Verifica en segundos si tu instalación de cPanel/WHM permite inyección CRLF (Carriage Return Line Feed) en el endpoint /login/?user=. Prueba no destructiva, resultado inmediato, plan de remediación incluido.
/login/?user=La vulnerabilidad de bypass de autenticación en cPanel & WHM que detecta este scanner. CVSS 9.8 crítico · pre-autenticación · atacantes remotos sin autenticar obtienen acceso root en WHM.
Una inyección CRLF pre-autenticación en cpsrvd (el daemon de servicios de cPanel) permite a un atacante inyectar flags de autenticación falsos (user=root, hasroot=1, tfa_verified=1) en un archivo de sesión. Cuando cpsrvd re-parsea ese archivo, confía en los flags inyectados y otorga acceso root completo a WHM — bypaseando tanto el password como el 2FA.
Afecta a todas las versiones de cPanel & WHM posteriores a 11.40 más WP Squared < 136.1.7. Si tu servidor expone los puertos 2082, 2083, 2086, 2087, 2095 o 2096 a internet y aún no parchaste, considéralo en riesgo activo. ~1.5 millones de instancias cPanel estaban expuestas al momento del disclosure. Usá el scanner arriba para confirmar.
Actualizá cPanel/WHM con /scripts/upcp --force desde SSH como root. Si no podés parchear ahora mismo: bloqueá acceso externo a los puertos 2083, 2087, 2095, 2096 vía CSF/iptables hasta que puedas. Después de parchear, auditá /var/cpanel/sessions/raw/ en busca de IoCs y rotá todas las credenciales.
El botnet Mirai nuclear.x86 mata activamente wget y curl para evitar la limpieza. Ejecutá desde SSH:
wget google.com
Si devuelve Killed en vez de descargar → el botnet está activo en tu servidor. Forzá su muerte:
# Force-kill the botnet and verify it's gone pkill -9 -f "nuclear.x86" ps auxf | grep -i nuclear # Verify wget works again wget google.com
Si la descarga completa normalmente → o no estás infectado, o el binario ya fue removido.
Bloqueá estas IPs vía CSF (csf -d) o iptables como hardening contra esta campaña. Nota: bloquear es reactivo, no reemplaza al parche.
87.121.84.78
45.148.120.23
Actualizá a una de estas (o posterior) según tu branch. Verificá tu versión actual con /usr/local/cpanel/cpanel -V.
11.110.0.9711.118.0.6311.126.0.5411.132.0.2911.134.0.2011.136.0.5WP Squared 136.1.7Para análisis técnico profundo, detalles del exploit y tracking de la campaña en curso:
Todo lo que necesitas saber sobre esta inyección y cómo proteger tu servidor
Permite a un atacante inyectar caracteres de retorno de carro y nueva línea (\r\n) en cabeceras HTTP. Habilita manipulación de respuestas, secuestro de sesión, envenenamiento de caché y XSS reflejado.
El parámetro user en el endpoint /login/ no filtra correctamente los caracteres codificados %0D%0A, permitiendo que un atacante introduzca cabeceras HTTP arbitrarias en la respuesta del servidor.
Actualiza cPanel/WHM a la última versión inmediatamente. Implementa un WAF con filtrado de caracteres de control, configura cabeceras de seguridad estrictas y monitorea los logs del servidor regularmente.
Respuestas a las dudas más comunes sobre inyección CRLF, detección y remediación
%0D%0A codificados en parámetros HTTP, principalmente en el endpoint /login/?user=. Esto habilita manipulación de cabeceras de respuesta, ataques XSS reflejados, envenenamiento de caché web y secuestro de sesión administrativa. También se le conoce como HTTP Response Splitting.X-Vulnerable-Test:YES. Si el servidor la refleja en su respuesta HTTP, es vulnerable a inyección CRLF y debe parchearse de inmediato./usr/local/cpanel/cpanel -V desde SSH y consulta el changelog oficial de cPanel para confirmar si tu build incluye el fix de la inyección CRLF. Las builds en tier LTS sin actualizar son las más expuestas./scripts/upcp --force desde SSH como root. Como mitigación temporal, puedes añadir reglas ModSecurity que bloqueen las secuencias %0D%0A en URIs y argumentos. Esta herramienta genera automáticamente un plan de remediación completo con comandos copiables cuando detecta vulnerabilidad.2087 (SSL) o 2086 (no-SSL), mientras cPanel usa 2083 (SSL) o 2082 (no-SSL). Ingresa la URL incluyendo el puerto, por ejemplo https://tu-servidor.com:2087. La prueba CRLF aplica al módulo de login subyacente (cpsrvd) que comparten cPanel y WHM./usr/local/apache/logs/access_log), como cualquier petición HTTP normal. Esto es esperado en una auditoría legítima.cpsrvd de cPanel & WHM — exactamente la misma clase de vulnerabilidad que este scanner testea. Si el scanner reporta tu servidor como vulnerable, casi con seguridad estás expuesto a CVE-2026-41940 (CVSS 9.8). Parchea de inmediato con /scripts/upcp --force o bloquea los puertos 2083/2087/2095/2096 en el firewall.wget y curl para evitar su remoción. Ejecutá wget google.com desde SSH: si devuelve Killed en vez de descargar, el botnet está activo en tu servidor. Otros IoCs: revisá /var/cpanel/sessions/raw/ en busca de archivos con user=root, hasroot=1, tfa_verified=1, o successful_internal_auth_with_timestamp previos al parche./etc/shadow, puede haber creado cuentas admin, modificado ~/.ssh/authorized_keys, dejado cron jobs, o instalado cryptominers. Paso 1: aislá el servidor (bloquear IPs públicas en el firewall). Paso 2: matá los procesos nuclear.x86 (pkill -9 -f nuclear.x86). Paso 3: rotá TODAS las credenciales (root, usuarios cPanel, MySQL, FTP, SSH keys, API tokens). Paso 4: auditá /etc/passwd, /etc/sudoers.d/, ~/.ssh/authorized_keys, cron jobs, usuarios WHM. Camino más seguro: reconstruir desde un backup limpio previo a la ventana de compromiso (potencialmente desde el 23 de febrero de 2026).Auditoría, parche urgente y hardening profesional por un sysadmin con 12+ años de experiencia en cPanel/WHM, seguridad de servidores e infraestructura VoIP. Cotización gratuita en menos de 24 horas, sin compromisos.
Sin intermediarios, sin formularios. Respuesta personal a tu consulta.
Esta herramienta está diseñada exclusivamente para que administradores de sistemas verifiquen sus propios servidores o aquellos en los que tienen autorización explícita. El uso no autorizado contra sistemas de terceros puede constituir un delito según leyes como la Computer Fraud and Abuse Act (CFAA) en EE.UU., el Convenio de Budapest sobre ciberdelincuencia o equivalentes locales. La prueba realizada es no destructiva: solo verifica el reflejo de una cabecera de prueba inocua y no compromete el sistema. Eres totalmente responsable del uso que des a esta herramienta.