cPanel CVE-2026-41940 : 1,5 million de serveurs exposés

Les faits

Le 28 avril 2026, cPanel publiait en urgence un correctif pour une faille critique affectant son panneau d'administration web, référencée CVE-2026-41940. Quarante-huit heures plus tard, un chercheur de watchTowr Labs diffusait une analyse technique détaillée assortie d'une preuve de concept fonctionnelle, réduisant à néant le délai de mise à jour dont disposaient les hébergeurs. Le 1er mai, plusieurs CERT européens, dont le CERT-FR, relayaient l'alerte auprès de leurs constituants. Depuis, l'exploitation de masse est confirmée : des campagnes automatisées balayent Internet à la recherche des instances vulnérables, avec à la clé un accès root, le déploiement de webshells et le vol de bases de données clients. Avec près de 1,5 million de serveurs exposés dans le monde, la CVE-2026-41940 cPanel s'impose comme l'un des incidents majeurs de l'année pour l'écosystème de l'hébergement mutualisé.

La faille est un classique du genre : une injection CRLF (Carriage Return Line Feed) dans le processus de chargement de session du démon cpsrvd. Avant même l'authentification, cpsrvd écrit un fichier de session sur disque en se basant sur un cookie nommé whostmgrsession. En omettant un segment attendu du cookie, l'attaquant déclenche un chemin de code qui contourne l'étape de chiffrement. Un en-tête Basic Authorization malformé permet ensuite d'injecter des caractères CRLF bruts, et le système écrit le contenu sans aucun assainissement.

Conséquence directe : l'attaquant insère arbitrairement des propriétés dans son fichier de session, dont user=root. Au prochain appel HTTP, cpsrvd lit cette session, considère l'attaquant comme administrateur racine et lui ouvre l'intégralité de l'interface WHM. Aucun mot de passe, aucun MFA, aucun token. Une simple requête HTTP forgée suffit.

Le périmètre est massif. cPanel reconnaît que toutes les versions supérieures à 11.40 sont impactées, y compris DNSOnly. Selon les données Shodan recoupées par Picus Security, environ 1,5 million d'instances cPanel sont directement exposées sur internet sans filtrage IP. La très grande majorité héberge des sites mutualisés de PME, des hébergeurs locaux et des plateformes WordPress managées.

Plus inquiétant encore, les équipes de Cato Networks et de watchTowr estiment, sur la base de signatures retrouvées dans des honeypots, que l'exploitation dans la nature précède le correctif d'environ deux mois. Autrement dit, des attaquants connaissaient et utilisaient la faille en zero-day depuis le début mars 2026, avant la divulgation officielle. Plusieurs hébergeurs européens auraient déjà constaté des compromissions remontant à cette période.

Le caractère préauthentifié et non interactif de la vulnérabilité la rend triviale à exploiter à grande échelle. Plusieurs scripts d'exploitation circulent désormais sur des forums spécialisés et sont intégrés à des frameworks d'attaque automatisée. Source : avis de sécurité cPanel du 28 avril, rapport Rapid7 du 30 avril, analyse Censys et bulletin CERT-FR.

Impact et exposition

L'exposition est triple. Premièrement, le compromis d'un serveur cPanel donne accès en lecture-écriture à tous les sites hébergés sur la machine, à leurs bases de données MySQL et à leurs comptes mail. Deuxièmement, l'attaquant peut créer de nouveaux comptes WHM, déployer des webshells persistants ou modifier les enregistrements DNS gérés par le serveur. Troisièmement, l'accès root sous-jacent autorise des actions latérales vers d'autres serveurs de l'infrastructure (clés SSH partagées, backups montés en NFS, scripts d''orchestration).

Sont prioritairement exposés : les hébergeurs mutualisés, les revendeurs de baies, les agences web qui gèrent des dizaines de sites clients sur un même WHM, et les TPE/PME qui auto-hébergent leur site sur une instance cPanel sans mise à jour automatique.

Recommandations

• Mettre à jour immédiatement vers cPanel & WHM 11.136.0.5 ou WP Squared 136.1.7. Pas de contournement applicatif, le patch est obligatoire.
• Restreindre l''accès aux ports 2083, 2086, 2087, 2095, 2096 par filtrage IP côté pare-feu : autoriser uniquement les plages d''administration connues.
• Auditer les fichiers de session dans /var/cpanel/sessions/ à la recherche d''entrées suspectes datant de mars-avril 2026, en particulier celles avec user=root pour des sessions inattendues.
• Vérifier les comptes WHM existants, supprimer ceux non reconnus, faire tourner les mots de passe administrateurs et les clés API.
• Inspecter le système à la recherche de webshells dans /home/*/public_html/ et de tâches cron suspectes.