Kritische cPanel-Lücke CVE-2026-41940: Zwei Monate Zero-Day, 44.000 mutmaßlich kompromittierte Server – DACH-Lagebild bleibt trügerisch

Eine als kritisch eingestufte Authentifizierungs-Umgehung in der weltweit verbreiteten Hosting-Steuerungssoftware cPanel & WHM (CVE-2026-41940, CVSS 9.8) wurde nachweislich seit dem 23. Februar 2026 als Zero-Day ausgenutzt – rund zwei Monate, bevor der Hersteller WebPros am 28. April 2026 einen Patch veröffentlichte. Die Shadowserver Foundation beobachtete im Zusammenhang mit der Lücke rund 44.000 eindeutige IP-Adressen, die cPanel-/WHM-Instanzen scannten oder auszunutzen versuchten.

Was ist passiert

CVE-2026-41940 ist eine vorauthentifizierte Authentifizierungs-Umgehung im Login- und Session-Handling von cPanel & WHM. Ursache ist eine CRLF-Injection im Sitzungs-Schreibpfad des `cpsrvd`-Daemons: Angreifer können über manipulierte Basic-Auth-Header bzw. Cookies Zeilen in eine Session-Datei einschleusen (`user=root`, `hasroot=1`, `tfa_verified=1`) und sich so ohne gültige Zugangsdaten und ohne Zwei-Faktor-Authentifizierung eine Root-Administrator-Sitzung im Web Host Manager verschaffen.

Die Folge: vollständige Kontrolle über den betroffenen Hosting-Server inklusive aller darauf liegenden Kundenwebsites, Datenbanken, Mailkonten, DNS- und SSL-Konfigurationen. Auf typischen Shared-Hosting-Servern hängen pro Maschine zwischen 50 und 500 Kunden – ein einzelner kompromittierter Server entspricht damit potenziell hunderten kompromittierten Webauftritten.

Wer hat die Schwachstelle entdeckt – und wann

Die Schwachstelle wurde nach Berichten von webhosting.today rund zwei Wochen vor dem 28. April 2026 an cPanel gemeldet; die initiale Reaktion des Herstellers soll abwehrend gewesen sein. Der ursprüngliche technische Befund und der öffentliche Proof-of-Concept stammen von Sina Kheirkhah von watchTowr Labs, veröffentlicht am 29. April 2026 unter dem Titel "The Internet Is Falling Down".

Aktive Ausnutzung im Wild wurde erstmals vom Hosting-Provider KnownHost rückwirkend auf den 23. Februar 2026 datiert – damit war die Lücke rund 64 Tage Zero-Day, bevor ein Patch existierte.

Wie kommen die Angreifer rein

In wenigen unauthentifizierten HTTP-Anfragen an Port 2087 (WHM) bzw. 2083 (cPanel):

1. Erzwungene Erstellung einer Pre-Auth-Session-Datei durch fehlgeschlagenen Login. 2. CRLF-Injection in das Feld `pass=` über den Basic-Auth-Header. 3. Trigger eines Encryption-Skips über ein malformed Cookie. 4. "Promotion" der manipulierten Session in eine vollwertige Root-Sitzung über einen Session-Cache-Quirk.

Ab Schritt 4 ist die volle WHM-API zugänglich – RCE als Root ist über reguläre WHM-Funktionen (Custom Hooks, Paketverwaltung, PHP-FPM-Konfiguration) trivial.

Schadensbild

• 44.000 unique IPs wurden von Shadowserver-Honeypots beim Scannen, Exploiten oder Brute-Forcen beobachtet.
• rund 1,5 Millionen cPanel-Instanzen sind nach aktuellen Industrie-Schätzungen (Rapid7) global im Internet exponiert.
• CISA hat die Schwachstelle am 30. April 2026 in den Known-Exploited-Vulnerabilities-Katalog aufgenommen.

Tätergruppe und Lösegeldforderungen: Stand 2. Mai 2026 ist keine bestimmte Gruppe öffentlich attribuiert (Bitsight Threat Intelligence: "no confirmed APT association"). CISA klassifiziert eine Verwendung in Ransomware-Kampagnen mit "Unknown". Konkrete Bitcoin-Forderungen wurden bislang öffentlich nicht dokumentiert; der Schadensschwerpunkt liegt nach derzeitiger Quellenlage auf Backdoor-Persistenz, Credential-Diebstahl, Mass-Mailing-Missbrauch und Defacement einzelner gehosteter Sites – nicht auf koordinierter Verschlüsselung.

Am 1. Mai 2026 wurde zudem ein bewaffnetes Exploit-Framework namens "cPanelSniper" öffentlich, was breite, automatisierte Folge-Ausnutzung wahrscheinlich macht.

Zeitlinie

• ~23.02.2026 – Erste beobachtete Ausnutzung in the wild (KnownHost)
• ~14.04.2026 – Vertrauliche Meldung an cPanel
• 28.04.2026 – Sicherheitsupdate von WebPros/cPanel
• 29.04.2026 – Öffentliche Disclosure + PoC durch watchTowr Labs
• 30.04.2026 – CISA KEV-Listing, Frist für US-Bundesbehörden: 03.05.2026
• 01.05.2026 – Veröffentlichung "cPanelSniper"

Was Betroffene jetzt tun sollten

1. Sofort patchen auf die fixe Build-Version (cPanel & WHM 11.110.0.97 / 11.118.0.63 / 11.126.0.54 / 11.132.0.29 / 11.134.0.20 / 11.136.0.5; WP Squared 136.1.7). Verifikation via `/usr/local/cpanel/cpanel -V`. 2. Falls Patch nicht sofort möglich: Inbound-Traffic auf den Ports 2082, 2083, 2086, 2087, 2095, 2096 am Perimeter blockieren und `cpsrvd`/`cpdavd` stoppen. 3. Forensik im Kompromittierungs-Fenster (23.02. – Patchdatum): `/var/cpanel/sessions/raw/` auf Pre-Auth-Sessions mit eingebetteten `\r`/`\n`-Bytes oder verdächtigen Schlüsseln (`user=root`, `hasroot=1`, `tfa_verified=1`) prüfen. cPanel stellt ein offizielles IoC-Detection-Skript bereit. 4. Logs prüfen: 401-Antworten auf `/login/?login_only=1`, gefolgt von Basic-Auth-Anfragen auf andere URLs aus derselben Quell-IP. 5. Credentials rotieren: cPanel-, FTP-, MySQL-, Mail- und CMS-Passwörter (WordPress, Joomla etc.). Bei zwei Monaten Zero-Day ist Credential-Exfiltration realistisch. 6. WHM auditieren: unerwartete User-Accounts, SSH-Keys, Cron-Jobs; Modifikationen an `/etc/`, `/usr/local/cpanel/`, `~/.bashrc`, `authorized_keys`. 7. Hosting-Provider schriftlich nach Patch-Status, Build-Version und IoC-Prüfung fragen. Vage Antworten sind ein Warnsignal.

Strategische Absicherung

• Management-Ports (2083/2087) niemals offen ins Internet exponieren – stattdessen IP-Allowlists, VPN oder Zero-Trust-Gateway.
• Zwei-Faktor-Authentifizierung in WHM und cPanel verpflichtend aktivieren (auch wenn 2FA diese spezifische Lücke nicht verhindert hätte).
• Kontinuierliches externes Asset-/Versions-Monitoring (Shodan, Censys, eigene Scans) statt einmaliger Inventur.
• Backup-Strategie mit getesteten Restores und Offline-/Immutable-Kopien.
• Vendor-Diversifikation auf der Hosting-Control-Plane prüfen – cPanel ist der klare Marktführer bei Webhosting-Control-Panels; das ist ein konzentriertes Risiko.

Ernüchternde Lage im DACH-Raum

Eigene internet-weite Erhebungen zur Exposition von cPanel-Steuerinstanzen (Stichtag 2. Mai 2026) zeigen für den DACH-Raum folgendes Bild:

Innerhalb dieser Population identifizieren wir auf drei der sechs vom Hersteller als verwundbar bezeichneten Build-Linien (11.132, 11.134, 11.136) rund 100 Instanzen im DACH-Raum, die nach wie vor mit ungepatchtem Build-Banner antworten – mehrheitlich in Deutschland (rund 92), wenige in der Schweiz (rund 6), in Österreich auf diesen drei Linien aktuell keine. Hochgerechnet auf alle sechs betroffenen Build-Linien (11.110 bis 11.136) sowie unter Berücksichtigung von Servern, die ihren Server-Header ausblenden oder hinter Reverse Proxies und CDNs liegen, ist von einer deutlich höheren tatsächlichen Verwundbarkeit auszugehen.

Die scheinbar gute Nachricht für Österreich ist mit Vorsicht zu lesen: Die niedrige Zahl direkt exponierter cPanel-Instanzen bedeutet nicht, dass österreichische Hosting-Kunden ungefährdet sind. Ein erheblicher Teil des österreichischen Webhosting-Marktes wird über Provider mit Infrastruktur in Deutschland abgewickelt – und dort steht mit 1.271 sichtbaren Instanzen die mit Abstand größte verwundbare Angriffsfläche im deutschsprachigen Raum.

In Summe stehen im DACH-Raum mindestens rund 2.000 öffentlich identifizierbare cPanel-Hosting-Steuerungs-Instanzen in einer Bedrohungslage, in der seit fünf Tagen ein Patch verfügbar ist, ein bewaffnetes Exploit-Framework kursiert und seit über zwei Monaten aktive Ausnutzung dokumentiert ist. Bei einem typischen Belegungsfaktor von 50 bis 500 Kunden pro Server entspricht das einer Endkunden-Reichweite im sechsstelligen Bereich.

Update – Gesamtexposition der cPanel-/WHM-Ports im DACH-Raum (Shodan, Stand 2. Mai 2026)

Über die per Banner als cPanel identifizierten Instanzen hinaus liefert die reine Exposition der Management-Ports eine Obergrenze der tatsächlichen Angriffsfläche. Eine Shodan-Abfrage auf die beiden relevanten Ports (`2083` für cPanel-User-Login, `2087` für WHM-Root) ergibt folgendes Bild:

Zwei Erkenntnisse: (1) Die tatsächlich adressierbare Population von cPanel-/WHM-Endpunkten im DACH-Raum ist rund zwei Größenordnungen größer als die per Banner sauber fingerprinteten Instanzen – viele Server blenden ihren Server-Header aus, stehen hinter Reverse Proxies oder geben sich nicht als cPanel zu erkennen. (2) Allein Deutschland exponiert mehr als 72.000 WHM-Admin-Ports öffentlich – das ist das dominierende systemische Risiko auch für österreichische und Schweizer Hosting-Kunden, deren Provider deutsche Infrastruktur betreiben.