Kerngegevens
- Leverancier
- Cpanel
- Soort software
- –
- Getroffen versies
- cPanel vanaf 11.40.0.0 tot 11.86.0.41, vanaf 11.88.0.0 tot 11.94.0.28, vanaf 11.96.0.0 tot 11.102.0.39, vanaf 11.104.0.0 tot 11.110.0.97, vanaf 11.112.0.0 tot 11.118.0.63, vanaf 11.120.0.0 tot 11.124.0.35, vanaf 11.126.0.0 tot 11.126.0.54, vanaf 11.128.0.0 tot 11.130.0.19, vanaf 11.132.0.0 tot 11.132.0.29, vanaf 11.134.0.0 tot 11.134.0.20, vanaf 11.136.0.0 tot 11.136.0.5
- WHM vanaf 11.40.0.0 tot 11.86.0.41, vanaf 11.88.0.0 tot 11.94.0.28, vanaf 11.96.0.0 tot 11.102.0.39, vanaf 11.104.0.0 tot 11.110.0.97, vanaf 11.112.0.0 tot 11.118.0.63, vanaf 11.120.0.0 tot 11.124.0.35, vanaf 11.126.0.0 tot 11.126.0.54, vanaf 11.128.0.0 tot 11.130.0.19, vanaf 11.132.0.0 tot 11.132.0.29, vanaf 11.134.0.0 tot 11.134.0.20, vanaf 11.136.0.0 tot 11.136.0.5
- WP Squared tot 11.136.1.7
- Oplossing
- Update beschikbaar
- Opgeloste versie
- cPanel en WHM 11.86.0.41, 11.94.0.28, 11.102.0.39, 11.110.0.97, 11.118.0.63, 11.124.0.35, 11.126.0.54, 11.130.0.19, 11.132.0.29, 11.134.0.20 of 11.136.0.5
- WP Squared 11.136.1.7
- CVE gepubliceerd
- 29 april 2026
- Op de KEV-lijst sinds
- 30 april 2026
- Gepubliceerd op LekkenRadar
- 26 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In het inlogproces van cPanel en WHM zit een fout waardoor een aanvaller zonder account toegang kan krijgen tot het beheerpaneel. De aanvaller hoeft daarvoor alleen het netwerk te bereiken, een gebruiker hoeft niets te doen. Het lek staat sinds april 2026 op de lijst van actief misbruikte lekken van CISA. Er is een publiek exploit beschikbaar en het lek wordt in verband gebracht met ransomware-aanvallen.
Wie loopt risico?
Je loopt risico als je cPanel, WHM of WP Squared gebruikt in een versie die nog niet is bijgewerkt, bijvoorbeeld als hostingprovider of als beheerder van een eigen server. Vooral servers waarvan de beheerpoorten via internet bereikbaar zijn, zijn kwetsbaar. Tweestapsverificatie beschermt niet tegen dit lek. Volgens berichten begon het misbruik al eind februari 2026, ongeveer twee maanden voor de patch, dus ook wie inmiddels heeft bijgewerkt moet controleren of de server niet al is overgenomen.
Wat moet je doen?
Controleer je versie
Voer /usr/local/cpanel/cpanel -V uit en vergelijk de versie met de opgeloste versies voor jouw reeks.
Werk direct bij
Draai /scripts/upcp –force om bij te werken naar de opgeloste versie in je reeks en herstart daarna cpsrvd met /scripts/restartsrv_cpsrvd –hard. Voor WP Squared is 11.136.1.7 de opgeloste versie. Servers op een vastgezette of verouderde versie moeten naar een ondersteunde reeks.
Blokkeer de beheerpoorten als je niet direct kunt bijwerken
Blokkeer de poorten 2082, 2083, 2086, 2087, 2095, 2096, 2077 en 2078 vanaf internet. Tweestapsverificatie houdt deze aanval niet tegen.
Controleer op misbruik
Draai het detectiescript ioc_checksessions_files.sh van cPanel. Kijk daarnaast naar onbekende logins, nieuwe WHM-, FTP- of e-mailaccounts, onbekende SSH-sleutels, cronjobs en WHM-hooks.
Wijzig wachtwoorden
Wijzig de wachtwoorden van cPanel, WHM en databases. Vindt het script sporen van misbruik, verwijder dan alle sessies, reset alle wachtwoorden en behandel gegevens in de webroot als gelekt.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in de loginflow van cPanel en WHM en valt onder CWE-306, ontbrekende authenticatie voor een kritieke functie. Een niet-geauthenticeerde aanvaller kan hierdoor via het netwerk ongeautoriseerde toegang tot het beheerpaneel krijgen. De CVSS 4.0-vector (AV:N/AC:L/AT:N/PR:N/UI:N) laat zien dat de aanval op afstand, laagdrempelig en zonder rechten of gebruikersinteractie mogelijk is. De impact op vertrouwelijkheid, integriteit en beschikbaarheid van het systeem is hoog. De score is 9,3 en komt van de CNA. Er is publieke exploitcode beschikbaar en de kans op misbruik (EPSS) is zeer hoog.
CVSS-vector (versie 4.0, basisscore 9,3, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-306 · Ontbrekende authenticatie voor een kritieke functie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 98,5%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 30 april 2026
- Deadline van CISA
- 3 mei 2026
- Gebruikt door ransomwaregroepen
- Ja, volgens CISA