Une faille informatique met en danger des millions de sites internet
Si vous avez un site web hébergé chez un prestataire classique, il y a de fortes chances que cPanel tourne quelque part en arrière-plan. Ce tableau de bord est utilisé par des millions de propriétaires de sites pour gérer leurs fichiers, leurs mails, leurs bases de données et leurs noms de domaine. L’outil, accompagné de WHM (Web Host Manager), constitue la colonne vertébrale invisible d’une grande partie du web mondial. Cette colonne vient de se fissurer.
Table des matières
Un accès admin sans mot de passe
La faille, référencée CVE-2026-41940, est aussi grave qu’elle est simple à comprendre. Un attaquant peut contourner l’authentification de cPanel à distance et accéder directement au panneau d’administration, sans identifiant ni mot de passe. De là, il a accès à tout : fichiers du site, boîtes mail, certificats SSL, et configurations DNS. Selon WatchTowr, la société qui a analysé la faille, c’est comme si quelqu’un avait trouvé le passe-partout d’un immeuble géant.
Le score CVSS atteint 9,8 sur 10, une note réservée aux failles qu’il est impératif de corriger. Toutes les versions de cPanel postérieures à la 11.40 sont touchées. cPanel a publié des correctifs pour une dizaine de branches le 28 avril, ainsi qu’un patch pour WP Squared, son outil de gestion WordPress.
Exploitée depuis février et découverte fin avril
Daniel Pearson, patron de l’hébergeur KnownHost, a trouvé des traces de tentatives d’exploitation remontant au 23 février, soit plus de deux mois avant la publication du correctif. Sur les milliers de serveurs de son réseau, une trentaine ont montré des signes d’accès non autorisé. Bien qu’aucune compromission active n’ait été constatée, le doute plane pour les hébergeurs moins vigilants.
- Namecheap a temporairement coupé l’accès aux panneaux cPanel de ses clients pour appliquer les mises à jour.
- HostGator a qualifié le bug de contournement d’authentification critique. L’agence canadienne de cybersécurité a averti que l’exploitation était hautement probable, notamment sur les serveurs mutualisés.
- La CISA américaine a inscrit la faille dans son catalogue officiel des vulnérabilités activement exploitées.
Quels changements pour les propriétaires de sites ?
Si votre hébergeur gère les mises à jour de cPanel, vérifiez qu’il a bien appliqué le correctif. Un mail a probablement été envoyé à ce sujet cette semaine. Si vous administrez votre propre serveur, la mise à jour est à faire immédiatement. Un patch spécifique existe également pour les versions 6 de CentOS et CloudLinux.
Deux mois d’exploitation silencieuse avant que le monde ne réagisse. Combien de sites ont été visités sans que personne ne s’en aperçoive ? La réponse viendra probablement au compte-gouttes, au fil des audits. En attendant, la leçon reste la même.
Source principale : TechCrunch.
