TIN CẢNH BÁO KHẨN CẤP

Khai thác tích cực lỗ hổng cPanel CVE-2026-41940 nhằm triển khai mã độc Filemanager

Sapo:

Lỗ hổng nghiêm trọng CVE-2026-41940 trên giao diện quản trị cPanel và WebHost Manager (WHM) đang trở thành mục tiêu tấn công hàng loạt. Nhóm tin tặc mang bí danh Mr_Rot13 đã lợi dụng lỗ hổng này để cài đặt Backdoor "Filemanager", cho phép chiếm quyền kiểm soát toàn diện máy chủ và đánh cắp dữ liệu người dùng.

Chi tiết về lỗ hổng và phạm vi ảnh hưởng

Theo báo cáo từ QiAnXin XLab, lỗ hổng CVE-2026-41940 cho phép kẻ tấn công vượt qua cơ chế xác thực (Authentication Bypass) để giành quyền truy cập mức cao vào hệ thống quản trị. Ngay sau khi công bố, các hệ thống giám sát đã ghi nhận hơn 2.000 địa chỉ IP nguồn tham gia vào các chiến dịch tấn công tự động.

Phân bố tấn công

Các cuộc tấn công chủ yếu xuất phát từ Đức, Hoa Kỳ, Brazil và Hà Lan. Mục tiêu hướng tới là các máy chủ web sử dụng cPanel chưa được cập nhật bản vá.

Hậu quả nghiêm trọng

Kẻ tấn công không chỉ cài backdoor mà còn thực hiện đào tiền ảo, phát tán mã độc tống tiền (ransomware) và đánh cắp thông tin xác thực SSH/Database.

Phân tích kỹ thuật chuỗi tấn công của Mr_Rot13

Nhóm tin tặc này sử dụng một kịch bản tấn công phức tạp bao gồm nhiều giai đoạn:

Giai đoạn 1: Sử dụng shell script tải mã độc thực thi viết bằng ngôn ngữ Go.
Giai đoạn 2: Chèn khóa SSH công khai vào hệ thống để duy trì quyền truy cập bền bỉ và thả một PHP web shell.
Giai đoạn 3: Tiêm mã JavaScript vào trang đăng nhập để đánh cắp thông tin người dùng (Siphoning) qua thuật toán mã hóa ROT13.
Giai đoạn 4: Triển khai backdoor đa nền tảng "Filemanager" có khả năng hoạt động trên cả Windows, Linux và macOS.

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO QUẢN TRỊ VIÊN

Cập nhật ngay lập tức: Kiểm tra và nâng cấp cPanel & WHM lên phiên bản mới nhất đã được vá lỗi CVE-2026-41940.
Rà soát File hệ thống: Kiểm tra các tệp lạ trong thư mục web, đặc biệt là các file .php mới xuất hiện hoặc các script có chứa chuỗi mã hóa ROT13.
Kiểm tra xác thực: Rà soát danh sách các khóa SSH (authorized_keys) và tài khoản quản trị để loại bỏ các truy cập trái phép.
Đổi mật khẩu: Thực hiện thay đổi toàn bộ mật khẩu quản trị cPanel, Database và tài khoản hệ thống ngay sau khi vá lỗi.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo: Lỗ hổng cPanel CVE-2026-41940 bị khai thác để cài đặt Backdoor Filemanager