CVE-2026-41940 cPanel : 44 000 IPs en 24h — pourquoi les MSP sont la nouvelle cible #1
44 000 adresses IP uniques. En 24 heures. Toutes cherchant le même point d'entrée : un bypass d'authentification dans cPanel qui transforme n'importe quel hébergeur en master key pour ses clients.
Ce qu'est CVE-2026-41940
CVE-2026-41940 est une vulnérabilité critique dans cPanel et WebHost Manager (WHM) — le panneau de contrôle utilisé par une majorité des hébergeurs web dans le monde, des PME aux grandes plateformes d'hébergement mutualisé.
La nature de la faille : un bypass d'authentification. En exploitant une mauvaise validation de certains paramètres de session dans l'API WHM, un attaquant non authentifié peut obtenir un accès administrateur complet au panel — sans mot de passe, sans second facteur.
Depuis ce point d'accès, les possibilités sont larges : création de comptes root, modification des DNS de tous les domaines hébergés, extraction des bases de données, injection de code malveillant dans les sites hébergés, exfiltration des emails.
La vague de 44 000 IPs : anatomie d'une exploitation industrielle
La chronologie est parlante.
- 30 avril, ~09h00 UTC : publication du bulletin de sécurité cPanel avec la CVE
- 30 avril, ~11h00 UTC : premiers scans automatisés détectés par les honeypots Shodan et GreyNoise
- 30 avril, 23h59 UTC : 44 000 adresses IP uniques actives en scanning et brute-force sur l'interface WHM
- 3 mai : retombée à 3 540 IPs actives, après déploiement massif du patch par les hébergeurs
Deux heures entre la publication et les premiers scans. C'est le délai moyen pour qu'une faille cPanel se retrouve dans des toolkits d'exploitation automatisés — des outils qui tournent en continu sur des milliers de serveurs compromis, cherchant de nouvelles cibles.
Les cibles prioritaires identifiées par les équipes de réponse aux incidents : institutions gouvernementales (dont plusieurs municipalités américaines et des agences européennes utilisant cPanel pour leurs sites web) et MSP — Managed Service Providers.
Pourquoi les MSP sont une cible de rêve
Un MSP — prestataire de services managés — héberge et administre les systèmes de dizaines ou de centaines de clients depuis une infrastructure centralisée. Dans le contexte cPanel, cela signifie souvent une instance WHM unique gérant plusieurs centaines de comptes hébergement.
Compromettre un MSP via CVE-2026-41940, c'est compromettre simultanément tous ses clients hébergés.
C'est le modèle d'attaque chaîne d'approvisionnement appliqué à l'hébergement : plutôt que d'attaquer chaque client individuellement, l'attaquant frappe le nœud central qui les gère tous. Le rapport effort/impact est sans équivalent.
Les clients des MSP sont particulièrement vulnérables parce qu'ils n'ont souvent aucune visibilité sur le panel de leur hébergeur — ils font confiance au MSP pour gérer la sécurité infrastructure. Une compromission WHM peut rester invisible pendant des semaines si le MSP ne surveille pas activement ses logs d'accès.
Vérifier et patcher
Vérification de la version cPanel : Se connecter à WHM → Server Information → vérifier que la version est ≥ 11.122.0.14 (version patchée).
Mise à jour via CLI (root SSH) :
/scripts/upcp --force
Mise à jour via WHM : WHM → cPanel → Upgrade to Latest Version
Après patch, vérifier les logs d'accès WHM des 5 derniers jours pour des connexions API suspectes (accès depuis des IPs inconnues, créations de comptes non planifiées) :
/usr/local/cpanel/logs/access_log
Si des accès anormaux sont détectés avant le patch, considérer le panel comme potentiellement compromis et lancer une procédure d'incident complète — inventaire des modifications, rotation de tous les credentials, notification des clients hébergés.
Les mesures complémentaires
Patcher cPanel est nécessaire mais insuffisant si l'accès WHM est exposé directement sur Internet :
- Restreindre l'accès WHM par IP : WHM → Security Center → Host Access Control — n'autoriser que les IPs d'administration connues
- Activer l'authentification deux facteurs sur tous les comptes WHM/cPanel
- Auditer les comptes root et reseller créés dans les 7 derniers jours
- Surveiller les changements DNS des domaines hébergés — une modification DNS est souvent le premier indicateur d'une compromission cPanel
FAQ
Est-ce que mes clients hébergés sont automatiquement affectés si mon WHM est compromis ?
Oui, potentiellement tous. Depuis WHM, un attaquant peut accéder à tous les comptes cPanel hébergés, modifier leurs fichiers, leurs emails et leurs bases de données. La compromission WHM est une compromission totale de l'infrastructure hébergée.
cPanel a-t-il communiqué sur les délais de patch ?
Oui. cPanel a publié la version corrective 11.122.0.14 le 30 avril 2026, concomitamment à la publication du bulletin CVE. Les mises à jour automatiques configurées en mode Release ou Current ont reçu le patch dans les 4 à 6 heures. Les configurations Stable ou Edge ont suivi dans les 24 heures.
Les hébergements chez OVH, Hostinger ou Ionos sont-ils touchés ?
Ces hébergeurs majeurs ont tous confirmé avoir déployé le patch dans les 24 heures suivant la divulgation. Les clients de ces plateformes en hébergement mutualisé standard ne sont généralement pas exposés directement. Les risques concernent principalement les revendeurs VPS/dédié qui gèrent leur propre instance WHM.
