TIN CẢNH BÁO KHẨN CẤP

Lỗ hổng cPanel CVE-2026-41940 bị khai thác diện rộng để cài đặt Backdoor Filemanager

Các chuyên gia bảo mật vừa phát hiện nhóm tin tặc Mr_Rot13 đang tích cực khai thác lỗ hổng nghiêm trọng CVE-2026-41940 trên nền tảng quản trị máy chủ cPanel và WebHost Manager (WHM). Cuộc tấn công cho phép tin tặc vượt qua cơ chế xác thực, chiếm quyền điều khiển cao nhất và cài đặt mã độc thực thi từ xa.

Chi tiết về lỗ hổng và phương thức tấn công

Lỗ hổng CVE-2026-41940 ảnh hưởng trực tiếp đến giao diện cPanel và WHM, cho phép đối tượng tấn công bỏ qua các lớp bảo mật đăng nhập thông thường. Theo báo cáo từ QiAnXin XLab, hơn 2.000 địa chỉ IP nguồn trên toàn cầu đang tham gia vào các đợt tấn công tự động này.

Phạm vi ảnh hưởng:

Hệ thống cPanel/WHM chưa cập nhật bản vá trên cả nền tảng Linux, Windows và macOS.

Hành vi độc hại:

Khai thác tiền điện tử, cài đặt ransomware, thiết lập botnet và đánh cắp thông tin nhạy cảm.

Quy trình xâm nhập của Backdoor Filemanager

Chuỗi tấn công bắt đầu bằng một đoạn mã shell script sử dụng wget hoặc curl để tải về bộ lây nhiễm dựa trên ngôn ngữ Go. Sau khi xâm nhập, tin tặc thực hiện các bước sau:

Chèn mã khóa công khai SSH để duy trì quyền truy cập bền bỉ.
Triển khai PHP web shell nhằm quản lý tệp tin và thực thi lệnh từ xa.
Sử dụng JavaScript để tạo trang đăng nhập giả mạo, đánh cắp thông tin định danh và gửi về máy chủ điều khiển thông qua mã hóa ROT13.
Thu thập dữ liệu nhạy cảm như lịch sử bash, mật khẩu cơ sở dữ liệu và các bí danh ảo của cPanel.

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO QUẢN TRỊ VIÊN

Để bảo vệ hệ thống trước chiến dịch của Mr_Rot13, các tổ chức cần thực hiện ngay lập tức:

Cập nhật ngay lập tức: Kiểm tra và nâng cấp cPanel/WHM lên phiên bản mới nhất đã được vá lỗi.
Rà soát quyền truy cập: Kiểm tra tệp authorized_keys của SSH để tìm kiếm các khóa lạ.
Quét mã độc: Tìm kiếm các file web shell (đặc biệt là các file .php lạ) và các đoạn mã JavaScript khả nghi trên trang quản trị.
Đổi thông tin quản trị: Thực hiện thay đổi toàn bộ mật khẩu quản trị máy chủ và cơ sở dữ liệu sau khi đã làm sạch hệ thống.

Nguồn tham khảo: The Hacker News, QiAnXin XLab

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo khẩn cấp: Lỗ hổng cPanel (CVE-2026-41940) bị khai thác để cài đặt Backdoor