千万网站管理面板曝致命漏洞：攻击者已潜伏数月

全球数千万网站依赖的服务器管理工具被撕开一道口子。攻击者无需密码就能直接接管你的网站后台——而证据显示，这场入侵早在2月就已开始。

漏洞核心：登录界面形同虚设

这个被编号为CVE-2026-41940的漏洞，让cPanel和WHM的登录认证机制彻底失效。

攻击者可以远程绕过登录界面，直接获得软件管理面板的完整控制权。由于这两款工具对托管服务器拥有深度访问权限，恶意黑客一旦得手，就能不受限制地接触所有托管数据。

cPanel和WHM是网站托管行业的标准配置。从域名管理、邮箱设置到数据库维护，站长和主机商的日常操作几乎都离不开它们。这种普遍性让漏洞的影响面被急剧放大——任何未及时修补的系统都可能成为批量攻击的目标。

加拿大国家网络安全机构在预警中明确指出，该漏洞可被用于入侵共享托管服务器上的网站。这类服务器正是大型主机商的主流配置，一台物理服务器往往托管着成百上千个独立站点。

该机构的判断相当直接：「利用该漏洞的可能性极高」，cPanel用户或其主机服务商必须立即采取行动。

主机商的应急反应：先断网，再修补

漏洞公开后，多家主机商的处置方式出奇一致——直接切断访问通道。

Namecheap是全球知名的域名注册和主机服务商，其客户管理面板正是基于cPanel搭建。得知漏洞消息后，该公司立即阻止了客户对cPanel面板的访问，为系统修补争取时间。

Hostgator同样完成了系统更新，并将该漏洞定性为「关键级认证绕过漏洞」。

KnownHost的CEO丹尼尔·皮尔森在Reddit发帖披露了更惊人的细节。他的公司在2月23日就发现了针对该漏洞的利用尝试，比公开披露早了数月。

皮尔森表示，在其数千台服务器中，约有30台出现了未授权访问尝试的迹象。他谨慎地将这些活动描述为「尝试性攻击」，尚未发现系统已被实际入侵的证据。KnownHost也曾短暂阻断客户访问，随后完成补丁部署。

cPanel方面确认，已为WP Squared——一款用于管理WordPress网站的类似工具——推出了安全修复。

为什么这个漏洞特别危险

共享托管的商业模式放大了风险。

在共享主机环境中，一台物理服务器被分割给多个客户使用，大家共享计算资源，但各自拥有独立的网站和账户。传统上，这种架构的安全边界依赖于cPanel等管理工具的权限隔离。一旦管理面板被攻破，攻击者理论上可以横向移动，影响同服务器上的其他租户。

加拿大网络安全机构的预警特别强调了这一点：大型主机商的共享服务器是重点攻击目标。

更棘手的是补丁的覆盖难度。cPanel官方敦促所有客户确认系统已更新，因为漏洞影响所有受支持的软件版本。但对于分散在全球的数百万独立站长而言，「确认已修补」这件事本身就不简单——很多人甚至不知道自己用的主机面板版本号。

主机商的集中式托管反而成了双刃剑。Namecheap、Hostgator等大公司可以统一推送补丁，但依赖独立服务器或小众主机商的用户，补丁进度完全取决于服务商的响应速度。

攻击时间线的疑点

KnownHost披露的2月23日攻击尝试，给整个事件增添了悬念。

如果攻击者在漏洞公开前数月就已掌握利用方法，这意味着什么？

几种可能性并存：漏洞可能在地下黑市被私下交易；攻击者通过逆向工程独立发现了同一缺陷；或者存在信息泄露渠道。无论哪种情况，「零日漏洞」的窗口期显然比官方披露的时间要长得多。

皮尔森的表述值得细品——30台服务器出现尝试性攻击，数千台服务器未受影响。这个比例看似不高，但考虑到KnownHost只是行业中的单一玩家，全球范围内的攻击尝试总量难以估量。

cPanel尚未就攻击时间线发表官方评论。对于依赖其软件的主机商和站长而言，一个关键问题悬而未决：还有多少未被发现的入侵痕迹，散落在全球各地的服务器日志中？

数据收束

数千万网站、2月即开始的攻击尝试、30台服务器现踪——这三个数字勾勒出基础设施安全的残酷现实。

cPanel这类工具越是成为行业标准，其漏洞的连锁反应就越难控制。主机商的「断网式」应急暴露了共享托管模式的结构性脆弱：当管理面板成为单点故障，数百万站点的安全就系于一个补丁的推送速度。

对于站长，最务实的动作是确认主机商已完成CVE-2026-41940补丁部署，并检查近期登录日志是否有异常IP。对于行业，KnownHost披露的攻击时间线提示了一个更深层的问题——关键基础设施的漏洞发现与公开之间，往往存在难以追踪的灰色地带。