Die Schwachstelle trägt die Kennung CVE-2026-41940 und einen CVSS-Wert von 9,8. Nach Angaben von Namecheap betrifft sie alle derzeit unterstützten cPanel-Versionen. Der Hosting-Anbieter beschrieb das Problem als eine Schwachstelle bei der Anmeldung, die unbefugten Zugriff auf das Kontrollpanel ermöglichen könne.

Um Kunden zu schützen, sperrte Namecheap vorübergehend den Zugriff auf die Ports 2083 und 2087, über die WHM und cPanel angesprochen werden, bis Patches bereitstanden. Wenige Stunden nach der Mitteilung von Namecheap veröffentlichte cPanel ein Sicherheitsbulletin und benannte die Produktversionen, in denen die Lücke geschlossen wurde.

Zum Einspielen einer sicheren Version empfiehlt der Hersteller, den Befehl /scripts/upcp –force auszuführen. Dieser stößt den cPanel-Aktualisierungsprozess an und erzwingt dessen Durchlauf selbst dann, wenn das System annimmt, bereits auf dem neuesten Stand zu sein. Server mit einer nicht mehr unterstützten cPanel-Version erhalten keine Sicherheitsupdates; Administratoren wird in diesem Fall geraten, möglichst rasch auf eine unterstützte Version umzusteigen.

Ein Angreifer mit Zugriff auf cPanel kann sämtliche Inhalte eines Hosting-Kontos kontrollieren – von Websites und Daten bis hin zu E-Mails. Denkbar ist etwa das Einschleusen von Backdoors oder Web-Shells, das Umleiten von Nutzern auf schädliche Ziele, der Diebstahl sensibler Dateien, der Versand von Spam- oder Phishing-Mails sowie das Auslesen von Passwörtern aus Konfigurationsdateien.

Über WHM reicht der Zugriff noch weiter, da das Werkzeug den gesamten Server und alle dort gehosteten Websites umfasst. Ein Angreifer könnte cPanel-Konten anlegen und löschen, sich dauerhaften Zugang zur Maschine verschaffen und diese für verschiedene Zwecke missbrauchen, etwa zum Weiterleiten von Datenverkehr, für Spam, zur Verteilung von Malware oder als Teil eines Botnetzes.

Betreiber von Websites, die die betroffenen Verwaltungsoberflächen nutzen, sollten sicherstellen, dass sie auf eine gepatchte Version aktualisiert haben. Die Tracking-Nummer für die Schwachstelle wurde laut einem Nachtrag von VulnCheck vergeben.