لماذا هذه الثغرة مختلفة: شهران من الاستغلال الصامت
كشف الباحث Sina Kheirkhah من watchTowr Labs أن المهاجمين استغلوا ثغرة تجاوز المصادقة في cPanel وWHM منذ 23 فبراير 2026 على الأقل — أي أكثر من شهرين قبل صدور التحذير العلني في 29 أبريل.
الآلية التقنية تبدو في بساطة مخادعة. تكمن المشكلة الجوهرية في منطق تحميل الجلسات وحفظها في cPanel. عندما تفتقر ملفات تعريف ارتباط الجلسة إلى مفتاح التعتيم rn) عبر رأس Authorization خبيث، يستطيع المهاجم حقن أزواج مفتاح-قيمة عشوائية في ملف الجلسة — بما فيها حقلا successful_internal_auth_with_timestamp وuser=root اللذان يتجاوزان جميع عمليات التحقق اللاحقة من كلمة المرور. والنتيجة: وصول إداري بصلاحية root إلى WHM دون أي بيانات اعتماد صالحة.
صنّفت NVD هذه الثغرة تحت CWE-306 (غياب المصادقة للوظيفة الحرجة) وأسندت درجتين: CVSS 4.0 بقيمة 9.3 وCVSS 3.1 بقيمة 9.8 — وكلتاهما بمستوى حرج. أضافت CISA CVE-2026-41940 إلى كتالوج الثغرات المستغلة المعروفة (KEV) في 30 أبريل 2026.
أما على صعيد الجزائر، فالسطح المكشوف حقيقي. تعمل شركات محلية كـOctenium وAYRADE وICOSNET وعشرات الموزعين الذين يديرون استضافة للمؤسسات الصغيرة والمتوسطة الجزائرية على بنى تحتية قائمة على cPanel. ومعظم خدمات الاستضافة “المحلية” الجزائرية تعمل فعلياً على خوادم في فرنسا أو ألمانيا — مما يعني أن عدم تصحيح التثبيت المزود بالأعلى يُعرّض عملاء هؤلاء الموزعين الجزائريين للخطر أيضاً.
خريطة الانكشاف: من هو في خطر في الجزائر؟
المستوى 1 — مشغلو cPanel المباشرون: مزودو الاستضافة الجزائريون الذين يديرون تثبيتات cPanel/WHM الخاصة بهم. أي خادم يعمل بإصدار غير مُصحَّح — جميع الإصدارات بعد 11.40 حتى 11.136.0.4 — يُعدّ ضعيفاً. كشف فحص Shodan في أواخر أبريل 2026 عن نحو 1.5 مليون نسخة مكشوفة.
المستوى 2 — الموزعون على البنية المشتركة: كثير من مزودي الاستضافة الجزائريين يعيدون بيع طاقة من مراكز بيانات أوروبية. إذا لم يُصحّح هؤلاء المزودون الأعلى، يرث الموزعون هذا الانكشاف.
المستوى 3 — مالكو مواقع المؤسسات الصغيرة والمتوسطة: مؤسسة صغيرة جزائرية لديها موقع WordPress على استضافة مُدارة بـcPanel لا تعلم على الأرجح أن خادمها ضعيف. امتلاك المهاجم وصولاً بمستوى root إلى WHM يمنحه قراءة وتعديل كل موقع على هذا الخادم.
كما تأثرت منصة WP Squared (استضافة WordPress مُدارة مبنية على cPanel) وجرى تصحيحها في الإصدار 136.1.7.
إعلان
ما يجب على مزودي الاستضافة وفرق IT الجزائرية فعله
1. التحقق من إصدار cPanel والتصحيح فوراً
تحقق من إصدار cPanel عبر WHM ← معلومات الخادم، أو نفّذ cat /usr/local/cpanel/version عبر SSH. إذا كان الإصدار أدنى من الإصدارات المُصحَّحة التالية، فأنت ضعيف:
- 11.110.0.97 أو أعلى
- 11.118.0.63 أو أعلى
- 11.126.0.54 أو أعلى
- 11.132.0.29 أو أعلى
- 11.134.0.20 أو أعلى
- 11.136.0.5 أو أعلى
للتصحيح: upcp --force على الخادم.
2. البحث عن مؤشرات الاختراق قبل إعلان النظيف
تطبيق التصحيح يوقف الاستغلال المستقبلي لكنه لا يُخرج مهاجماً قد يكون موجوداً بالفعل. راجع سجلات وصول WHM بحثاً عن طلبات تحتوي r أو n في رؤوس Authorization. تحقق من الحسابات الجديدة غير المتوقعة في cPanel، وإضافات مفاتيح SSH، أو مهام cron مضافة بين فبراير وأبريل 2026.
3. تطبيق تدابير الحماية على مستوى الشبكة كخط دفاع احتياطي
يمكن للمنظمات التي لا تستطيع التصحيح فوراً حجب الوصول الخارجي للمنافذ 2083 و2087 مؤقتاً. لكن الأولوية دائماً للتصحيح وليس الحلول البديلة. طبّق قائمة السماح بعناوين IP لتقييد الوصول إلى WHM على النطاقات الإدارية المصرح بها فقط.
4. إبلاغ عملاء المؤسسات الصغيرة والمتوسطة بالانكشاف
المؤسسات الصغيرة والمتوسطة الجزائرية التي تستخدم استضافة مشتركة مُدارة بـcPanel لا تطلع على تحذيرات CISA على الأرجح. يتعين على مزودي الاستضافة إخطار عملائهم كتابياً — بالبريد الإلكتروني على الأقل — بأن الثغرة كانت موجودة، وأنه جرى استغلالها، وأن التصحيح قد طُبّق، وما يجب على العملاء فعله. يُنشئ قانون 18-07 الجزائري التزامات بشأن الحوادث التي تؤثر على البيانات الشخصية.
الصورة الأكبر: فجوة دورة التصحيح في الجزائر
تُذكّر CVE-2026-41940 بمشكلة هيكلية في سوق الاستضافة الجزائري: معظم المزودين لا يمتلكون سياسات رسمية لإدارة التصحيحات، وكثير من عملاء المؤسسات الصغيرة والمتوسطة لا يملكون أي رؤية على وضع أمان الخوادم التي تستضيف مواقعهم.
أصدر المركز الكندي للأمن السيبراني (CCCS) التحذير AL26-008. لم يصدر DZ-CERT تحذيراً مخصصاً لهذه الثغرة حتى تاريخ هذا المقال — فجوة تُبرز الحاجة إلى تنسيق أسرع بين فرق الاستجابة الدولية وآليات الاستجابة المحلية.
الفرصة هنا لا تقتصر على التصحيح. بل تتمثل في استخدام هذا الحادث لإرساء ممارسة منتظمة لإدارة الثغرات. مزودو الاستضافة الجزائريون القادرون على إثبات امتلاكهم اتفاقيات مستوى خدمة للتصحيح — “ثغرات CVE الحرجة مُصحَّحة خلال 24 ساعة من الإصدار” — سيميّزون أنفسهم في سوق لا يزال هذا الأمر نادراً فيه.
الأسئلة الشائعة
ما الذي يجعل CVE-2026-41940 خطيراً للغاية مقارنةً بثغرات cPanel الأخرى؟
CVE-2026-41940 هو تجاوز للمصادقة دون اعتماد بيانات — لا يحتاج المهاجمون إلى أي بيانات اعتماد صالحة للحصول على وصول إداري بمستوى root إلى خادم cPanel/WHM. تعكس درجة CVSS 3.1 البالغة 9.8 (حرج) أنه لا يتطلب مصادقة أو تفاعلاً من المستخدم ويعمل عن بُعد عبر الشبكة. مقروناً باستغلال نشط بدأ قبل شهرين من توفر التصحيح، يُعدّ من أشد ثغرات طبقة الاستضافة خطورةً منذ سنوات.
كيف يمكن للمؤسسة الصغيرة الجزائرية التحقق مما إذا كان موقعها قد اختُرق؟
الخطوة المباشرة هي الاتصال بمزود الاستضافة وطلب تأكيد: (1) تشغيل إصدار cPanel المُصحَّح، (2) مراجعة سجلات الخادم لنافذة فبراير–أبريل 2026، و(3) عدم اكتشاف حسابات أو تعديلات ملفات غير مصرح بها. إذا كان لديك وصول إلى cPanel، تحقق في File Manager من ملفات .php المُعدَّلة حديثاً.
ما الذي يجب على مزودي الاستضافة الجزائريين إبلاغه لعملائهم بعد التصحيح؟
على أدنى تقدير: أن الثغرة كانت موجودة، أن الاستغلال النشط تأكد قبل الإفصاح، أن التصحيح قد طُبّق، وما يجب على العملاء فعله. لأي عميل قد يكون موقعه متاحاً خلال فترة الاستغلال، ينبغي للمزودين نصح العملاء بتغيير كلمات المرور، والتحقق من مفاتيح SSH المصرح بها، وفحص الكود المحقون في ملفات الويب.
—
