CVE-2026-67401 : cPanel EmailTrack injection SQL, RCE root CVSS 9.9

Les faits

Le 8 septembre 2026, WebPros a publié un advisory de sécurité pour CVE-2026-67401, une vulnérabilité d'injection SQL dans le composant EmailTrack de cPanel & WHM, notée CVSS 9.9. La particularité de cette faille est redoutable pour l'écosystème de l'hébergement web : elle permet à un utilisateur disposant uniquement de permissions de messagerie ordinaires — le type de compte que possède n'importe quel client d'hébergement partagé — de pivoter vers une exécution de code arbitraire en tant que root sur le serveur hôte. Cette vulnérabilité brise fondamentalement les barrières d'isolation entre locataires dans les environnements d'hébergement mutualisé, compromettant potentiellement l'ensemble des clients hébergés sur un même serveur.

cPanel & WHM (WebHost Manager) est le panneau de contrôle d'hébergement le plus répandu au monde, avec des estimations dépassant 70 millions de domaines hébergés sur des serveurs utilisant cette solution. L'omniprésence de cPanel dans l'écosystème de l'hébergement web — petits hébergeurs indépendants, grandes plateformes mutualisées, revendeurs et agences web — confère à CVE-2026-67401 un potentiel d'impact massif. Chaque serveur cPanel non patché héberge potentiellement des centaines ou milliers de sites web, tous compromettables en cascade depuis un seul compte mail ordinaire.

Techniquement, la vulnérabilité réside dans le composant EmailTrack, qui gère le suivi des emails sortants dans cPanel. Ce système enregistre les métadonnées des messages (destinataires, horodatages, statuts de livraison, pixels de tracking) dans une base de données locale. La faille d'injection SQL se situe dans la façon dont EmailTrack traite certains paramètres liés aux pixels de suivi d'ouverture et aux entrées de journalisation. Selon l'analyse de Panelica publiée le 10 septembre 2026, un attaquant contrôlant un compte avec des permissions de messagerie peut injecter des charges SQL dans les champs traités par ce composant, manipulant ainsi les requêtes exécutées sur la base de données interne de cPanel.

L'exploitation de l'injection SQL dans ce contexte ne se limite pas à l'extraction de données. La base de données interne de cPanel, typiquement MySQL/MariaDB configurée avec des privilèges élevés dans l'architecture cPanel, permet à un attaquant d'utiliser des fonctionnalités SQL avancées pour écrire des fichiers arbitraires sur le système de fichiers. La technique classique consiste à utiliser la clause OUTFILE de MySQL pour écrire un webshell PHP dans un répertoire web accessible, puis à exécuter des commandes système via ce webshell avec les privilèges du processus MySQL. La chaîne d'exploitation complète conduit à un accès root sur le serveur hôte, selon l'advisory VulnCheck du 9 septembre 2026.

Le score CVSS de 9.9 (et non 10.0) reflète une contrainte : l'attaquant doit posséder ou contrôler un compte mail valide sur le serveur cible. Dans un contexte d'hébergement partagé, cette contrainte est quasi-inexistante puisque n'importe quel client peut créer des adresses email dans son espace d'hébergement. Pour les serveurs dédiés ou VPS d'entreprise utilisant cPanel, la contrainte est légèrement plus significative mais reste facilement contournée par du phishing ciblé ou du credential stuffing pour obtenir des crédentiels mail valides. The Hacker News, dans son analyse du 10 septembre 2026, souligne qu'un attaquant peut obtenir des crédentiels mail compromis pour quelques dizaines d'euros sur les marketplaces de crédentiels du dark web.

L'impact architectural de CVE-2026-67401 sur le modèle de sécurité des hébergements partagés est particulièrement grave. L'isolation entre comptes dans cPanel repose sur des mécanismes de système de fichiers (uid/gid séparés), de jail shell (jailkit), et de configuration Apache suExec ou PHP-FPM par pool. CVE-2026-67401 court-circuite entièrement ces protections : en exploitant la base de données interne de cPanel via l'injection SQL et en atteignant l'exécution avec des privilèges root, un attaquant se retrouve au-dessus de toutes ces barrières d'isolation. Un compte mail compromis dans le domaine d'un client A peut donc permettre la lecture et la modification des fichiers de tous les autres clients B, C, D hébergés sur le même serveur.

La gestion des mises à jour cPanel est simplifiée par son système de mise à jour automatique. Les hébergeurs ayant activé les mises à jour automatiques en mode CURRENT ou STABLE devraient recevoir le patch automatiquement depuis le 8 septembre 2026. Cependant, de nombreux hébergeurs professionnels désactivent les mises à jour automatiques pour maintenir le contrôle de leur environnement de production, et ce sont précisément ces serveurs qui restent exposés. L'advisory WebPros Security Advisory 2026-09 recommande une mise à jour manuelle immédiate pour tous les opérateurs sans mises à jour automatiques activées.

L'advisory VulnCheck du 9 septembre 2026 souligne que la chaîne d'exploitation peut être entièrement automatisée. Un attaquant disposant d'un compte mail valide peut scripter l'intégralité de l'exploitation en quelques minutes. La nature SQL de la vulnérabilité la rend également exploitable via des outils d'injection automatisés avec un module adapté, réduisant la barrière technique à l'entrée et augmentant le risque d'exploitation par des groupes cybercriminels — notamment des opérateurs de ransomware cherchant à maximiser leur impact en compromettant des hébergeurs gérant de nombreux sites simultanément.

Impact et exposition

Toute organisation ou hébergeur utilisant cPanel & WHM sans le patch de septembre 2026 est exposé. L'impact potentiel va de la compromission d'un seul compte client à la compromission totale du serveur et de l'ensemble des clients hébergés. Pour un hébergeur mutualisé gérant des centaines ou milliers de sites, CVE-2026-67401 représente un risque de compromission massive en cascade à partir d'un seul compte mail.

Les données potentiellement accessibles après exploitation incluent : les fichiers web de tous les comptes hébergés (code source, configurations), les bases de données MySQL de tous les clients (données personnelles, e-commerce, données RGPD), les clés privées SSL/TLS de tous les domaines hébergés, les configurations des applications web (WordPress, PrestaShop, Joomla) avec leurs crédentiels de base de données, et les emails archivés. Un attaquant root sur un serveur cPanel peut également modifier les zones DNS pour du phishing, injecter du code malveillant dans les sites hébergés, ou installer des backdoors persistantes invisibles aux clients.

Les petits et moyens hébergeurs indépendants sont particulièrement exposés avec des cycles de patch souvent moins stricts. Les agences web utilisant cPanel pour héberger les sites de leurs clients sont dans le périmètre de risque direct. Les revendeurs d'hébergement (WHM Resellers) accèdent à des fonctionnalités étendues de WHM qui amplifient l'impact d'une exploitation — ils peuvent accéder aux comptes de leurs sous-clients, créant une surface d'attaque étendue.

Recommandations immédiates

• Mettre à jour cPanel & WHM immédiatement depuis root : /usr/local/cpanel/scripts/upcp --force
• Depuis l'interface WHM : Home → cPanel Store → Upgrade to Latest Version
• Vérifier la version installée : cat /usr/local/cpanel/version et comparer avec la version corrigée dans WebPros Security Advisory 2026-09
• Si la mise à jour immédiate est impossible : désactiver temporairement EmailTrack dans WHM → Email → Email Delivery Reports → désactiver le tracking
• Auditer les journaux de la base de données interne cPanel pour des patterns d'injection SQL anormaux antérieurs au patch
• Changer les mots de passe de tous les comptes cPanel et informer les clients hébergés d'un renforcement de sécurité
• Auditer les fichiers récemment modifiés sur le serveur pour détecter d'éventuels webshells : find /home -name "*.php" -newer /usr/local/cpanel/version -ls 2>/dev/null | head -50