Хакери се възползват от критична уязвимост в cPanel и WHM, за да инсталират зловреден код Mirai върху открити сървъри, разширявайки заплахата от ботнет, която обикновено се свързва със свързани устройства.
Тази активност предизвика рязък скок в съмнителния трафик по протокола Telnet и разкри по-широк проблем със сигурността в интернет. Използването му директно срещу сървъри поражда безпокойство сред организации, които може да не свързват конвенционалната хостинг инфраструктура с ботнет операции, управлявани от Mirai.
Проблемът, регистриран като CVE-2026-41940, позволява на неудостоверен атакуващ да заобиколи процеса на вход в уязвими системи cPanel и WHM. С администраторски достъп злонамереният субект може да променя настройки, да добавя зловредни файлове и да атакува други системи.
Кампанията показва защо мениджмънт интерфейсите без инсталирани корекции за сигурност остават предпочитана цел. Анализатори от JPCERT/CC идентифицираха внезапно увеличение на пакети от тип Mirai, насочени към TCP порт 23 в началото на май.
Скокът започна на 30 април и след това постепенно намаля, но свърза компрометираната хостинг инфраструктура с ботнет екосистемата.
Много от наблюдаваните изходящи IP адреси принадлежаха на хостинг доставчици, а изследователите откриха административни интерфейси на cPanel при посещение на тези адреси.
От JPCERT/CC заявиха в доклад, споделен с Cyber Security News (CSN), че самото наблюдение не може да докаже пълния път на инфекцията. Въпреки това отделни доклади показват, че експлоатацията най-вероятно е свързана с Mirai или негови разновидности.
Хакери експлоатират заобикаляне на автентикацията CVE-2026-41940 в cPanel
CVE-2026-41940 е сериозна уязвимост за заобикаляне на автентикацията, засягаща базирани на cPanel и WHM среди. Тя осигурява достъп до административни функции без валиден профил, създавайки път към пълно компрометиране на системата.
Предишни информации за активна експлоатация на zero-day уязвимост в cPanel детайлизираха как слабостта е била използвана, преди организациите да имат време да приложат извънредни корекции за сигурност.
След като влязат в системата, киберпрестъпниците могат да превърнат уеб хостинг сървъра в оперативна опорна точка, вместо просто да откраднат хостваните данни.
Код, derived от Mirai, може да използва тази опорна точка за сканиране на открити услуги, разпространение към допълнителни цели или осигуряване на трафик за атаки за отказ на услуга (DoS). Това разширява въздействието отвъд един компрометиран контролен панел, особено когато доставчиците управляват множество сайтове.
Наблюдаваният трафик е бил фокусиран върху порт 23, използван обикновено от Telnet — остарял протокол за отдалечен достъп, който не трябва да бъде публично достъпен.
Фамилиите от семействата на Mirai многократно са злоупотребявали със слаби пароли и достъпни отдалечени услуги; еволюиращата заплаха от ботнета Mirai показва защо атакуващите търсят бързи начини да добавят нови среди към своите мрежи.
Активността може да е включвала инфекции с Mirai, експлоатиращи CVE-2026-41940. Организацията отбеляза и доклади за други щети, несвързани с Mirai, което показва, че заобикалянето на автентикацията позволява и други видове злоупотреба.
Световни сигнали и защитни стъпки
Съединените щати представляват най-големия дял от изходящия трафик. Рязко увеличение се появи около 1 май и в Германия, Франция и Канада.
Променящите се регионални модели показват, че инфекциите са били разпределени в целия интернет, а не ограничени до една страна, доставчик или клъстер от сървъри.
Япония отрази същата тенденция. Трафикът от тип Mirai от японски IP адреси, насочен към порт 23, се увеличи приблизително 15 пъти спрямо нивата преди скока.
В пиковия си момент много от пакетите са идвали от адреси, заделени за няколко хостинг доставчика. Анализът на кампанията за превземане на сървъри предоставя полезен контекст за риска, създаден от открити инсталации на cPanel и WHM.
За защитниците първият приоритет е да инсталират наличните корекции за сигурност от производителя за CVE-2026-41940 на всеки засегнат сървър и да потвърдят, че нито една остаряла версия не остава достъпна.
Администраторите трябва също да ограничат отдалеченото администриране само до доверени мрежи, да изключат Telnet там, където не е от съществено значение, и да заменят слабите или повторно използвани пароли със силни и уникални идентификационни данни.
Организациите, които се съмняват, че са компрометирани, трябва да проверят активните процеси и изходящите мрежови връзки, за да се уверят, че всяка услуга има ясна оперативна цел.
Те трябва също така да прегледат логовете на cPanel и системните дневници за неочаквани административни сесии, нови профили, промени в конфигурацията или необясними файлове.
Новите разкрития за уязвимостта в cPanel потвърждават необходимостта хостинг панелите да се третират като критично важни среди, изискващи редовно инсталиране на корекции за сигурност и мониторинг. Инцидентът напомня, че Mirai не се ограничава само до камери, рутери и други устройства от Интернет на нещата (IoT).
Компрометираният сървър може да се превърне в поредния ботнет възел, излагайки оператора и неговите клиенти на прекъсвания и последващи злоупотреби. Бързото отстраняване на уязвимостта, ограниченият отдалечен достъп и непрекъснатият преглед на необичаен трафик остават най-практичните мерки за защита.
Съкратете всяко разследване на аларма в SOC с 21 минути. Осигурете незабавен контекст за IOC за бърза реакция: Интегрирайте TI Lookup във вашия SOC