По данным исследователей, дыру уже дёргали вживую, возможно ещё с февраля. Shared-хостинг снова напоминает коммуналку: один плохой замок — и внезапно открывается не одна дверь, а весь этаж. Технически баг сидит в логике сессий. До нормальной авторизации cpsrvd создавал pre-auth session file, а дальше через криво обработанные cookie и заголовки можно было подсунуть в эту сессию лишние свойства. В плохом сценарии — что-нибудь уровня user=root. Потом сессия перечитывается, кэшируется, и вот у нас уже не «неудачная попытка входа», а административный доступ без пароля. Красиво? Да. Противно? Тоже да. Панель хостинга — это не просто «морда для клиента». Там сайты, базы, почта, DNS, токены, реселлеры, конфиги. Если WHM забрали, дальше можно не фантазировать: веб-шеллы, новые пользователи, бэкапы, редиректы, мусор в cron и маленький филиал ада для саппорта. Лечится не молитвой и не сменой пароля. Нужно срочно обновить cPanel & WHM до исправленной ветки: 11.86.0.41, 11.110.0.97, 11.118.0.