(in)sicurezza digitale

2026-05-03 15:43:34

CVE-2026-41940: il bug CRLF di cPanel che ha consegnato 44.000 server al ransomware “Sorry”

Quando il 28 aprile 2026 WebPros International ha pubblicato la patch per CVE-2026-41940, la vulnerabilità critica nel suo pannello di controllo hosting cPanel & WHM, era già tardi per decine di migliaia di server. Gli attaccanti avevano sfruttato la falla in silenzio almeno dall’inizio di marzo — forse da febbraio — trasformandola nel vettore di accesso iniziale per una campagna ransomware attiva e distruttiva denominata Sorry. Con un CVSS di 9.8 su 10 e oltre 1,5 milioni di installazioni cPanel nel mondo, l’impatto potenziale di questa vulnerabilità è difficile da sopravvalutare.

La Meccanica dell’Attacco: CRLF Injection nel Daemon di Autenticazione

A differenza dei classici buffer overflow o delle SQL injection, CVE-2026-41940 sfrutta un meccanismo sottile ma devastante: un’iniezione CRLF (Carriage Return Line Feed) nel processo di login e caricamento delle sessioni di cpsrvd, il daemon principale di cPanel.

Il flusso di autenticazione di cPanel prevede che cpsrvd scriva un nuovo file di sessione su disco prima che l’autenticazione vera e propria sia completata. Questo comportamento, probabilmente introdotto per ottimizzare le performance, diventa fatale in presenza della vulnerabilità. Un attaccante non autenticato può manipolare il cookie whostmgrsession omettendo un segmento atteso del suo valore, bypassando così il processo di cifratura della sessione. Iniettando caratteri raw attraverso un header di autorizzazione HTTP appositamente costruito, l’attaccante forza il sistema a scrivere il file di sessione senza sanitizzare l’input, permettendo l’inserimento di proprietà arbitrarie come user=root.

Il risultato finale: accesso amministrativo completo al server hosting, alle sue configurazioni, ai database e a tutti i siti web che gestisce — senza fornire alcuna credenziale valida. La Shadowserver Foundation ha rilevato sin da subito decine di migliaia di IP che scansionavano attivamente honeypot alla ricerca di istanze vulnerabili.

Timeline: Zero-Day Sfruttato per Mesi

La ricostruzione della timeline rivela un gap di esposizione particolarmente preoccupante:

• Febbraio 2026 (data presunta): prime evidenze di sfruttamento nei log di server compromessi
• 23 febbraio 2026: data confermata di prime attività malevole documentate da Shadowserver e altri sensori
• 28 aprile 2026: WebPros pubblica security advisory e rilascia la patch (versioni corrette: 118.0.38, 120.0.23, 122.0.6)
• 1 maggio 2026: CISA aggiunge CVE-2026-41940 al catalogo KEV, imponendo alle agenzie federali US l’aggiornamento entro 3 settimane
• 2-3 maggio 2026: BleepingComputer documenta almeno 44.000 host cPanel compromessi; centinaia di siti già indicizzati da Google con evidenza di deface e ransomware

Il fatto che la vulnerabilità fosse nota agli attaccanti almeno due mesi prima della patch suggerisce o una scoperta interna da parte del gruppo criminale, o un acquisto sul mercato zero-day. In entrambi i casi, la finestra di esposizione è stata sufficiente per costruire un’infrastruttura di attacco scalabile.

Il Ransomware “Sorry”: un Linux Encryptor Progettato per i Server Hosting

Una volta ottenuto l’accesso root via CVE-2026-41940, gli attaccanti non si limitano alla ricognizione o all’esfiltrazione di dati: distribuiscono direttamente un encryptor Linux denominato Sorry, progettato specificamente per ambienti server e hosting. Il payload agisce su filesystem ext4 e XFS, prende di mira le directory tipiche degli stack web LAMP/LEMP (/home/*/public_html, /var/www, database MySQL in /var/lib/mysql) e cifra i file aggiungendo l’estensione .sorry. La ransom note lasciata sui sistemi compromessi include un indirizzo di contatto su rete Tor e una richiesta di pagamento in Bitcoin o Monero.

L’aspetto più insidioso per i provider hosting è che un singolo server cPanel compromesso può ospitare centinaia o migliaia di siti di clienti diversi. La compromissione di un account root su cPanel non è una violazione singola: è una catastrofe di scala industriale per chi gestisce hosting condiviso o rivenditori (reseller). Il provider hosting si trova così a dover comunicare la violazione a ogni singolo cliente presente sul server, con implicazioni legali e reputazionali enormi.

Impatto Globale: 1,5 Milioni di Installazioni a Rischio

Secondo le stime di Picus Security e Bitsight, al momento della divulgazione pubblica esistevano oltre 1,5 milioni di installazioni cPanel/WHM esposte su Internet. Watchtowr Labs, che ha pubblicato un’analisi tecnica con proof-of-concept, ha definito la situazione “The Internet Is Falling Down”, un titolo che rende l’idea della portata del problema. Rapid7 ha confermato l’elevata sfruttabilità nel suo Emergency Threat Response.

cPanel è il pannello di controllo hosting più diffuso al mondo, utilizzato non solo da grandi provider ma anche da decine di migliaia di piccole aziende di hosting e rivenditori. Molte di queste realtà non dispongono di processi di patch management strutturati, il che ha contribuito a mantenere alta la percentuale di installazioni non aggiornate anche giorni dopo la pubblicazione della fix.

Indicatori di Compromissione (IoC)

# Estensione aggiunta ai file cifrati dal ransomware Sorry
*.sorry
# Ransom note lasciata sui sistemi colpiti
READ_ME_SORRY.txt
# Pattern header malevolo rilevato nei log (CRLF injection)
# Authorization: Basic contiene \r\n seguito da user=root
# Percorsi sospetti post-exploit
/var/cpanel/sessions/raw/[stringa_casuale_anomala]
/tmp/.cpanel_*
/root/.bash_history con comandi curl/wget verso .onion o IP anomali
# Verifica crontab aggiunti
crontab -l -u root | grep -vE '^(#|$)'
# Versioni cPanel vulnerabili (da aggiornare immediatamente)
# Tutte le versioni precedenti a: 118.0.38 / 120.0.23 / 122.0.6
# Fonti IoC aggiornati
# https://bazaar.abuse.ch/browse/tag/sorry-ransomware/
# https://www.shadowserver.org/

Azioni di Difesa Immediate

Priorità assoluta: aggiornare cPanel & WHM alle versioni 118.0.38, 120.0.23, 122.0.6 o superiori. La patch è applicabile tramite il meccanismo nativo (upcp --force da root).

• Audit retroattivo: ispezionare i log di cpsrvd in /usr/local/cpanel/logs/ alla ricerca di header Authorization anomali con caratteri non-ASCII o accessi root senza credenziali valide dal febbraio 2026 in poi
• Isolamento in caso di compromissione: se si sospetta l’intrusione, isolare immediatamente il server prima dell’analisi forense — il ransomware Sorry agisce rapidamente e la cifratura può avvenire in pochi minuti dall’accesso
• Verifica account e credenziali: controllare la presenza di nuovi account amministrativi, chiavi SSH non autorizzate in /root/.ssh/authorized_keys, crontab anomali
• Regole WAF/IDS: implementare firme per rilevare header Authorization HTTP contenenti sequenze CRLF (\r\n)
• Backup offsite: verificare che i backup siano conservati su storage disconnesso dalla macchina principale — i backup locali vengono cifrati insieme al server

CVE-2026-41940 è un caso esemplare di come vulnerabilità architetturali in software di infrastruttura ad alta diffusione possano trasformarsi in crisi su scala industriale. La finestra di due mesi tra sfruttamento attivo e patch pubblica, combinata con i ritardi nell’aggiornamento tipici del settore hosting, ha creato le condizioni ideali per una campagna ransomware sistematica. Per chi gestisce server cPanel, l’unica risposta razionale è aggiornare immediatamente e verificare retroattivamente la compromissione risalendo almeno a febbraio 2026.