2026 Nisan sonunda cPanel & WHM tarafında kritik bir güvenlik açığı duyuruldu. Açık, kimlik doğrulama bypass sınıfında ve CVSS skoru 9.8 olarak bildirildi.
2026 Nisan sonunda cPanel & WHM tarafında CVE-2026-41940 kodlu kritik bir güvenlik açığı duyuruldu. Açık, kimlik doğrulama bypass sınıfında ve CVSS skoru 9.8 olarak bildirildi.
Etkilenen sistemlerde saldırgan, kullanıcı adı/şifre olmadan yönetim paneline yetkisiz erişim elde edebilir.
Bu açık cPanel & WHM'in 11.40 sonrası sürümlerini ve DNSOnly dahil bazı bileşenleri etkiliyor. cPanel, yamalı sürümleri yayımladı ve güncelleme yapılmasını istedi.
Çünkü cPanel KOBİ dünyasında yalnızca "web sitesi paneli" değildir. Çoğu yapıda aynı platform üzerinden:
Asıl risk şudur: Web durur, API durur, mail durur, müşteri iletişimi durur, teklif akışı durur, tahsilat ve operasyon zinciri yavaşlar.
Teknik olarak açık, cPanel/WHM oturum yönetimi ve kimlik doğrulama akışındaki bir zafiyete dayanıyor. Kamuya açık analizlerde bunun CRLF injection ve oturum manipülasyonu üzerinden yönetici oturumu oluşturma riskine yol açabildiği aktarılıyor.
Yönetici diliyle karşılığı şu:
Kapının şifresi kırılmadan, sistem saldırganı içeride yetkili biri
gibi kabul edebiliyor.
Bu yüzden risk çok yüksek. Çünkü saldırgan sisteme girdikten sonra sadece bir web dosyasını değil, aynı sunucudaki:
de etkileyebilir.
Fabrika müdürünün derdi "cPanel" değildir; üretim, sevkiyat ve operasyon sürekliliğidir. Ama şu senaryo gerçektir:
Sonuç: Operasyon teknik bir panel yüzünden değil, iletişim ve veri akışı kesildiği için aksar.
CFO açısından risk daha serttir.
Sonuç: Bu açık, CFO için doğrudan finansal kayıp ve itibar riski demektir.
ERP liderleri için kritik nokta entegrasyonlardır. Bugün birçok KOBİ'de ERP sistemleri dış dünyayla şu kanallardan konuşur:
cPanel üzerinde çalışan web/API katmanı manipüle edilirse:
Sonuç: ERP sistemi içeride sağlam olsa bile dış entegrasyon kapısı zayıfsa iş süreci yine bozulur.
| Etki Alanı | Muhtemel Sonuç |
|---|---|
| Web sitesi | Yayın kesintisi, içerik değiştirme, zararlı kod ekleme |
| Mail sistemi | Mail kesintisi, parola sızıntısı, sahte mail gönderimi |
| API / B2B / B2C | Entegrasyon kesintisi, veri manipülasyonu |
| DNS | Trafiğin saldırgan kontrollü yere yönlendirilmesi |
| Veritabanı | Müşteri, sipariş, form ve finansal veri sızıntısı |
| Yedekleme | Yedeklerin silinmesi veya şifrelenmesi |
| İtibar | Müşteri güven kaybı, KVKK bildirimi riski |
"Panel çalışıyor, web sitesi açılıyor, sorun yok."
Bu yanlış.
Bir saldırgan içeri girdikten sonra hemen sistemi çökertmeyebilir. Bazen önce:
Yani sistem dışarıdan normal görünürken içeride hazırlık yapılabilir.
cPanel yapısı gereği web ve mail hosting aynı platformda olabilir; bu gerçek. Ama şu kontroller şart:
Bu zafiyetin yöneticiler için anlamı şudur:
cPanel bir teknik panel değil; KOBİ'nin web, mail, müşteri iletişimi, teklif, sipariş ve entegrasyon omurgasıdır.
Bu yüzden risk sadece BT departmanının konusu değildir.
Kısacası: Mail durursa hayat durur. Web durursa müşteri durur. API durursa iş akışı durur.
Bu zafiyet için üretici tarafından yayınlanan resmi güvenlik güncellemesi ve teknik detaylara aşağıdaki kaynaktan ulaşabilirsiniz:
cPanel & WHM resmi güvenlik duyurusu ve çözüm adımları:
https://support.cpanel.net/hc/en-us/articles/40073787579671-Security-CVE-2026-41940-cPanel-WHM-WP2-Security-Update-04-28-2026Ancak kritik nokta şu:
Bu tip zafiyetlerde sadece patch atmak yeterli değildir. Sistem daha önce kompromize olduysa, saldırgan içeride kalmış olabilir.
Bu nedenle gerçek çözüm süreci şu üç adımdan oluşur:
Eğer aşağıdaki sorulara net cevap veremiyorsanız:
O zaman sisteminizde risk hala devam ediyor olabilir.
Bu noktada ya süreci içeride disiplinli şekilde yöneteceksiniz ya da dışarıdan uzman desteği alacaksınız.
İsterseniz mevcut sisteminizi hızlıca analiz edip:
Sunucu güvenliği, izleme ve 7/24 yönetilen hizmetlerle işletmenizi koruyoruz.
cPanel/WHM sunucunuzdaki güvenlik açıklarını ücretsiz tespit edelim. NovatekCloud uzmanları, mevcut durumunuzu analiz ederek size özel bir güvenlik raporu sunuyor.
Siber güvenlik konusunda daha fazla bilgi edinin
İstanbul merkezli 24+ yıllık tecrübeli yönetilen bulut hizmetleri sağlayıcısı. KVKK ve ISO 27001 sertifikalı.
© 2025 NovatekCloud. Tüm hakları saklıdır.