cPanel & WHM Güvenlik Riski: CVE-2026-41940 Kimlik Doğrulama Atlatma Açığı

cPanel, 28 Nisan 2026 tarihinde CVE-2026-41940 koduyla takip edilen kritik bir güvenlik açığı için güvenlik güncellemesi yayınladı. Bu açık, cPanel & WHM yazılımında kimlik doğrulama atlatma riskine neden olmakta ve cPanel DNSOnly dahil olmak üzere 11.40 sonrası tüm sürümleri etkileyebilmektedir.

Ne Oldu?

cPanel tarafından yayımlanan güvenlik duyurusuna göre, cPanel yazılımında saldırganların kimlik doğrulama mekanizmasını atlatmasına yol açabilecek bir güvenlik sorunu tespit edildi. Bu tür açıklar, özellikle WHM/cPanel arayüzleri internete açık olan sunucularda ciddi risk oluşturabilir.

cPanel, bu açık için çeşitli cPanel & WHM sürümlerine yama yayınladı ve sunucuların mümkün olan en kısa sürede güncellenmesini önerdi. Duyuru ilk olarak 28 Nisan 2026 tarihinde yayımlandı; 29 Nisan 2026 tarihinde gerekli aksiyonlar güncellendi ve tespit betiği eklendi.

Etkilenen Sistemler

Bu güvenlik açığı, cPanel tarafından yapılan açıklamaya göre 11.40 sonrası cPanel sürümlerini etkileyebilmektedir. cPanel DNSOnly kurulumları da kapsam dahilindedir.

Özellikle aşağıdaki durumdaki sunucular daha dikkatli kontrol edilmelidir:

• cPanel & WHM panel portları internete açık olan sunucular

• Otomatik cPanel güncellemeleri kapalı olan sistemler

• Belirli bir cPanel sürümüne sabitlenmiş sistemler

• Destek dışı veya eski cPanel sürümü kullanan sunucular

• DNSOnly çalışan cPanel sunucuları

Yayınlanan Güvenli Sürümler

cPanel, aşağıdaki cPanel & WHM sürümleri için güvenlik yaması yayınladığını duyurdu:

• 11.86.0.41

• 11.110.0.97

• 11.118.0.63

• 11.126.0.54

• 11.130.0.19

• 11.132.0.29

• 11.134.0.20

• 11.136.0.5

WP Squared için yayınlanan güvenli sürüm:

• 136.1.7

Sunucu Yöneticileri Ne Yapmalı?

cPanel kullanan sunucularda güvenlik güncellemesi vakit kaybetmeden uygulanmalıdır. cPanel’in önerdiği güncelleme komutu şu şekildedir:

/scripts/upcp --force

Güncelleme tamamlandıktan sonra cPanel sürümü kontrol edilmeli ve cpsrvd servisi yeniden başlatılmalıdır:

/usr/local/cpanel/cpanel -V

/scripts/restartsrv_cpsrvd

Eğer otomatik güncellemeler kapalıysa veya sunucu belirli bir sürüme sabitlendiyse, sistem otomatik olarak güncellenmeyebilir. Bu nedenle bu sunucuların manuel olarak kontrol edilmesi gerekir.

Güncelleme Yapılamıyorsa Geçici Önlem

Güncellemenin hemen uygulanamadığı durumlarda cPanel, geçici önlem olarak panel portlarına gelen trafiğin güvenlik duvarı üzerinden engellenmesini önermektedir.

Engellenmesi önerilen portlar:

• 2083

• 2087

• 2095

• 2096

Alternatif olarak cpsrvd ve cpdavd servisleri geçici olarak durdurulabilir. Ancak bu işlem panel erişimini ve ilgili servisleri etkileyebileceği için dikkatli uygulanmalıdır.

whmapi1 configureservice service=cpsrvd enabled=0 monitored=0 && whmapi1 configureservice service=cpdavd enabled=0 monitored=0 && /scripts/restartsrv_cpsrvd --stop && /scripts/restartsrv_cpdavd --stop

İstismar Belirtisi Nasıl Kontrol Edilir?

cPanel, olası istismar belirtilerini kontrol etmek için bir tespit betiği de paylaşmıştır. Bu betik, /var/cpanel/sessions dizini altında şüpheli oturum dosyalarını kontrol eder. Özellikle token_denied, cp_security_token, badpass, tfa_verified gibi göstergeler istismar şüphesi açısından incelenmektedir.

Betik çalıştırıldığında herhangi bir gösterge bulunmazsa sistem “No indicators of compromise found” çıktısı verebilir. Ancak istismar belirtisi bulunursa; oturumların temizlenmesi, root ve WHM kullanıcı şifrelerinin sıfırlanması, /var/log/wtmp ve WHM erişim loglarının incelenmesi, cron, SSH anahtarları ve olası backdoor mekanizmalarının kontrol edilmesi önerilmektedir.

Acil Alınması Gereken Önlemler

1. cPanel sunucunuzu derhal güvenli sürüme güncelleyin.

2. Güncelleme sonrası cPanel sürümünü doğrulayın.

3. cpsrvd servisini yeniden başlatın.

4. Otomatik güncellemeleri kapalı olan sunucuları manuel kontrol edin.

5. Panel portlarını yalnızca güvenilir IP adreslerine açın.

6. cPanel’in tespit betiği ile oturum dosyalarını kontrol edin.

7. Şüpheli bulgu varsa tüm WHM/root şifrelerini değiştirin.

8. WHM erişim loglarını ve sistem giriş kayıtlarını inceleyin.

9. Yetkisiz cron, SSH key veya web shell/backdoor olup olmadığını kontrol edin.

10. Destek dışı cPanel sürümlerinden mümkün olan en kısa sürede çıkın.

Corelux Olarak Önerimiz

cPanel & WHM panel portlarının doğrudan tüm internete açık bırakılması, bu tarz kritik güvenlik açıklarında saldırı yüzeyini ciddi şekilde artırmaktadır. Bu nedenle WHM/cPanel erişimlerinin mümkünse yalnızca belirli IP adreslerine açılması, VPN veya güvenlik duvarı kurallarıyla sınırlandırılması önerilir.

Sunucu yöneticilerinin bu güncellemeyi sıradan bir versiyon yükseltmesi olarak değil, kritik güvenlik müdahalesi olarak değerlendirmesi gerekir. Özellikle çok sayıda hosting hesabı barındıran sunucularda güncelleme, log kontrolü ve oturum incelemesi geciktirilmemelidir.

Bu olay, kontrol paneli yazılımlarında otomatik güncellemelerin, erişim kısıtlamalarının ve düzenli güvenlik denetimlerinin ne kadar önemli olduğunu bir kez daha göstermektedir. cPanel kullanan tüm sistemlerde güncelleme ve kontrol işlemlerinin vakit kaybetmeden yapılması önerilir.