‘Internet está cayendo’: la vulnerabilidad crítica de inyección CRLF de cPanel pone a millones de sitios web en riesgo de sufrir un compromiso total: se insta a los proveedores de alojamiento a aplicar el parche CVE-2026-41940 de inmediato

Nueva vulnerabilidad de gravedad crítica permite omitir la autenticación
La vulnerabilidad afecta a cPanel y WebHost Manager
Los atacantes pueden obtener privilegios completos de administrador raíz en cualquier servidor

Los investigadores de WatchTowr Labs han analizado un bypass de autenticación crítico en cPanel y Web Host Manager (WHM) que permite a atacantes remotos obtener acceso administrativo completo a los servidores de los que depende gran parte de Internet.

La vulnerabilidad, rastreada como CVE-2026-41940 y con una puntuación de gravedad casi máxima de 9,8, ha sido explotada en estado salvaje, según lo confirmado por KnownHost.

Se ha publicado un parche para la vulnerabilidad y se insta a los administradores a aplicarlo de inmediato.

El artículo continúa a continuación.

Para quienes no lo saben, cPanel es una capa de software que básicamente actúa como un panel de control de un sitio web. En lugar de usar código, cPanel es un botón que le permite actualizar algún texto o cargar un archivo a un sitio web. cPanel es donde se almacenan el diseño y los datos de su sitio web. WHM por otro lado es lo que gestiona cada sitio web a nivel de servidor.

La vulnerabilidad se debe principalmente a que un atacante falsifica una sesión autenticada sin requerir una contraseña. Esto le da al atacante acceso de nivel raíz a WHM y, por lo tanto, acceso a cada sitio web, base de datos y cuenta de usuario alojados en ese servidor en particular.

A partir de aquí, el atacante tiene muchas opciones. Pueden robar todos los datos de su sitio web y de usuario, cargar malware o borrar todo lo que hay en el servidor.

Como lo explica Watchtower Labs (en su formato característicamente extraño), el exploit se basa en que el atacante usa CRLF (avance de línea de retorno de carro) para inyectar una nueva línea de código en el libro de registro de cPanel que evita el cifrado de archivos de sesión y, por lo tanto, establece al atacante como administrador raíz, lo que le permite acceder a admin y acceder a admin. (Si desea un desglose más técnico, consulte el informe de watchTowr Labs).

El parche para la vulnerabilidad también agrega una nueva función de ‘desinfección’ que borra cualquier dato que envíe al servidor, evitando que ingresen nuevas líneas de código.

Para los administradores, cPanel recomienda actualizar a las siguientes versiones: