آسیب‌پذیری بحرانی cPanel برای هدف قرار دادن شبکه‌های دولتی و MSP تسلیح شد

یک عامل تهدید ناشناخته با بهره‌برداری از آسیب‌پذیری بحرانی اخیراً فاش‌شده در نرم‌افزار cPanel و WebHost Manager (WHM) با شناسه CVE-2026-41940، نهادهای دولتی و نظامی در جنوب‌شرق آسیا، به‌ویژه فیلیپین و لائوس، و همچنین ارائه‌دهندگان خدمات مدیریت‌شده (MSP) و شرکت‌های میزبانی در فیلیپین، لائوس، کانادا، آفریقای جنوبی و ایالات متحده را هدف قرار داده است. این فعالیت که در دوم مه ۲۰۲۶ توسط شرکت Ctrl-Alt-Intel شناسایی شد، از آدرس IP «95.111.250[.]175» سرچشمه می‌گیرد و با استفاده از کدهای اثبات مفهوم (PoC) در دسترس عموم، امکان دور زدن احراز هویت (authentication bypass) و کنترل از راه دور سیستم‌های آسیب‌پذیر را فراهم می‌کند. پیش از این حملات، همین عامل تهدید از یک زنجیره اکسپلویت سفارشی علیه یک پورتال آموزشی بخش دفاعی اندونزی بهره برده و با ترکیب تزریق SQL احراز هویت‌شده (authenticated SQL injection) و اجرای کد از راه دور (remote code execution)، اطلاعاتی از حوزه راه‌آهن چین را استخراج کرده است.

این عامل برای فرماندهی و کنترل از راه دور از چارچوب AdaptixC2 و برای دسترسی پایدار به شبکه‌های داخلی قربانیان از ابزارهایی مانند OpenVPN و Ligolo استفاده کرده است. در همین حال، شرکت Censys اعلام کرد که آسیب‌پذیری مذکور ظرف ۲۴ ساعت پس از افشای عمومی توسط چندین گروه مختلف مورد سوءاستفاده قرار گرفته، از جمله برای استقرار نسخه‌هایی از بات‌نت (botnet) Mirai و یک باج‌افزار (ransomware) موسوم به «Sorry». بر اساس داده‌های بنیاد Shadowserver، حداقل ۴۴٬۰۰۰ آدرس IP که احتمالاً از طریق این آسیب‌پذیری به خطر افتاده‌اند، در ۳۰ آوریل ۲۰۲۶ در حملات اسکن و brute-force علیه honeypot‌های این بنیاد شرکت داشتند. به کاربران توصیه می‌شود وصله‌های امنیتی را هرچه سریع‌تر اعمال کنند.