Fallo crítico en cPanel explotado desde 44.000 IP

El 28 de abril de 2026, cPanel publicó una actualización de seguridad de emergencia para CVE-2026-41940, una vulnerabilidad crítica de omisión de autenticación que afecta a cPanel & WHM. Con una puntuación CVSS de 9,8, el fallo permite a atacantes remotos no autenticados obtener acceso administrativo de nivel root a la interfaz de Web Host Manager (WHM) mediante una inyección CRLF combinada con una condición de carrera en los archivos de sesión. Se calcula que cPanel da servicio a más de 70 millones de dominios en todo el mundo, por lo que el radio de impacto de esta vulnerabilidad se sitúa entre los mayores de la historia de la infraestructura de hosting.

Se ha confirmado explotación activa ya desde el 23 de febrero de 2026, más de dos meses antes del parche oficial. Cuando se publicó el aviso de seguridad, The Shadowserver Foundation ya había detectado 44.000 direcciones IP únicas que buscaban, sondeaban o explotaban activamente instalaciones vulnerables de cPanel. Un framework público de prueba de concepto denominado "cPanelSniper" aceleró la conversión del fallo en un arma, ya que permitía el escaneo masivo automatizado, el despliegue de puertas traseras y la instalación de ransomware en entornos de hosting compartido.

Qué ha ocurrido

La vulnerabilidad reside en cpsrvd, el daemon de servicio de cPanel responsable del inicio de sesión y de la gestión de sesiones. En concreto, la forma en que el módulo Session.pm procesa las cabeceras HTTP Authorization es vulnerable a la inyección de retorno de carro y salto de línea (CRLF). Un atacante puede inyectar pares clave-valor arbitrarios, como user=root, hasroot=1 y tfa_verified=1, directamente en el almacén de sesiones del servidor.

Un segundo fallo agrava el primero: cPanel almacena los datos de sesión tanto en un archivo de texto sin procesar como en una caché JSON, y una condición de carrera entre ambas escrituras permite que los datos inyectados por el atacante persistan y que la capa de autenticación los considere fiables. Al manipular la cookie whostmgrsession para que apunte al archivo de sesión envenenado, el atacante elude todas las comprobaciones de autenticación, incluida la autenticación de dos factores, y obtiene una sesión root totalmente autenticada. No se requieren credenciales válidas, acceso previo ni interacción del usuario.

cPanel publicó los parches el 28 de abril de 2026 para todas las versiones con soporte posteriores a la 11.40. La CISA añadió CVE-2026-41940 a su catálogo KEV (Known Exploited Vulnerabilities), lo que obliga a las agencias federales a corregirla dentro del plazo establecido.

Qué datos se sustrajeron

Comprometer un servidor otorgaba un control administrativo total, de modo que todo lo alojado en la máquina quedaba al alcance del atacante. Los equipos de respuesta a incidentes que investigan brechas de seguridad vinculadas a CVE-2026-41940 han informado de la exfiltración de:

• Bases de datos y código fuente de sitios web

  Los atacantes volcaron bases de datos MySQL y PostgreSQL con registros de clientes, credenciales, información de pago y datos de aplicaciones críticas para el negocio de todas las cuentas alojadas en los servidores comprometidos.

• Archivos de correo electrónico y credenciales

  Los atacantes se hicieron con el contenido íntegro de los buzones, credenciales SMTP y libretas de direcciones. El origen de varias campañas de phishing confirmadas se ha atribuido a credenciales robadas mediante esta vulnerabilidad.

• Claves privadas SSL/TLS

  Se extrajeron las claves privadas de los certificados almacenadas en los servidores comprometidos, lo que permite ataques de intermediario (man-in-the-middle) contra los dominios que aún no han revocado y reemitido sus certificados.

• Credenciales del servidor y claves de API

  Las claves SSH de root, los tokens de API de proveedores de nube, las credenciales de gestión de DNS y el acceso a los sistemas de copia de seguridad quedaban al alcance del atacante en cuanto obtenía acceso root a WHM.

En los entornos de hosting compartido, un solo servidor comprometido suele alojar desde cientos hasta miles de sitios web y cuentas independientes. Todas las cuentas de un servidor afectado deben considerarse totalmente comprometidas, con independencia de las prácticas de seguridad de cada cuenta.

Cómo se desarrollan ataques como este

La cadena de ataque comienza con una fase de reconocimiento. Los atacantes buscan servidores que expongan WHM en el puerto 2087 o cPanel en el puerto 2083. La identificación del servicio (fingerprinting) confirma que el objetivo ejecuta una versión vulnerable de cPanel. El framework cPanelSniper automatiza toda esta fase y procesa miles de objetivos por hora.

Una vez identificado el objetivo, el atacante envía una solicitud HTTP manipulada al endpoint de inicio de sesión de WHM. La solicitud incluye una cabecera Authorization maliciosa con secuencias CRLF que inyectan atributos de sesión en el archivo de sesión del servidor. Los atributos inyectados conceden autenticación de nivel root. A continuación, el atacante envía una segunda solicitud con una cookie whostmgrsession que apunta a la sesión envenenada. El servidor valida la sesión, encuentra las credenciales root inyectadas y devuelve una interfaz de WHM totalmente autenticada.

Lo que ocurre tras la explotación depende de la motivación del atacante. Los operadores de ransomware cifran todos los datos alojados y exigen un pago por servidor o por cuenta. Los actores de amenazas motivados por el espionaje establecen puertas traseras persistentes mediante tareas cron, binarios del sistema modificados o webshells instaladas en las cuentas alojadas. Las campañas de cryptojacking despliegan software de minería que aprovecha los recursos de cómputo del servidor. En varios casos confirmados, los atacantes encadenaron el acceso con el endpoint de metadatos del proveedor de nube del servidor para desplazarse lateralmente hacia la infraestructura más amplia del proveedor de hosting.

Por qué debe importar a los directivos

cPanel es el panel de control de hosting web dominante: se calcula que gestiona unos 70 millones de dominios en cientos de miles de servidores de todo el mundo. A diferencia de las vulnerabilidades en aplicaciones concretas, que afectan a un único sitio, comprometer cPanel afecta a todos los sitios web, bases de datos, cuentas de correo electrónico y servicios alojados en ese servidor. Para los proveedores de hosting, un solo servidor sin parchear puede provocar la brecha de seguridad simultánea de todos los clientes alojados en esa máquina.

La ventana de explotación de día cero de dos meses, desde finales de febrero hasta finales de abril de 2026, implica que los servidores parcheados el mismo día de la divulgación podrían haberse visto comprometidos con anterioridad. Aplicar el parche no basta sin una investigación forense paralela que determine si se accedió al servidor durante el periodo anterior al parche. Las organizaciones que dependen de proveedores de hosting externos no pueden dar por hecho que su proveedor aplicó el parche con rapidez ni que investigó un posible compromiso previo.

La dimensión del ransomware añade una presión financiera directa. Los atacantes exigen rescates por servidor y, en los escenarios de hosting compartido, entre las víctimas hay empresas que no tienen relación directa con la infraestructura de hosting ni visibilidad sobre el estado de los parches del servidor subyacente. La exposición regulatoria derivada del RGPD, PCI DSS y los marcos específicos de cada sector es considerable cuando los datos de clientes almacenados en servidores comprometidos incluyen información de identificación personal, credenciales de pago o historiales médicos.

Qué hacer ahora

1. Aplique el parche de emergencia de inmediato

   Actualice todas las instalaciones de cPanel & WHM a la última versión con el parche, publicada el 28 de abril de 2026. Compruebe que la actualización se ha aplicado correctamente consultando la cadena de versión de cPanel en WHM. Si las actualizaciones automáticas estaban desactivadas o se retrasaron, trate el servidor como potencialmente comprometido e inicie una investigación forense.

2. Investigue si hubo un compromiso previo

   Aplicar el parche no corrige un compromiso ya existente. Audite el directorio /var/cpanel/sessions/raw en busca de archivos de sesión que contengan atributos inyectados, como hasroot=1 o tfa_verified=1, procedentes de orígenes no reconocidos. Revise los registros de acceso de WHM en busca de eventos de autenticación desde direcciones IP inesperadas. Compruebe si existen cuentas de cPanel creadas recientemente, tareas cron modificadas, claves SSH autorizadas desconocidas y webshells en todas las cuentas alojadas.

3. Restrinja la exposición de los puertos de administración

   Bloquee en el firewall de red el tráfico entrante desde internet hacia los puertos 2083, 2087, 2095 y 2096. Exija una VPN o una lista de IP permitidas para todo acceso administrativo a las interfaces de WHM y cPanel. Esta única medida elimina por completo el vector de ataque remoto.

4. Rote todas las credenciales

   Dé por comprometidas todas las credenciales almacenadas en el servidor o accesibles a través de él. Rote las contraseñas de root, las contraseñas de las cuentas de cPanel, las credenciales de bases de datos, las contraseñas de correo electrónico, las claves SSH, los certificados SSL/TLS, los tokens de API y cualquier credencial de servicios de terceros configurada en el servidor. Pida a los clientes alojados que roten sus propias credenciales a nivel de aplicación.

5. Realice una evaluación de seguridad completa

   Recurra a un equipo de pruebas de penetración para validar que el parche se aplicó correctamente, que no quedan puertas traseras persistentes y que la configuración del servidor no expone superficies de ataque adicionales. Para las organizaciones que alojan datos sensibles, se recomienda una revisión de código de seguridad de las aplicaciones personalizadas desplegadas en el servidor, con el fin de detectar si queda código implantado por los atacantes en el código fuente de las aplicaciones.

Preguntas clave

• ¿Se vio comprometido mi servidor antes de que se publicara el parche?

  Si su servidor ejecutaba una versión sin parchear de cPanel & WHM con los puertos 2083 o 2087 expuestos a internet en algún momento entre el 23 de febrero y el 28 de abril de 2026, existe una probabilidad considerable de que se haya visto comprometido. Durante ese periodo se confirmó explotación activa. La única forma de determinar si se produjo un compromiso es una investigación forense de los archivos de sesión, los registros de acceso y la integridad del sistema.

• ¿Protege la autenticación de dos factores frente a esta vulnerabilidad?

  No. La inyección CRLF permite a los atacantes inyectar tfa_verified=1 directamente en el archivo de sesión, con lo que eluden por completo la autenticación de dos factores. La sesión queda marcada como si hubiera superado la verificación 2FA sin que esa verificación se haya producido nunca. No se trata de una debilidad de la 2FA en sí, sino de la capa de gestión de sesiones que la precede.

• Utilizo un proveedor de hosting. ¿Me afecta?

  Si su proveedor de hosting utiliza cPanel para gestionar su cuenta, podría verse afectado con independencia de sus propias prácticas de seguridad. Póngase en contacto directamente con su proveedor para confirmar si ha aplicado el parche y si ha realizado una investigación forense que cubra la ventana de explotación anterior al parche. Si el proveedor no puede confirmar ambas cosas, valore migrar las cargas de trabajo sensibles a una infraestructura que usted controle.

• ¿Se aplica el parche automáticamente en las instalaciones gestionadas de cPanel?

  Los servidores cPanel configurados con actualizaciones automáticas recibieron el parche poco después de su publicación el 28 de abril. Sin embargo, muchos servidores de producción desactivan intencionadamente las actualizaciones automáticas para mantener la estabilidad, y en ellos es necesaria una intervención manual. Compruebe su configuración de actualizaciones y la versión actual a través de la interfaz "Upgrade to Latest Version" de WHM.

Conclusiones clave

La vulnerabilidad CVE-2026-41940 representa el peor escenario posible para la infraestructura de hosting compartido: permite el acceso root sin autenticación a la interfaz administrativa del panel de control de hosting más implantado del mundo y se explotó activamente como vulnerabilidad de día cero durante dos meses antes de que existiera un parche. La combinación de una explotación trivial, una enorme superficie de ataque y el despliegue confirmado de ransomware la convierte en una de las vulnerabilidades de infraestructura de hosting con mayores consecuencias de los últimos años.

Aplicar el parche es necesario, pero no suficiente. Toda organización que utilice cPanel debe verificar el estado de los parches, investigar si hubo un compromiso previo, rotar todas las credenciales y restringir la exposición de la interfaz de administración a redes de confianza. Las organizaciones que dependen de un hosting externo deben verificar directamente la respuesta de su proveedor. Suponer que "mi proveedor de hosting se encarga de la seguridad" no es una postura defendible cuando el propio panel de control del proveedor fue el vector de ataque.