加载失败
这条讨论围绕 cPanel/WHM（网页主机控制面板和管理员后台）的认证绕过漏洞 CVE-2026-41940 展开，标题里的“Internet Is Falling Down”反映的是它在共享主机生态里的高外溢风险。cPanel 常被服务商用来统一管理域名、邮件、网站和数据库，所以一旦面板层出问题，许多低价站点会一起暴露，而不少站点本来就没有专职 sysadmin。评论还提到一类旧路径会把密码以可逆加密形式写盘，失败时甚至回退到明文，这让人联想到老系统在设计时并没有按今天的威胁模型优化。整场讨论因此延伸到自研 auth/session 的危险、WordPress（内容管理系统）在共享主机上的广泛部署，以及 Shodan（互联网暴露资产搜索引擎）能轻易发现这类服务。
不少评论把问题归结为在 auth、session、crypto、password hashing 这类基础设施上“自己造轮子”。主流观点是应该优先使用 battle-tested、被广泛审计的实现，因为只要在 sanitizing、状态保存或回退逻辑上出一点错，后果就可能是直接泄密或提权。也有人补充说，自研并非绝对不可，但前提是需求足够简单、实现经过团队和外部 pentest 反复验证；争论的核心其实不是语言，而是有没有把可验证的标准机制换成了更难审计的私有路径。有人还顺带纠正 cPanel 本身是 Perl 项目，不是 PHP，但这并不改变大家对自定义认证链路的警惕。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6] [来源7] [来源8]
评论普遍认为这类漏洞的真正危险不在单台机器，而在 cPanel/WHM 作为共享主机控制中枢的集中性。大量廉价站点、邮箱和数据库都依赖它，而 WordPress（内容管理系统）又几乎铺满了这层生态，所以一旦面板失守，受影响的站点会成片出现。有人形容 WordPress 像互联网的 Dark Matter，平时看不见，一出事就会暴露出“根本没有 sysadmin”的现实，最后只能靠被 hijack、被 SafeBrowsing 标记来慢慢从网上消失。也有人直接拿 Shodan（互联网暴露资产搜索引擎）去搜可疑服务，暗示外网暴露资产规模不小。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6]
另一条线索是对“30 年老软件就一定 battle tested”的反讽。有人指出，软件存在时间长并不代表安全文化同样成熟，早年的工程实践里常常为了便利故意保留不安全做法，很多遗留系统本来就不是按现代威胁模型设计的。讨论中还提到旧的 Apple 系统和老式 Perl/CGI 工具：它们在局域网或内部脚本里依然能用，但放到公共互联网和高权限面板里，就会暴露出历史包袱。这个主题强调的不是“老就是坏”，而是老系统的默认假设经常已经过时。
不少人看到的是连锁利用和自动化攻击的空间：这类 auth bypass 直接就可能给出 root shell，而另一个相关漏洞又可能形成互补。有人担心 LLM 或其他自动化工具会被拿来扫描老旧代码库里的 corner case，把原本需要人工耐心挖掘的 bug 变成批量化武器。也有人直言，黑市会很快给这种漏洞定价，所以厂商尽早公开是比悄悄藏着更可取的做法；与此同时，拿漏洞去做 search engine 或 AI tools 污染的想象也被多次提到。整体语气是强烈的危机感与一点黑色幽默。
有人借这个事件提出把软件安全做成类似建筑规范的“software building code”，让互联网基础设施至少有最低安全门槛。反对者担心这会迅速滑向 gatekeeping、bureaucracy 和高昂合规成本，最后变成只有大公司玩得起的领域。支持一方则反击说，大公司的频繁数据泄露已经说明纯靠市场自律并不够，还拿医疗器械里的 FDA 审核和 EU AI Act 之类制度作类比。争论的实质是：软件安全底线应该靠自发责任，还是靠强制规则。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6] [来源7]
还有人把这波漏洞直接投射到自己的 homelab，担心“理论上不对外暴露”并不足以真正抵御已知漏洞。更稳妥的做法被描述为只用 SSH key-based auth 远程管理，不把 management interfaces 摆到公网；如果必须提供外部访问，就用 reverse proxy，再把敏感服务放到 Authelia 这类前置认证后面。TrueNAS 更新节奏慢、已知漏洞长期存在，也让这种焦虑更具体。这个主题体现的是：大规模 CVE 会立刻改变普通技术爱好者对暴露面的容忍度。
cPanel/WHM: 网页主机控制面板及其管理员后台，常用于 shared hosting 环境。
Authentication bypass: 绕过登录或权限校验，直接访问受保护功能的漏洞。
Session handling: 服务器保存、校验和恢复登录状态的机制。
Shared hosting: 多个站点共享同一台服务器和控制面板的托管模式。
WordPress: 广泛使用的内容管理系统，在共享主机中部署非常普遍。
Shodan: 搜索互联网暴露设备和服务的扫描引擎。