ma publiczny kod i jest masowo używana w atakach ransomware; serwer z panelem dostępnym tylko z kilku zaufanych adresów ma wyraźnie niższe prawdopodobieństwo ataku, ale nadal wymaga aktualizacji.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać serwery z cPanel i WHM lub WP Squared i sprawdzić wersję oraz gałąź każdego z nich | Dziś | Administrator / partner IT |
2 | 🔴 NATYCHMIAST | Zaktualizować do wersji z poprawką dla danej gałęzi (sekcja 1) lub nowszej | Dziś | Administrator serwera |
3 | 🔴 NATYCHMIAST | Do czasu aktualizacji zablokować z internetu porty panelu 2083, 2087, 2095 i 2096 (zalecenie CERT Polska) | Dziś | Administrator zapory |
4 | 🟠 PILNIE | Uruchomić skrypt producenta sprawdzający, czy podatność została wcześniej wykorzystana | Do 2 dni | Administrator serwera |
5 | 🟠 PILNIE | Przejrzeć konta, klucze SSH, zadania cykliczne i pliki stron pod kątem zmian od lutego 2026 roku | Do 7 dni | Administrator / zewnętrzny zespół bezpieczeństwa |
6 | 🟠 PILNIE | Na hostingu u dostawcy: uzyskać pisemne potwierdzenie wersji i wyniku sprawdzenia | Do 2 dni | CTO |
7 | 🟡 WAŻNIE | Przenieść kopie zapasowe poza serwer i ograniczyć dostęp do panelu do znanych adresów na stałe | Do 30 dni | CTO |
Producent wydał poprawki dla wszystkich wymienionych gałęzi, więc docelowo trzeba je wgrać. Do czasu aktualizacji CERT Polska wskazuje dwie miary tymczasowe. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada ruchu przychodzącego z internetu na portach 2083, 2087, 2095 i 2096, z wyjątkiem zaufanych adresów (zalecenie CERT Polska) | Wysoka wobec ataków z internetu | Łatwa, jeśli administratorzy logują się z kilku znanych adresów |
Wyłączenie usług | Wysoka: panel przestaje działać | Łatwa technicznie, dotkliwa: panel jest niedostępny do czasu aktualizacji |
Dostęp do panelu tylko przez VPN | Wysoka | Średnia: wymaga działającego VPN dla administratorów |
Monitorowanie logów panelu i nowych kont | Niska jako ochrona, przydatna do wykrycia włamania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do panelu z internetu | Możliwy bez hasła | Wymaga poprawnego logowania, najlepiej tylko ze znanych adresów |
Wiedza o wcześniejszym włamaniu | Brak | Wynik skryptu producenta i przeglądu kont |
Kopie zapasowe | Często na tym samym serwerze | Poza serwerem, odporne na szyfrowanie |
Zgodność z rekomendacjami | Niezgodność z terminem CISA i rekomendacją Pełnomocnika Rządu | Aktualizacja wykonana i udokumentowana |
Ryzyko ransomware | Wysokie, luka używana w kampaniach | Znacząco ograniczone |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Według BleepingComputer próby wykorzystania sięgały końca lutego 2026 roku, zanim wydano poprawkę |
Grupy przestępcze | Brak publicznych informacji o nazwach grup; BleepingComputer opisuje kampanię ransomware „Sorry” z komunikacją przez Tox |
Kampanie ransomware | TAK (CISA KEV: Known). BleepingComputer: szyfrowanie plików na serwerach Linux z rozszerzeniem .sorry |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1) i 9.3 KRYTYCZNA (CVSS 4.0), obie wg VulnCheck |
PoC dostępny publicznie? | TAK: analiza watchTowr Labs i publiczne narzędzie oznaczone w NVD jako kod wykorzystujący lukę; potwierdza to też CERT Polska |
Liczba atakowanych firm | Według BleepingComputer, powołującego się na Shadowserver, co najmniej 44 tys. adresów IP z przejętym cPanel (stan na początek maja 2026 roku) |
Prognoza EPSS | 0,98110, percentyl 0,99910 (23 sierpnia 2026 roku, wg analizy źródłowej) |
Polska | CERT Polska: ostrzeżenie 55/2026 (30 kwietnia 2026 roku); Pełnomocnik Rządu: rekomendacja aktualizacji (19 maja 2026 roku) |
Sygnały zagrożenia dla CVE-2026-41940
CVSS 3.1 (VulnCheck) 9.8/10 ███████████████████░ KRYTYCZNA
CVSS 4.0 (VulnCheck) 9.3/10 ███████████████████░ KRYTYCZNA
EPSS (próba w 30 dni) ~98% ████████████████████ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana
Publiczny kod TAK ████████████████████ dostępny
Mogę Ci jakoś pomóc?
2026-02 (koniec) Pierwsze próby wykorzystania wg BleepingComputer
2026-04-28 Biuletyn bezpieczeństwa i aktualizacja cPanel i WHM
2026-04-29 Publikacja CVE w NVD i w bazie europejskiej (EUVD-2026-26246)
2026-04-30 CISA dodaje lukę do katalogu KEV, ransomware: Known;
ostrzeżenie CERT Polska 55/2026
2026-05-02 BleepingComputer opisuje masowe ataki ransomware „Sorry”
2026-05-03 Termin naprawy wg CISA dla agencji federalnych
2026-05-19 Rekomendacja Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 4 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: support.cpanel.net: cPanel & WHM Security Update 04-28-2026 . Informacje o wydaniach: docs.cpanel.net/release-notes . WP Squared: docs.wpsquared.com: changelog . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-41940 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, na których serwerach (własnych i u dostawców) działa cPanel i WHM lub WP Squared | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji i gałęzi każdego serwera oraz dacie aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić blokadę portów panelu z internetu do czasu aktualizacji | CTO | DZISIAJ |
4 | Zlecić uruchomienie skryptu producenta sprawdzającego wcześniejsze wykorzystanie luki | CTO | DO JUTRA |
5 | Sprawdzić, czy kopie zapasowe są poza serwerem i czy ostatnie odtworzenie testowe się udało | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową i ewentualne odtworzenie serwera | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące ransomware i nienaprawionych znanych luk | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Na których serwerach używamy cPanel i WHM lub WP Squared? | [lista serwerów] | 🔴 |
2 | Jaka jest wersja i gałąź cPanel i WHM na każdym z nich? | [wersja] | 🔴 |
3 | Kiedy zainstalowano wersję z poprawką? | [data] | 🔴 |
4 | Czy porty panelu (2083, 2087, 2095, 2096) są dostępne z całego internetu? | TAK / NIE | 🔴 |
5 | Czy skrypt producenta wykazał ślady wcześniejszego wykorzystania luki? | TAK / NIE | 🟠 |
6 | Czy od lutego 2026 roku pojawiły się nieznane konta, klucze SSH lub zadania cykliczne? | TAK / NIE | 🟠 |
7 | Gdzie przechowujemy kopie zapasowe i kiedy ostatnio testowaliśmy ich odtworzenie? | [miejsce], [data] | 🟡 |
CVE-2026-41940 pozwala wejść do panelu cPanel i WHM bez hasła, a CISA, CERT Polska i Pełnomocnik Rządu zgodnie wskazują, że luka jest aktywnie wykorzystywana, także w atakach ransomware. Aktualizacja do wersji z poprawką dla własnej gałęzi to zadanie na dziś, a sprawdzenie, czy serwer nie został przejęty wcześniej, na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.