CVE-2026-41940: cómo una vulnerabilidad de cPanel puso en riesgo 70 millones de sitios
CVE-2026-41940 no es solo otro error de software. Es un caso de estudio sobre lo que ocurre cuando una fracción significativa de la infraestructura web depende de un único punto de fallo.
Hay números que cuesta dimensionar. 70 millones de sitios web. 1,5 millones de servidores expuestos. 44.000 sistemas atacando simultáneamente. Para entender por qué CVE-2026-41940 tiene la escala que tiene, hay que entender una sola cosa: cPanel es el plano de control de una parte enorme de Internet, y cuando tiene una falla, esa falla se multiplica por cada servidor que lo ejecuta — en Chile, en Perú y en el resto del mundo.
El efecto multiplicador del hosting compartido
El hosting compartido funciona así: un único servidor físico aloja entre 100 y 500 sitios web de clientes distintos. cPanel es la capa que los separa y administra. WHM (WebHost Manager) es la capa superior, la que tiene acceso root a todo el servidor y a todos esos clientes simultáneamente.
CVE-2026-41940 no compromete un solo sitio web. Compromete el servidor entero — y con él, todos los sitios que aloja. Un atacante que explota la vulnerabilidad en un servidor compartido obtiene acceso simultáneo a cientos de sitios, bases de datos, cuentas de correo y configuraciones DNS de clientes completamente distintos que no tienen ninguna relación entre sí.
Si un servidor típico aloja 300 sitios, y hay 1,5 millones de instancias cPanel expuestas, el radio de explosión teórico alcanza 450 millones de sitios afectables. La estimación real de watchTowr —70 millones de dominios— es conservadora respecto a ese techo.
Los tres vectores de impacto encadenados
Caídas preventivas de acceso a cPanel
Proveedores como Namecheap bloquearon preventivamente el acceso al panel de todos sus clientes mientras aplicaban el parche. Correcto desde el punto de vista técnico, pero muy perjudicial para las empresas que dependían de su correo corporativo o de gestionar su hosting en ese momento.
Servidores sin parche bajo explotación activa
Los servidores que no actualizaron rápidamente quedaron bajo explotación automatizada. Con 44.000 IPs atacando en paralelo, cada servidor vulnerable fue analizado y atacado en cuestión de horas tras la publicación de la prueba de concepto.
Ransomware, puertas traseras y espionaje silencioso
Los servidores comprometidos durante la ventana de zero-day (febrero–abril) pueden tener puertas traseras instaladas que sobreviven a la aplicación del parche. El daño real puede descubrirse semanas o meses después del incidente inicial.
¿Por qué WordPress también está afectado?
WordPress en sí mismo no tiene ninguna vulnerabilidad. Pero cada instalación de WordPress alojada en un servidor cPanel comprometido está completamente expuesta. El atacante con acceso root puede leer el archivo wp-config.php —que contiene las credenciales de la base de datos— cambiar contraseñas de administrador, inyectar código malicioso en las plantillas o complementos, y exportar toda la base de datos de usuarios y contenidos.
¿Cuántos de los 70 millones de dominios en cPanel fueron comprometidos silenciosamente durante los 64 días de zero-day activo, antes del parche? No hay una respuesta pública todavía. Los 7.135 servidores con ransomware visible son solo los casos con evidencia detectable desde Internet. Los compromisos silenciosos —datos exfiltrados, puertas traseras instaladas, credenciales robadas— son imposibles de cuantificar externamente.
El problema estructural que CVE-2026-41940 expone
Este incidente no trata solo sobre un error en un software. Trata sobre la concentración de riesgo que genera depender de una única plataforma de control para una fracción tan grande de la infraestructura web global. Cuando esa plataforma tiene una vulnerabilidad crítica, el impacto escala de una manera que ningún incidente aislado de un solo proveedor de hosting podría alcanzar.
La industria del hosting compartido construyó su modelo de negocio sobre la eficiencia de concentrar miles de clientes en pocos servidores. CVE-2026-41940 es la factura de esa concentración, presentada de una sola vez y a escala global.
Fuentes
- cPanel Vulnerability 2026: Patch CVE-2026-41940 Now— JazzCyberShield
- cPanel Vulnerability CVE-2026-41940 Puts 70 Million Websites at Risk— Cyber Unit
- Actively exploited cPanel bug exposes millions of websites— Malwarebytes