En bref

  • CVE-2026-65643 : faille critique dans cPanel & WHM permettant l'exécution de code en tant que root depuis un compte hébergé standard
  • Tout titulaire d'un compte cPanel avec permission de gestion de domaines parqués peut exploiter la vulnérabilité
  • Action requise : appliquer immédiatement le patch via /scripts/upcp --force ou WHM > Upgrade to Latest Version

Les faits

Le 27 août 2026, cPanel a publié un avis de sécurité critique détaillant CVE-2026-65643, une vulnérabilité affectant la fonctionnalité de gestion des domaines parqués dans cPanel & WHM (WebHost Manager). La faille a été identifiée par Devon Courtney, ingénieur sécurité chez cPanel. Elle est absente du catalogue KEV (Known Exploited Vulnerabilities) de la CISA au moment de la publication, mais son degré d'exploitabilité justifie une réponse immédiate.

La vulnérabilité réside dans le mécanisme de domain parking, une fonctionnalité courante permettant à un utilisateur de pointer des domaines supplémentaires vers un site web existant. Tout titulaire d'un compte cPanel disposant des permissions d'ajout de domaines parqués ou addon domains peut exploiter le bug pour créer des fichiers arbitraires n'importe où sur le serveur sous-jacent, y compris dans des répertoires système protégés.

L'impact réel de la faille va bien au-delà de la simple création de fichiers. Selon l'avis officiel, une exploitation réussie conduit à l'exécution de code en tant que root, conférant à l'attaquant un contrôle total du serveur. En environnement d'hébergement mutualisé — le cas d'usage principal de cPanel — cela signifie qu'un client parmi des centaines sur un même serveur peut prendre le contrôle de l'ensemble de l'infrastructure physique, compromettant par ricochet toutes les autres instances hébergées.

La surface d'attaque est particulièrement préoccupante pour les hébergeurs. Contrairement aux failles qui exigent des accès élevés ou une position réseau privilégiée, CVE-2026-65643 ne requiert qu'un compte cPanel légitime avec des permissions standard. Ces accès s'obtiennent légalement dès quelques euros par mois via n'importe quel hébergeur mutualisé, ou par compromission d'un compte existant via phishing ou credential stuffing.

Toutes les versions supportées de cPanel & WHM sont concernées. cPanel n'a pas précisé si la faille a déjà fait l'objet d'une exploitation active dans la nature, mais la simplicité du vecteur d'attaque et la sévérité du résultat potentiel classent cette CVE parmi les priorités de patching absolues du mois d'août 2026.

Pour contextualiser l'exposition potentielle : cPanel est le panneau de contrôle le plus utilisé au monde pour l'hébergement web partagé. Selon les estimations du secteur, plusieurs dizaines de millions de comptes actifs s'appuient sur cPanel. Un serveur cPanel type héberge entre 50 et 500 clients. L'impact en cascade d'une exploitation réussie dans un environnement mutualisé est donc considérable.

Le Centre for Internet Security (CIS) a publié son propre advisory (référence CIS 2026-042) en parallèle, recommandant à tous les administrateurs de systèmes cPanel et WHM d'appliquer le patch sans délai. La procédure de mise à jour est accessible depuis l'interface WHM sous Home > cPanel > Upgrade to Latest Version, ou en ligne de commande via /scripts/upcp --force exécutée en root.

Un second composant est mentionné dans le même advisory du CIS : WP Squared, un plugin WordPress intégré à certaines stacks cPanel. Des vecteurs d'exécution de code à distance ont été identifiés dans ce composant, élargissant potentiellement la surface d'attaque pour les hébergeurs proposant des offres WordPress managées via cPanel. Les administrateurs concernés doivent traiter les deux composants dans la même fenêtre de patching.

Sur le plan de la détection, les équipes SOC doivent surveiller toute création de fichier anormale dans des répertoires système (/etc, /usr/local/cpanel) ainsi que les appels inhabituels aux binaires système par le processus cPanel. Un audit d'intégrité des fichiers via FIM (File Integrity Monitoring) est recommandé sur tous les serveurs qui n'ont pas encore pu être patchés.

Impact et exposition

Les hébergeurs web utilisant cPanel & WHM sont en première ligne. Les PME et organismes publics recourant à des offres d'hébergement mutualisé dépendent de la réactivité de leur hébergeur. Les revendeurs cPanel administrant eux-mêmes des serveurs sont également exposés. L'exploitation ne nécessite pas de position réseau particulière : un simple accès HTTP au panel cPanel suffit depuis n'importe quelle adresse IP.

Recommandations

  • Mettre à jour immédiatement : exécuter /scripts/upcp --force en root sur chaque serveur cPanel, ou utiliser WHM > Upgrade to Latest Version
  • Auditer les comptes avec droits de domaines parqués : restreindre cette permission aux seuls comptes qui en ont un besoin légitime avéré
  • Activer les logs d'accès WHM et surveiller toute création de fichier inhabituelle dans des répertoires système
  • Vérifier l'intégrité des fichiers système via FIM si le patch ne peut être appliqué immédiatement
  • Si hébergement externalisé : contacter son hébergeur pour confirmer le statut du patch et demander le numéro de build cPanel mis à jour

Alerte critique

CVE-2026-65643 permet à n'importe quel locataire d'un serveur mutualisé cPanel d'obtenir un accès root complet. En environnement partagé, tous les autres clients hébergés sur le même serveur sont exposés. Appliquez le patch avant toute autre priorité de la journée.

Mon hébergeur gère cPanel pour moi — suis-je protégé automatiquement ?

Pas nécessairement. Certains hébergeurs appliquent les mises à jour cPanel en automatique, d'autres via des fenêtres de maintenance manuelles. Contactez directement votre support hébergeur pour confirmer que cPanel a bien été mis à jour après le 27 août 2026. Demandez le numéro de build exact — la version corrigée doit dater du 27 août 2026 ou après.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit