觀點 · 資訊分享

cPanel 與 WHM 登入流程驗證可繞過：CISA 列入已遭利用清單，並標註與勒索軟體攻擊有關

CVE-2026-41940 讓沒有帳號的人也能進入 cPanel／WHM 控制台，CVSS 3.1 評分 9.8。CISA 在 4 月 30 日把它列入已知遭利用漏洞（KEV）清單，修補期限為 5 月 3 日，並標註已知被用於勒索軟體攻擊。

一句話看懂：cPanel 與 WHM 的登入流程有驗證漏洞，沒有帳號的遠端攻擊者也能進控制台，CISA 已把它列為遭利用，並標註與勒索軟體攻擊有關。

cPanel 與 WHM 驗證繞過漏洞資訊圖卡：沒有帳號的遠端攻擊者，也能繞過登入直接進入控制台

先用白話講：cPanel 和 WHM 是什麼？

很多人租虛擬主機或自己管網站時，會用到 cPanel：一個網頁版的「主機管家」，可以管網站檔案、信箱、資料庫。WHM 則是給主機商或管理多個帳號的人用的「總管理台」。

這次的漏洞等於是：這間管家公司大門的檢查流程有破口，沒有鑰匙的人也有可能走進去。

CVE-2026-41940：NVD 描述為 cPanel 與 WHM 11.40 之後的版本，登入流程存在驗證繞過，未登入的遠端攻擊者可取得控制台的未授權存取
4 月 29 日：NVD 收錄，CVSS 3.1 評分 9.8
4 月 30 日：CISA 將它列入已知遭利用漏洞目錄（KEV），受影響產品含 WebPros cPanel & WHM 與 WP2（WordPress Squared）
修補期限：CISA 要求美國聯邦機關在 5 月 3 日前處理
CISA 並標註它「已知被用於勒索軟體攻擊活動」

NVD 資料依版本線列出不同的修正版，我只列幾個例子，實際請對照自己的版本：

完整清單請看 NVD 頁面與 cPanel 官方發行說明。

我自己的服務主要放 NAS 與雲端，但接案時常遇到客戶用傳統虛擬主機、後台就是 cPanel。這類站長通常不會天天看資安新聞，主機商也不一定第一時間通知。所以我會提醒客戶：後台網址、管理介面能不要對全世界開放就別開，並且先問清楚主機商有沒有更新。

這個漏洞的嚴重在於「不需要帳號」，而且已經有人實際在打，不是理論風險。查版本、確認修補，這件事今天就該做，不用等月底維運。

什麼是 KEV？

是美國 CISA 維護的「已知遭利用漏洞目錄」，代表這個漏洞確實已有人在實際攻擊中利用。列入後，美國聯邦機關必須在期限內修補。

我是一般站長，該怎麼做？

先到 WHM 確認 cPanel 版本，再對照官方安全更新與發行說明升級到所屬版本線的修正版。若主機是主機商代管，請向主機商確認他們是否已更新。

CISA 的處置建議是什麼？

依 CISA 目錄寫明：依廠商指示套用緩解措施，雲端服務依 BOD 22-01 指引處理，若沒有可用的緩解措施就停止使用該產品。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。