安全研究人員近期就廣泛使用的網路伺服器管理軟體cPanel及WebHost Manager（WHM）中發現的一個新型漏洞發出警告。
該漏洞使黑客能夠劫持並完全控制運行受影響軟體的伺服器。據估計，全球數千萬網站所有者在使用這款軟體。
目前，多家商業虛擬主機服務商已為其客戶的系統打上補丁。但cPanel的開發方也敦促用戶確認系統已完成修復，因為該漏洞影響所有受支持的軟體版本。
cPanel與WHM是兩套用於管理網路伺服器的軟體，負責託管網站、管理電子郵件，以及處理維護網際網路域名所需的重要配置與資料庫。這兩套軟體對其所管理的伺服器擁有深度訪問權限，這意味著惡意黑客一旦得手，就可能對受影響軟體所管理的數據實現無限制訪問。
該漏洞的官方編號為CVE-2026-41940，允許惡意黑客遠程繞過登錄界面，從而獲取軟體管理面板的完整訪問權限。
鑑於cPanel與WHM軟體在虛擬主機行業的廣泛普及，黑客有可能入侵大量尚未修復該漏洞的網站。
加拿大國家網路安全機構在一份安全公告中指出，該漏洞可被用於入侵共享託管伺服器上的網站，例如大型虛擬主機服務商的伺服器。該機構表示，"漏洞被利用的可能性極高"，cPanel用戶或其網路託管商必須立即採取行動，以防止惡意訪問。
虛擬主機巨頭Namecheap使用cPanel為客戶提供伺服器管理功能。該公司表示，在獲悉該漏洞後，已暫時封鎖客戶訪問cPanel管理面板的權限，以阻止漏洞被利用，同時為客戶系統完成補丁部署爭取時間。HostGator同樣表示已完成系統修復，並將該漏洞定性為"高危身份驗證繞過漏洞"。
一家虛擬主機公司還表示，已發現黑客在漏洞被披露前數月便開始對其進行利用。KnownHost首席執行官Daniel Pearson在Reddit上發帖稱，該公司早在2月23日就已發現針對該漏洞的利用嘗試。該公司表示，在部署補丁之前也曾短暫封鎖過客戶系統的訪問權限。
據Pearson介紹，在KnownHost網路中的數千台伺服器中，約有30台伺服器出現了未經授權的訪問嘗試跡象，但目前尚未發現系統被成功入侵的證據。此外，cPanel還表示，已針對用於管理WordPress網站的類似工具WP Squared發布了安全修復補丁。
Q&A
Q1：cPanel和WHM的CVE-2026-41940漏洞有多嚴重？
A：該漏洞允許黑客遠程繞過登錄界面，直接獲取伺服器管理面板的完整控制權。由於cPanel和WHM對伺服器擁有深度訪問權限，一旦被攻破，黑客可對伺服器上的所有數據實現無限制訪問。加拿大國家網路安全機構將其評級為"極高可能被利用"，屬於高危級別漏洞。
Q2：我的網站用了cPanel，現在該怎麼辦？
A：首先確認你的虛擬主機服務商是否已經為系統打上補丁，Namecheap、HostGator等主流服務商已完成修復。如果你是自行管理伺服器，應立即登錄cPanel官方渠道獲取最新安全補丁並完成更新。在補丁部署完成前，可考慮臨時限制管理面板的訪問權限，降低被攻擊的風險。
Q3：黑客利用cPanel漏洞具體攻擊了哪些目標？
A：據KnownHost的調查，該公司網路中約有30台伺服器出現了未經授權的訪問嘗試，最早的攻擊記錄可追溯至2月23日。目前這些嘗試尚未造成系統被成功入侵的跡象。加拿大網路安全機構指出，共享託管伺服器是重點攻擊目標，大型虛擬主機服務商的客戶網站面臨的風險尤為突出。
