Vulnerabilità di cPanel sfruttata dal ransomware Sorry

Una vulnerabilità di cPanel e WHM (WebHost Manager) è stata sfruttata per effettuare un attacco di massa contro siti web e installare il ransomware Sorry. WebPros International ha rilasciato le patch di sicurezza a fine aprile, ma ci sono ancora migliaia di siti non aggiornati. Gli amministratori devono intervenire con urgenza per evitare rischi.

Descrizione della vulnerabilità e degli attacchi

cPanel e WHM sono pannelli di controllo per il web hosting basati su Linux, utilizzati per la gestione di server e siti web. WHM offre un controllo a livello di server, mentre cPanel fornisce l’accesso amministrativo al backend del sito web, webmail e database. Sono molto popolari perché facili da utilizzare anche per utenti poco esperti.

La vulnerabilità, indicata con CVE-2026-41940, era presente in tutte le versioni superiori alla 11.40. Consente di aggirare l’autenticazione e quindi di accedere ai pannelli di controllo. Ciò permette ai cybercriminali di installare backdoor o web shell, reindirizzare gli utenti verso siti infetti, rubare file sensibili, inviare spam o email di phishing e rubare password dai file di configurazione. Nel caso di WHM è possibile creare o eliminare account cPanel, stabilire un accesso persistente alla macchina e utilizzarla per varie attività (traffico proxy, spam, distribuzione di malware, botnet e altre).

Utenti e ricercatori di sicurezza hanno segnalato che la vulnerabilità viene attivamente sfruttata per installare Sorry, un ransomware per Linux (.sorry è l’estensione aggiunta ai file cifrati). Il ransomware utilizza la crittografia ChaCha20 e una chiave protetta da una chiave pubblica RSA-2048 (quindi è necessaria la corrispondente chiave privata).

Nel file di testo creato al termine della cifratura è scritto che le vittime devono contattare i cybercriminali per concordare il riscatto. Gli amministratori devono installare subito le patch disponibili. Se non possibile dovrebbero almeno bloccare l’accesso remoto sulle porte 2083, 2087, 2095 e 2096, come già fatto da alcune aziende di web hosting.