بهره‌برداری فعال از CVE-2026-41940 در cPanel برای استقرار درپشتی Filemanager

یک عامل تهدید با نام مستعار «Mr_Rot13» با بهره‌برداری از یک آسیب‌پذیری بحرانی تازه‌فاش‌شده در نرم‌افزار cPanel، اقدام به استقرار یک درپشتی (backdoor) با نام رمز «Filemanager» در سیستم‌های آلوده کرده است. این حمله از آسیب‌پذیری CVE-2026-41940 سوءاستفاده می‌کند که امکان دور زدن احراز هویت (authentication bypass) و کنترل از راه دور پنل مدیریتی را فراهم می‌سازد. بر اساس گزارش شرکت امنیتی QiAnXin XLab، این نقص امنیتی پس از افشای عمومی در ماه گذشته، توسط چندین عامل تهدید مورد بهره‌برداری قرار گرفته و منجر به فعالیت‌هایی نظیر استخراج ارز دیجیتال (cryptocurrency mining)، باج‌افزار (ransomware)، گسترش بات‌نت (botnet) و کاشت درپشتی شده است. محققان XLab اعلام کردند که بیش از ۲۰۰۰ آدرس IP مهاجم از کشورهایی چون آلمان، آمریکا، برزیل و هلند در حملات خودکار علیه این آسیب‌پذیری دخیل هستند.

تحلیل‌های بیشتر نشان می‌دهد این زنجیره حمله شامل دانلود یک آلوده‌ساز (infector) مبتنی بر زبان Go، کاشت کلید عمومی SSH برای دسترسی پایدار، استقرار یک وب‌شل (web shell) PHP برای اجرای دستورات از راه دور، و تزریق کد جاوااسکریپت برای سرقت اطلاعات ورود کاربران است که با رمز ROT13 به سرور مهاجم ارسال می‌شود. درپشتی Filemanager قادر به آلوده‌سازی سیستم‌های ویندوز، مک‌اواس و لینوکس بوده و اطلاعات حساسی نظیر تاریخچه bash، داده‌های SSH و رمزهای پایگاه داده را جمع‌آوری می‌کند. XLab هشدار داد که این عامل تهدید احتمالاً از سال ۲۰۲۰ به‌صورت پنهانی فعال بوده و در طول شش سال گذشته، نرخ شناسایی نمونه‌ها و زیرساخت‌های مرتبط با وی توسط محصولات امنیتی بسیار پایین مانده است.