Une faille critique de contournement d'authentification affectant les plateformes cPanel et WebHost Manager (WHM) fait l'objet de campagnes d'exploitation automatisées à grande échelle, ciblant des infrastructures d'hébergement web exposées à travers le monde. Cette vulnérabilité, référencée sous CVE-2026-41940, trouve son origine dans une grave faille de validation des sessions au sein de l'interface web administrative.
Dans des conditions spécifiques, un attaquant non authentifié à distance peut manipuler les en-têtes de session et les requêtes HTTP de manière à ce que le service sous-jacent traite la session comme entièrement autorisée, contournant ainsi les vérifications de crédentiels (Contournement d'authentification). Étant donné que cPanel et WHM constituent l'architecture de base des fournisseurs d'hébergement partagé, de la gestion DNS, des bases de données MySQL et des configurations de messagerie corporative, une compromission d'un nœud donne aux adversaires un contrôle en niveau racine sur des dizaines ou centaines de sites web de locataires.
D'un point de vue journalistique et forensique, il est crucial de contextualiser précisément la chronologie. La vulnérabilité CVE-2026-41940 a été divulguée et corrigée par cPanel au début de 2026. La résurgence des rapports ne signifie pas la découverte d'une nouvelle faille zéro-jour le 21 septembre, mais plutôt une vague coordonnée de scans opportunistes exécutée par des réseaux de botnets profitant de cycles de mise à jour obsolètes.
L'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté la CVE-2026-41940 à son catalogue des vulnérabilités exploitées connues (KEV). Parallèlement, le collectif de télémétrie à but non lucratif Shadowserver a signalé des dizaines de milliers d'adresses IP exposées fonctionnant avec des versions non mises à jour de cPanel sur les ports d'administration standard 2083 et 2087.
Recommandations Pratiques pour les Équipes IT et Sécurité
- Appliquer les Mises à Jour Officieuses de cPanel Immédiatement : Vérifiez que tous les serveurs d'hébergement gérés exécutent les dernières versions mises à jour des filières Stable, Release ou LTS.
- Auditer les Logs d'Accès de WebHost Manager : Examinez les `/usr/local/cpanel/logs/access_log` pour détecter des requêtes POST non autorisées ou des événements d'initialisation de session inhabituels provenant de sous-réseaux inconnus.
- Activer la Protection cPHulk : Assurez-vous que le module de sécurité intégré cPHulk de cPanel est actif, en imposant des seuils stricts de blocage d'IP contre les échecs répétés d'authentification.
- Isoler les Interfaces Administratives : Restreignez l'accès externe aux ports administratifs (2087 pour WHM et 2083 pour cPanel) via des pare-feux matériels ou des tunnels VPN d'entreprise.
État des Preuves
- Confirmé : cPanel a publié des avis de remédiation officiels et le CISA a documenté une exploitation active dans le monde réel.
- Signalé : La télémétrie mondiale des menaces de Shadowserver et de GBHackers sur Security a confirmé des scans opportunistes à grande échelle.
- Non Confirmé : Le volume total de serveurs web persistamment compromis avec des backdoors secondaires via des shells web reste sous évaluation par les CSIRT.
En Résumé
- Les attaquants exploitent activement une faille connue d'authentification (CVE-2026-41940) dans cPanel et WHM.
- Des acteurs non authentifiés peuvent contourner les contrôles de connexion sur des serveurs non mis à jour pour compromettre des sites web multi-tenants.
- Les administrateurs de serveurs doivent installer les mises à jour et restreindre l'accès à WHM derrière des réseaux sécurisés.