Una vulnerabilità critica in cPanel e WebHost Manager (CVE-2026-41940) è stata sfruttata attivamente per colpire enti governativi e militari nel sud-est asiatico, inclusi Filippine e Laos, oltre a fornitori di servizi gestiti (MSP) in diverse nazioni. La falla, che consente un bypass dell'autenticazione e il controllo elevato del pannello di controllo, è stata rilevata da Ctrl-Alt-Intel il 2 maggio 2026. Gli attacchi, originati dall'IP "95.111.250[.]175", hanno utilizzato proof-of-concept pubblici. Precedentemente, un attore ha impiegato una catena di exploit personalizzata con iniezione SQL e RCE per un portale di formazione indonesiano, aggirando il CAPTCHA con credenziali hard-coded. L'attore minaccia utilizza il framework C2 AdaptixC2, OpenVPN e Ligolo per mantenere l'accesso persistente ed esfiltrare dati. Censys ha rilevato l'uso della vulnerabilità da parte di più terze parti entro 24 ore dalla divulgazione, inclusi varianti della botnet Mirai e il ransomware Sorry. La Shadowserver Foundation ha registrato oltre 44.000 IP compromessi impegnati in attività di scansione e attacchi brute-force.