مهاجمان با بهره‌برداری از یک نقص امنیتی بحرانی در cPanel و WHM، موفق شده‌اند بدافزار Mirai را بر روی سرورهای آسیب‌پذیر مستقر کنند. این اقدام، تهدیدات مربوط به Botnetهای Mirai را که پیش‌تر عمدتاً با دستگاه‌های IoT مرتبط بودند، به زیرساخت‌های میزبانی وب گسترش داده است.
تحلیل فنی آسیب‌پذیری CVE-2026-41940
این نقص امنیتی که با شناسه CVE-2026-41940 شناخته می‌شود، یک آسیب‌پذیری از نوع Authentication Bypass است. این flaw به مهاجم اجازه می‌دهد بدون نیاز به احراز هویت، فرآیند ورود به سیستم‌های cPanel و WHM را دور زده و دسترسی مدیریتی (Administrative Access) به دست آورد. با این سطح از دسترسی، نفوذگر می‌تواند تنظیمات سیستم را تغییر داده، فایل‌های مخرب را آپلود کند و از سرور مذکور برای حمله به سایر سیستم‌ها استفاده نماید.
الگوی حمله و شناسایی
تحلیلگران JPCERT/CC در اوایل ماه می، افزایش شدید ترافیک مشکوک در پورت 23 (Telnet) را مشاهده کردند. بررسی‌ها نشان داد که بسیاری از آدرس‌های مبدأ متعلق به ارائه‌دهندگان خدمات میزبانی (Hosting Providers) هستند که رابط‌های مدیریتی cPanel آن‌ها در معرض اینترنت قرار داشت. اگرچه این ترافیک مستقیماً مسیر عفونت را اثبات نمی‌کند، اما شواهد نشان می‌دهد که این فعالیت‌ها با گونه‌های مختلف بدافزار Mirai مرتبط است.
تاثیرات عملیاتی و گسترش Botnet
در این کمپین، مهاجمان به جای سرقت ساده داده‌ها، از سرورهای میزبانی وب به عنوان یک نقطه اتکا (Foothold) عملیاتی استفاده می‌کنند. کدهای مشتق شده از Mirai از این طریق می‌توانند:
- سرویس‌های در معرض دید را برای شناسایی (Probe) بررسی کنند.
- از طریق اهداف جدید، در شبکه گسترش یابند.
- ترافیک لازم برای حملات Denial-of-Service (DoS) را تامین کنند.
بیشترین حجم ترافیک شناسایی شده مربوط به ایالات متحده بوده و افزایش‌های مشابهی در آلمان، فرانسه، کانادا و ژاپن مشاهده شده است که نشان‌دهنده ماهیت جهانی این حملات است.
توصیه‌های امنیتی برای مدیران SOC و مهندسین زیرساخت
برای مقابله با این تهدید، اقدامات زیر ضروری است:
- Patching: نصب فوری به‌روزرسانی‌های امنیتی ارائه شده توسط vendor برای رفع CVE-2026-41940.
- Access Control: محدود کردن دسترسی‌های مدیریتی از راه دور تنها به شبکه‌های مورد اعتماد.
- Service Hardening: غیرفعال کردن پروتکل قدیمی Telnet در صورتی که ضروری نباشد.
- Monitoring: بررسی دقیق Logهای سیستم و cPanel برای شناسایی نشست‌های مدیریتی (Administrative Sessions) غیرمنتظره یا تغییرات در پیکربندی.
- Traffic Analysis: بازبینی اتصالات شبکه خروجی (Outbound Connections) برای شناسایی هرگونه فعالیت غیرعادی که نشان‌دهنده تبدیل سرور به یک Node در Botnet باشد.
