Tin tức bảo mật

CVE-2026-41940 — Lỗi vượt qua xác thực (authentication bypass) trên cPanel & WHM

• Ngày phát hành: 29/04/2026 theo NVD; hãng WebPros phát hành bản cập nhật bảo mật cho cPanel & WHM ngày 28/04/2026.
• Nguồn chính thức: NVD — CVE-2026-41940 — Thông báo bảo mật của cPanel (28/04/2026).
• Mức độ: CVSS 9.8/10 (Critical), CVSS phiên bản 3.1 — vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Có trong danh mục CISA Known Exploited Vulnerabilities; theo BleepingComputer và watchTowr Labs, lỗ hổng đã bị khai thác trên diện rộng trong thực tế.
• Sản phẩm BKNS có thể bị ảnh hưởng: VPS / Cloud Server / máy chủ riêng do khách tự cài đặt và quản trị cPanel & WHM — kể cả khách mua license cPanel qua BKNS rồi tự quản trị trên server riêng — phiên bản từ 11.40 tới trước bản vá theo từng nhánh (WP Squared trước bản 11.136.1.7); xem danh sách đầy đủ theo nhánh trong thông báo hãng ở trên.
• Khuyến nghị cho khách: Cập nhật cPanel & WHM lên bản mới nhất càng sớm càng tốt, qua WHM → cPanel → Upgrade to Latest Version (nếu server ghim ở một nhánh đã hết hỗ trợ — không có trong danh sách bản vá của hãng — hoặc đặt cập nhật là "Never Update", hãy đổi trong WHM → Update Preferences trước) hoặc chạy /scripts/upcp --force qua SSH. Nếu chưa cập nhật ngay được, tạm giới hạn các cổng dịch vụ cPanel/WHM/Webmail (2082/2083, 2086/2087, 2095/2096) chỉ cho IP tin cậy truy cập. Nếu nghi ngờ đã bị xâm nhập: rà soát log truy cập WHM/cPanel, đổi mật khẩu root/reseller/cPanel cùng các API token, và đối chiếu với các dấu hiệu xâm nhập (IoC) trong thông báo hãng.

Nếu phát hiện lỗ hổng bảo mật trong dịch vụ BKNS, vui lòng báo cáo qua email: security@bkns.vn.

Mailing list cảnh báo bảo mật BKNS — chỉ gửi khi có CVE ≥ 7.0 ảnh hưởng tới hạ tầng hoặc dịch vụ phổ biến. Tần suất trung bình: 2-4 email/tháng.

Đăng ký qua trang Cài đặt → Cảnh báo bảo mật trong my.bkns.vn, hoặc gửi yêu cầu tới security-news@bkns.vn.