KnowSafe 安全预警：cPanel & WHM 会话管理权限绕过漏洞（CVE-2026-41940）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-41940 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

cPanel & WHM 是一款广泛使用的 Web 主机控制面板软件，WHM 提供 root 权限级的服务器管理功能，cPanel 为终端用户提供主机账户管理界面。2026年4月，官方安全更新披露其会话管理层存在权限绕过漏洞（CWE-306）。该漏洞源于两条独立的代码路径将会话数据写入磁盘会话文件，其中 Basic 认证处理所调用的路径缺少输入清洗步骤，远程且无需权限的攻击者可通过构造特殊请求向会话数据注入认证相关字段，使未认证的会话被当作已认证会话处理，无需有效凭据即可获得管理面板的 root 级访问权限，导致服务器失陷。该漏洞已确认存在在野利用。

受影响版本：cPanel & WHM 11.40 之后的所有版本（各分支修复版本为 11.86.0.41、11.94.0.28、11.102.0.39、11.110.0.97、11.118.0.63、11.124.0.35、11.126.0.54、11.130.0.19、11.132.0.29、11.134.0.20、11.136.0.5），以及 WP Squared 11.136.1.6 及以下版本。

影响范围

应用：cpanel cpanel（影响面 Up to (excluding) 86.0.41）

应用：cpanel cpanel（影响面 Up to (excluding) 118.0.63）

应用：cpanel cpanel（影响面 Up to (excluding) 126.0.54）

应用：cpanel cpanel（影响面 Up to (excluding) 130.0.19）

应用：cpanel cpanel（影响面 Up to (excluding) 132.0.29）

应用：cpanel cpanel（影响面 Up to (excluding) 134.0.20）

应用：cpanel cpanel（影响面 Up to (excluding) 136.0.5）

应用：cpanel cpanel（影响面 Up to (excluding) 110.0.97）

……另有 9 项受影响环境，详见官方公告

解决方案

1、升级至安全版本：cPanel & WHM 升级至 11.86.0.41、11.94.0.28、11.102.0.39、11.110.0.97、11.118.0.63、11.124.0.35、11.126.0.54、11.130.0.19、11.132.0.29、11.134.0.20、11.136.0.5 及以上对应分支版本；WP Squared 升级至 136.1.7 及以上版本。

2、利用安全组设置其仅对可信地址开放。