گزارش‌های اخیر نشان می‌دهد که مهاجمان با بهره‌برداری از یک آسیب‌پذیری بحرانی در لایه مدیریت نشست (Session Management) در cPanel و WHM، موفق به نفوذ به سرورهای میزبانی متصل به اینترنت شده‌اند. این کمپین حمله با افزایش شدید ترافیک اسکنینگ مشابه بدافزار Mirai، به‌ویژه در سرویس‌های Telnet، شناسایی شده است.
تحلیل فنی آسیب‌پذیری CVE-2026-41940
این آسیب‌پذیری که با شناسه CVE-2026-41940 و امتیاز CVSS 9.8 شناخته می‌شود، به مهاجم اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، به محیط‌های کنترل‌پنل دسترسی پیدا کند. ریشه این مشکل در نقص اعتبارسنجی ورودی‌ها (Input Sanitization) در مسیر Basic Authentication قرار دارد که باعث می‌شود درخواست‌های دست‌کاری شده، به عنوان نشست‌های احراز شده شناسایی شوند.
تغییر استراتژی در اکوسیستم Mirai
به طور سنتی، بات‌نت Mirai بر روی دستگاه‌های IoT مانند دوربین‌ها و روترها با رمزهای عبور پیش‌فرض تمرکز داشت. اما در این کمپین، مهاجمان به سمت سرورهای میزبانی تغییر مسیر داده‌اند. دلایل این تغییر عبارتند از:
- پهنای باند بالاتر: سرورهای میزبانی ظرفیت بسیار بیشتری نسبت به دستگاه‌های IoT دارند.
- پایداری اتصال: دسترسی به زیرساخت‌های دیتاسنتر، اتصال پایدارتری را برای حملات فراهم می‌کند.
- دسترسی به داده‌ها: نفوذ به یک سرور cPanel می‌تواند منجر به افشای دیتابیس‌ها، ایمیل‌ها، فایل‌های پشتیبان و اعتبارنامه‌های مشتریان شود.
مسیرهای پس از نفوذ (Post-Exploitation)
تحلیل‌ها نشان می‌دهد که مهاجمان پس از نفوذ، دو مسیر اصلی را دنبال کرده‌اند:
- استقرار بدافزار: نصب نسخه‌های جدید خانواده Mirai برای تبدیل سرور به بخشی از بات‌نت.
- باج‌افزار: رمزگذاری فایل‌ها و تغییر پسوند آن‌ها به .sorry.
توصیه‌های امنیتی و اقدامات اصلاحی
مدیران سیستم و تیم‌های SOC باید فوراً اقدامات زیر را انجام دهند:
- به‌روزرسانی سریع: ارتقای cPanel و WHM به نسخه‌های اصلاح شده (مانند 11.136.0.5 و نسخه‌های مشابه).
- محدود کردن دسترسی: مسدود کردن پورت‌های مدیریتی (2082, 2083, 2086, 2087, 2095, 2096) و محدود کردن آن‌ها تنها به VPN یا Allowlistهای مشخص.
- شکار تهدید (Threat Hunting): بررسی سرورها برای یافتن فایل‌های Session غیرعادی، ایجاد حساب‌های کاربری ناشناخته، تغییر در Cron Jobs و ترافیک خروجی مشکوک روی پورت 23 (Telnet).
