Četrdeset tisuća stranica u jednom danu

cPanel je onaj alat koji svaki vlasnik shared hostinga poznaje kao guzicu od stolca — ružan, funkcionalan, i svi ga mrze ali ga svi koriste jer je jedini koji zna posložiti stotine domena u nešto što izdaleka liči na red. Kad smo 1996. u Kvarner Netu dizali prve servere, takve stvari smo rješavali s par shell skripti i dobrom voljom. Danas ti treba cPanel da bi običnom čovjeku omogućio da digne WordPress bez da slučajno obriše root direktorij. I ta udobnost ima cijenu. Cijena je da kad netko nađe rupu u cPanelu, ne puca jedna domena nego četrdeset tisuća njih. To je kao da je bravar napravio bravu za cijelu zgradu, a ključ je taj za sva vrata. Koji kurac.

Rupa se zove CVE-2026-41940 i nije neka egzotična stvar koju su otkrili agenti u bijelim kutama uz limunadu i ploču. To je propust u autentifikaciji — osnovnoj stvari koju svaki programer nauči na prvoj godini fakulteta. "Provjeri tko ulazi prije nego što ga pustiš unutra." Očito je netko u cPanel timu preskočio taj dan. Ili je bio na sastanku. Ili je mislio da će to netko drugi napraviti. I eto ti četrdeset tisuća stranica u 24 sata. To nije hakiranje, to je pokazivanje prstom na vrata koja su ostala otvorena pa je ušao vjetar i raznio sve papire.

Ali najbolji dio tek dolazi. Ransomware se zove "Sorry". Sorry. Kao da ti netko pregazi auto i ostavi ceduljicu "žao mi je" na vjetrobranu. Ta vrsta cinizma je toliko očita da je gotovo simpatična. Nije im žao. Žao im je što nisu ranije našli rupu. Žao im je što nisu uspjeli šifrirati više podataka prije nego što je netko zakrpao rupu. Ali "žao mi je" na ekranu nakon što ti je uništen posao, baza kupaca i pet godina SEO optimizacije — to nije isprika. To je ruganje. To je kao da ti kuhar u restoranu donese juhu u kojoj pliva žohar i kaže "pardon". Pardon nije dovoljan kad si uništio večeru. A ovdje su uništili firme.

I sad ćeš pitati — kome je ovo pametno? Tko sjedne i kaže "ajmo danas sjebati četrdeset tisuća ljudi jer imamo rupu u softveru"? Pa taj oni koji su shvatili da je ransomware najisplativiji biznis 21. stoljeća. Ne treba ti tvornica, ne trebaju ti radnici, ne treba ti logistika. Treba ti jedna rupa, malo koda i živci da čekaš uplate u bitcoinima. I dok ti razmišljaš o etici, oni su već unovčili trećinu šifriranih podataka i prešli na sljedeću metu. Biznis. Čist. Koji kurac.

Ono što je posebno zabrinjavajuće u cijeloj priči nije sama rupa nego brzina kojom je eksploatirana. cPanel je objavio zakrpu, ali dok su hosting kompanije stigle pročitati email, proći interni approval process i restartati servere, napadači su već bili unutra. To je problem moderne sigurnosti — ne riječ je o tome imaš li zakrpu nego koliko brzo je možeš primijeniti. U svijetu gdje jedna rupa znači četrdeset tisuća žrtava, "zakrpat ćemo u sljedećem maintenance windowu" nije opcija. To je samoubojstvo. Ali hosting kompanije su navikle na spori tempo. Navikle su na "radimo po proceduri". A procedura je pisana za svijet u kojem napadači trebaju tjedan dana da analiziraju zakrpu i napišu exploit. Ovaj put im je trebalo nekoliko sati.

I sad dolazimo do pitanja koje nitko ne postavlja jer je previše očito — zašto cPanel uopće ima ovakve rupe u 2026. godini? To nije nov softver. cPanel postoji od 1997. godine. Stariji je od većine programera koji danas rade na njemu. I dalje ima problema s autentifikacijom. I dalje ima propuste koje bi svaki student treće godine informatičkog fakulteta mogao izbjeći. To nije pitanje resursa — cPanel naplaćuje svoje licence, ima novca, ima tim. To je pitanje kulture. Kulture koja kaže "što radi, ne diraj". Kulture koja kaže "ako nije slomljeno, ne popravljaj". Pa onda dođe netko tko nema tu kulturu, pokaže prstom na vrata, i cijela zgrada ostane bez stvari.

A hosting kompanije? One su u još gorem položaju. One su između čekića i nakovnja. S jedne strane, cPanel im je najbolji alat za upravljanje serverima. S druge strane, svaka rupa u cPanelu znači da će njihovi klijenti dobiti "Sorry" na ekranu i izgubiti podatke. I tko je kriv? Klijent će reći hosting kompanija. Hosting kompanija će reći cPanel. cPanel će reći "zakrpali smo na vrijeme, vi niste primijenili zakrpu". I tako se vrti krug odgovornosti dok netko ne plati otkupninu.

I najgore od svega — većina tih četrdeset tisuća stranica su male firme, obrti, blogovi, ljudi koji su uložili godine u svoj online identitet. Nitko od njih nema backup koji radi. Nitko od njih nema disaster recovery plan. Nitko od njih nije mislio da će baš njih netko targetirati. A nije ih ni targetirao — napadači su samo pokrenuli skriptu i zgazili sve što je bilo na putu. Kao buldožer koji ne gleda što ruši. I sad ti ljudi gube sve jer je netko u cPanel timu zaboravio provjeriti jedan if statement.

Posljednja ironija? Ransomware se zove "Sorry". A jedini koji bi se trebali ispričati su oni koji su ostavili vrata otvorena. Ali oni se neće ispričati. Oni će objaviti sigurnosni bulletin, zakrpati rupu i nastaviti kao da se ništa nije dogodilo. Jer u tech industriji, isprika košta. Bolje je samo popraviti i šutjeti. Dok sljedeći put netko ne nađe drugu rupu. I opet. I opet. Dok ne shvatimo da je jedina sigurnost ona koju sam napraviš. A ako ti sigurnost ovisi o tuđem kodu, spreman si na "Sorry".

Izvor: bleepingcomputer.com