Hacker sfruttano attivamente un bug in cPanel, usato da milioni di siti web

I ricercatori di sicurezza hanno acceso i riflettori su una nuova vulnerabilità che interessa cPanel e WebHost Manager (WHM), tra i software di gestione dei server web più diffusi al mondo. Il difetto consente agli attaccanti di prendere il controllo completo dei server su cui è installato il software, ampiamente adottato da decine di milioni di proprietari di siti.

Molti provider di hosting commerciali hanno già applicato le patch sui sistemi dei clienti. Tuttavia, l’azienda dietro cPanel ha invitato tutti gli utenti a verificare immediatamente lo stato degli aggiornamenti: la falla riguarda infatti tutte le versioni supportate del software.

Cos’è cPanel/WHM e perché la falla è così critica

cPanel e WHM sono due suite pensate per amministrare server che ospitano siti web, gestiscono caselle email e curano configurazioni, database e altri componenti fondamentali di un dominio internet. Proprio perché operano con privilegi profondi sul sistema, un attaccante che li compromette può ottenere accesso illimitato ai dati e alle funzionalità del server.

La vulnerabilità, catalogata come CVE-2026-41940, permette a un aggressore remoto di aggirare la schermata di login e accedere direttamente al pannello di amministrazione. In pratica, si tratta di un bypass dell’autenticazione che spalanca le porte alla gestione completa del server.

Rischio diffuso per l’hosting condiviso

Data la diffusione capillare di cPanel e WHM nel settore dell’hosting, i sistemi non aggiornati potrebbero essere presi di mira su larga scala. L’agenzia nazionale per la cybersicurezza del Canada, in un’apposita advisory, ha avvertito che la falla può essere sfruttata per compromettere siti ospitati su server condivisi, come quelli dei grandi provider.

Secondo l’agenzia, la “probabilità di sfruttamento è molto alta” e sono necessarie contromisure immediate, da parte dei clienti cPanel o dei loro fornitori di hosting, per bloccare gli accessi malevoli.

Come stanno reagendo i provider

• Namecheap: il colosso dell’hosting, che utilizza cPanel per i pannelli di controllo dei clienti, ha temporaneamente bloccato l’accesso ai pannelli per prevenire abusi, guadagnare tempo e distribuire le patch sui sistemi interessati.
• HostGator: ha comunicato di aver già aggiornato l’infrastruttura e ha classificato la falla come un “exploit critico di bypass dell’autenticazione”.
• KnownHost: secondo il CEO Daniel Pearson, in un post su Reddit, l’azienda ha rintracciato tentativi di sfruttamento della vulnerabilità risalenti al 23 febbraio. Su migliaia di server, circa 30 hanno mostrato tracce di accessi non autorizzati tentati, senza evidenze di compromissione riuscita. Anche KnownHost ha limitato temporaneamente l’accesso ai sistemi dei clienti prima di completare la distribuzione delle patch.

In parallelo, cPanel ha rilasciato una correzione di sicurezza anche per WP Squared, uno strumento affine per la gestione di siti WordPress.

Cosa fare subito se usi cPanel o WHM

• Verifica la versione: assicurati di eseguire una release supportata e aggiornata che includa la patch per CVE-2026-41940.
• Applica gli aggiornamenti: se usi un hosting gestito, contatta il provider o consulta il suo status page; in caso di gestione autonoma, procedi con l’update immediato dalla console o tramite i tool ufficiali.
• Rafforza l’accesso: attiva l’autenticazione a più fattori (MFA), limita gli IP consentiti al pannello, abilita HTTPS e rivedi le policy di password.
• Controlla i log: esamina i log di accesso e di sistema per individuare tentativi sospetti, soprattutto se risalgono alle ultime settimane.
• Segmenta e limita i privilegi: applica il principio del minimo privilegio e, dove possibile, isola servizi e siti tra loro.
• Pianifica patch regolari: implementa un processo di aggiornamento e di monitoraggio continuo delle vulnerabilità.

Perché questa vulnerabilità è diversa dalle altre

Un bypass dell’autenticazione sugli strumenti di amministrazione server è tra gli scenari più rischiosi perché elimina la principale barriera d’accesso. In ambienti di hosting condiviso, inoltre, un singolo punto debole può esporre numerosi siti, con effetti a catena su reputazione, SEO, email deliverability e continuità operativa.

Conclusioni

La combinazione tra ampia diffusione di cPanel/WHM e semplicità d’abuso di una falla di login bypass rende CVE-2026-41940 una minaccia prioritaria. Se gestisci un sito o un server che utilizza cPanel o WHM, considera l’aggiornamento e il rafforzamento dell’accesso come attività urgenti. I provider principali si stanno muovendo rapidamente, ma la responsabilità finale di verificare lo stato del proprio ambiente resta in capo a ciascun amministratore o titolare del servizio.