{"id":9227,"date":"2026-05-06T15:43:39","date_gmt":"2026-05-06T13:43:39","guid":{"rendered":"https:\/\/www.hostingtg.com\/blog\/?p=9227"},"modified":"2026-05-06T15:43:41","modified_gmt":"2026-05-06T13:43:41","slug":"cve-2026-41940-cpanel-whm","status":"publish","type":"post","link":"https:\/\/www.hostingtg.com\/blog\/cve-2026-41940-cpanel-whm\/","title":{"rendered":"CVE-2026-41940: vulnerabilidad cr\u00edtica en cPanel y WHM"},"content":{"rendered":"\n

CVE-2026-41940 es una de esas vulnerabilidades que recuerdan algo que en el mundo del hosting conviene no olvidar: la velocidad de reacci\u00f3n no es opcional, es parte del servicio<\/strong>.<\/p>\n\n\n\n

No hablamos de un fallo menor ni de una simple debilidad que exige una cadena largu\u00edsima de condiciones para poder explotarse. Hablamos de una vulnerabilidad cr\u00edtica en cPanel y WHM<\/strong> relacionada con el proceso de autenticaci\u00f3n, el flujo de login y la gesti\u00f3n de sesiones. Seg\u00fan el registro oficial de CVE, las versiones de cPanel y WHM posteriores a la 11.40 contienen un bypass de autenticaci\u00f3n en el flujo de inicio de sesi\u00f3n que permite a atacantes remotos no autenticados obtener acceso no autorizado al panel de control.<\/p>\n\n\n\n

Y cuando el panel afectado es WHM, el problema deja de ser \u201cun fallo de software\u201d para convertirse en un riesgo directo sobre la infraestructura de hosting. Desde WHM se gestionan cuentas, dominios, bases de datos, correos, configuraciones y buena parte del entorno donde viven las webs de los clientes. Por eso, ante CVE-2026-41940, la pregunta importante no es solo si un servidor pod\u00eda estar afectado, sino cu\u00e1nto tard\u00f3 el proveedor en reaccionar<\/strong>.<\/p>\n\n\n\n

En nuestro caso, en HostingTG lo tuvimos claro desde el primer momento: durante la hora siguiente a la salida del parche de seguridad, actualizamos toda nuestra infraestructura de servidores para reducir al m\u00ednimo la ventana de exposici\u00f3n.<\/p>\n\n\n\n

\n\n\n\n

Qu\u00e9 es CVE-2026-41940<\/h2>\n\n\n\n

CVE-2026-41940 es una vulnerabilidad cr\u00edtica que afecta a cPanel & WHM<\/strong>, incluyendo entornos como DNSOnly y WP Squared \/ WP2, seg\u00fan los avisos publicados por cPanel y organismos de seguridad. El fallo est\u00e1 catalogado como un problema de authentication bypass<\/strong>, es decir, una forma de saltarse o manipular el proceso normal de autenticaci\u00f3n.<\/p>\n\n\n\n

Dicho de forma sencilla: un atacante pod\u00eda llegar a manipular el flujo de inicio de sesi\u00f3n para intentar que el sistema tratase una sesi\u00f3n como v\u00e1lida o privilegiada sin haber pasado correctamente por la autenticaci\u00f3n. NVD lo clasifica como una vulnerabilidad de Missing Authentication for Critical Function<\/strong>, y la incluye dentro del cat\u00e1logo CISA Known Exploited Vulnerabilities con acci\u00f3n requerida para aplicar mitigaciones o seguir instrucciones del proveedor.<\/p>\n\n\n\n

\"crea<\/figure>\n\n\n\n

Por qu\u00e9 no hablamos de un fallo menor<\/h3>\n\n\n\n

Una vulnerabilidad en un plugin aislado, en una web concreta o en una extensi\u00f3n secundaria ya puede ser grave. Pero CVE-2026-41940 afecta a una capa mucho m\u00e1s delicada: el cpanel desde el que se administra el servidor<\/a>.<\/p>\n\n\n\n

En otras palabras, el problema no est\u00e1 en \u201cuna web\u201d, sino en el sistema que permite gestionar muchas webs, cuentas y servicios. Por eso su impacto potencial es mucho mayor.<\/p>\n\n\n\n

Adem\u00e1s, el fallo recibi\u00f3 una puntuaci\u00f3n CVSS 3.1 de 9.8<\/strong>, una calificaci\u00f3n cr\u00edtica<\/a> que refleja la gravedad del escenario: explotaci\u00f3n remota, sin autenticaci\u00f3n previa y con impacto elevado.<\/p>\n\n\n\n

Qu\u00e9 significa que afecte al proceso de autenticaci\u00f3n<\/h3>\n\n\n\n

La autenticaci\u00f3n es el filtro que separa a un usuario leg\u00edtimo de alguien que no deber\u00eda entrar. Cuando ese filtro falla en un panel como cPanel\/WHM, el riesgo se dispara.<\/p>\n\n\n\n

En este caso, el problema estaba relacionado con el flujo de login y la carga de sesi\u00f3n. Rapid7 describe CVE-2026-41940 como un bypass de autenticaci\u00f3n causado por una inyecci\u00f3n CRLF en los procesos de login y carga de sesi\u00f3n de cPanel & WHM.<\/p>\n\n\n\n

\n\n\n\n

Por qu\u00e9 CVE-2026-41940 es tan grave para cPanel y WHM<\/h2>\n\n\n\n

WHM no es una herramienta cualquiera dentro de un servidor de hosting. Es el centro de control. Desde ah\u00ed se crean y administran cuentas de cPanel, se gestionan paquetes de hosting, zonas DNS, l\u00edmites, configuraciones, accesos, servicios y, en muchos casos, decisiones cr\u00edticas sobre la infraestructura.<\/p>\n\n\n\n

Por eso, cuando una vulnerabilidad afecta a WHM, no hablamos solo de una interfaz de administraci\u00f3n bonita. Hablamos de una puerta de entrada a operaciones sensibles.<\/p>\n\n\n\n

WHM como centro de control de un servidor de hosting<\/h3>\n\n\n\n

Para entender la gravedad, imagina que una web es una oficina. cPanel ser\u00eda la llave de esa oficina. WHM, en cambio, ser\u00eda la llave maestra del edificio.<\/p>\n\n\n\n

Desde WHM se pueden administrar m\u00faltiples cuentas de hosting<\/a>. Eso significa que un fallo en el acceso a WHM puede tener consecuencias sobre muchas webs alojadas en el mismo servidor, no solo sobre una cuenta concreta.<\/p>\n\n\n\n

Por eso insistimos: CVE-2026-41940 no debe verse \u00fanicamente como \u201cun problema de cPanel\u201d, sino como un riesgo directo para los servicios alojados en un servidor vulnerable<\/strong>.<\/p>\n\n\n\n

Qu\u00e9 puede implicar un acceso no autorizado al panel<\/h3>\n\n\n\n

Un acceso no autorizado al panel de control puede abrir la puerta a escenarios muy serios:<\/p>\n\n\n\n