Di dunia hosting dan administrasi server, cPanel dan WHM adalah nama yang pasti akrab di telinga. Kedua platform ini menyediakan antarmuka yang memudahkan pengelolaan server web. Namun, seperti perangkat lunak lainnya, mereka juga bisa memiliki celah keamanan. Salah satu yang cukup menarik perhatian adalah kerentanan otentikasi bypass yang dilacak dengan kode CVE-2026-41940. Nah, untuk mendeteksi kerentanan ini secara efisien, hadir sebuah alat bernama **cpanel2shell-scanner**.

Mengapa alat ini penting? Banyak scanner publik yang beredar ternyata memiliki masalah. Mereka sering menghasilkan **false-negative**, alias melaporkan sistem aman padahal sebenarnya rentan. Selain itu, ada juga mekanisme keamanan bawaan cPanel seperti penguncian akun (**cphulkd**) dan daftar putih IP untuk root (**authorized_whm_root_ips**) yang bisa mengganggu proses scanning naif. cpanel2shell-scanner dirancang khusus untuk mengatasi ketiga masalah ini.

## Menyelami Cara Kerja cpanel2shell-scanner

Alat ini tidak hanya memeriksa port manajemen standar seperti 2082, 2083, 2086, atau 2087. Ia juga secara cerdik memeriksa jalur proxy yang dikonfigurasi di Apache oleh cPanel. Jalur seperti `/___proxy_subdomain_whm` dan `/___proxy_subdomain_cpanel` dapat mengarahkan lalu lintas ke backend yang sama, meskipun port manajemen utamanya diblokir firewall. Jadi, scanner ini memeriksa port-port umum PLUS jalur proxy di port 443.

Selanjutnya, bagaimana ia menghindari blokir dari **cphulkd** atau **authorized_whm_root_ips**? Untuk WHM, scanner ini menyuntikkan payload `expired=1` ke dalam data sesi dengan menggunakan username acak. Verifikasinya dilakukan dengan mengunjungi URL sesi yang dihasilkan dan mencari kode `msg_code:[expired_session]` dalam respons. Karena tidak ada akun nyata yang ditargetkan dan tidak ada upaya login root yang dilakukan, mekanisme keamanan tersebut tidak terpicu.

Untuk sisi cPanel, yang mengharuskan username terdaftar di disk, scanner ini menggunakan daftar kata kunci (wordlist) username umum. Jika di sisi WHM menggunakan username acak, di sisi cPanel ia akan mencoba username dari wordlist. Jika salah satu upaya berhasil, ia akan tahu bahwa server tersebut rentan.

Proses deteksinya secara umum meliputi:
1.  Mengirim permintaan GET ke `/login` dan membaca header `Set-Cookie` untuk mendapatkan nama sesi (WHM atau cPanel).
2.  Mengirim permintaan GET ke `/` dengan header `Authorization: Basic` yang berisi `<user>:\xff\nexpired=1`. Bagian `\nexpired=1` ini adalah kunci penyuntikan sesi.
3.  Membaca header `Location` dari respons untuk mengekstrak token `cpsessXXXX`.
4.  Mengirim permintaan GET ke `/<cpsessXXXX>/` dengan cookie asli dan memeriksa apakah respons body berisi `msg_code:[expired_session]`. Jika ya, berarti penyuntikan berhasil dan host terdeteksi rentan.

## Instalasi dan Penggunaan yang Mudah

Bagi Anda yang tertarik untuk mencoba, instalasi cpanel2shell-scanner cukup mudah. Anda memerlukan Python versi 3.8 atau lebih baru.

### Instalasi

```bash
pip install -r requirements.txt
```

### Penggunaan Dasar

Untuk memindai satu target:

```bash
python scanner.py example.com
```

Memindai beberapa target sekaligus:

```bash
python scanner.py host-a.example.com host-b.example.com:2083
```

Menggunakan daftar target dari file:

```bash
python scanner.py -f targets.txt
```

Atau membaca target dari input standar:

```bash
cat targets.txt | python scanner.py
```

Beberapa opsi umum yang bisa Anda gunakan antara lain:
*   `-u` atau `--users`: Menentukan daftar username cPanel kustom.
*   `-U` atau `--users-file`: Menggunakan file berisi daftar username cPanel.
*   `-p` atau `--ports`: Menentukan port yang akan dipindai jika tidak ada port spesifik di target.
*   `-t` atau `--threads`: Jumlah thread per target untuk memindai username.
*   `-c` atau `--concurrency`: Jumlah target yang dipindai secara paralel.
*   `-T` atau `--timeout`: Batas waktu per permintaan.
*   `-o` atau `--output`: Menyimpan target yang rentan ke file.
*   `--json`: Menghasilkan output dalam format JSON Lines.
*   `-q` atau `--quiet`: Hanya menampilkan target yang rentan di stdout.

### Catatan Keamanan

Penting untuk dicatat bahwa cpanel2shell-scanner dirancang dengan aman. Ia tidak login sebagai pengguna nyata, tidak mencoba eskalasi ke shell, dan tidak menargetkan akun root. Semua yang dilakukan scanner adalah untuk mengkonfirmasi keberhasilan penyuntikan sesi yang ditandai dengan `msg_code:[expired_session]`, yang merupakan indikator standar dari sesi yang kedaluwarsa.

## Kesimpulan

Bagi para administrator sistem dan profesional keamanan, **cpanel2shell-scanner** adalah alat yang sangat berguna untuk melakukan audit keamanan terhadap server cPanel/WHM. Kemampuannya untuk mendeteksi kerentanan CVE-2026-41940 secara akurat tanpa memicu mekanisme pertahanan server menjadikannya pilihan yang solid.

## Referensi
- https://github.com/assetnote/cpanel2shell-scanner

Temukan kerentanan otentikasi cPanel/WHM CVE-2026-41940 dengan cepat dan akurat menggunakan cpanel2shell-scanner. Hindari false-negative dan blokir akun.

Cek Cepat Kerentanan cPanel/WHM: Mengenal cpanel2shell-scanner

Reggi

Solusi praktis integrasi webmail custom ke dalam dashboard Gmail. Kelola, baca, dan kirim email domain pribadi langsung dari satu tempat tanpa ribet gonta-ganti tab.

Mengapa Kamu Masih Buka Dua Tab Terpisah? Panduan Setup Custom Webmail Langsung di Dashboard Gmail

Pelajari efisiensi merakit mesin tetas telur listrik AC otomatis dengan modal murah untuk mendongkrak hasil ternak unggas tanpa repot bolak-balik telur manual.

Otomasi Ternak Unggas: Kenapa Rakit Sendiri Mesin Penetas Telur AC Jauh Lebih Worth It Dibanding Cara Konvensional?

Pelajari bagaimana mesin tetas telur berbasis arus listrik DC bekerja menjaga suhu dan kelembapan ideal untuk mendongkrak keberhasilan penetasan telur unggas.

Mesin Tetas Telur Arus DC: Solusi Hardware Murah Buat Tingkatin Angka Penetasan Unggas

Kupas tuntas seluk-beluk mobil aki anak dengan kontrol ganda dan fitur multimedia. Pahami batas spesifikasi hardware sebelum eksekusi build sendiri.

EV Versi Mini: Membedah Mobil Listrik Aki Lengkap dengan Remote Control dan Fitur Multimedia

Pelajari cara merakit smart power strip berbasis NodeMCU dan Blynk untuk kontrol daya nirkabel serta integrasi IoT yang aman dan efisien.

Mengapa Beli Mahal Kalau Bisa Bikin Sendiri? Rancang Smart Power Strip Berbasis NodeMCU dan Blynk

Solusi tuntas mengatasi bug sistem dan software bermasalah di MacBook dengan panduan install ulang macOS lewat Internet Recovery secara aman.

#cve-2026-41940

Getting Lastest Post..

Populer Bulan Ini