Faille de connexion cPanel et WHM exploitée par un rançongiciel : vérifiez votre serveur
Une faille critique de cPanel & WHM permettait d'entrer dans le panneau sans mot de passe. Exploitée en masse. Vérifiez que votre hébergeur a corrigé.
Concerne :cPanel & WHM avant fin avril 2026WP Squared avant 11.136.1.7
Fin avril 2026, cPanel a publié une mise à jour de sécurité d'urgence pour cPanel & WHM afin de corriger CVE-2026-41940, une faille dans le processus de connexion. Elle permettait à un attaquant à distance d'entrer dans le panneau de contrôle sans mot de passe valide. La fiche CVE a été publiée le 29 avril 2026 avec une note CVSS 3.1 de 9,8 sur 10.
La faille a été utilisée avant même qu'un correctif existe. BleepingComputer a signalé des tentatives d'exploitation remontant à fin février 2026, ainsi que des attaques installant un rançongiciel appelé « Sorry », qui chiffre les fichiers et leur ajoute l'extension .sorry. L'agence américaine CISA a ajouté la faille à son catalogue de vulnérabilités exploitées le 30 avril 2026 et indique qu'elle sert dans des campagnes de rançongiciel. WP Squared, un panneau de WebPros destiné à l'hébergement WordPress, était aussi touché.
Qui est concerné
Les serveurs qui utilisent cPanel & WHM à partir de la version 11.40, jusqu'à la première version corrigée de chaque branche. Les versions corrigées indiquées dans la fiche CVE comprennent 11.110.0.97, 11.118.0.63, 11.126.0.54, 11.130.0.19, 11.132.0.29, 11.134.0.20 et 11.136.0.5 (cPanel les écrit souvent sans le 11 initial, par exemple 136.0.5). WP Squared est corrigé en 11.136.1.7.
Si votre site est sur un hébergement mutualisé avec cPanel, le serveur appartient à votre hébergeur et la mise à jour relève de lui. Si vous gérez votre propre VPS avec WHM, elle relève de vous.
Comment vérifier votre site
- Connectez-vous à cPanel. La version figure généralement dans le bloc « Informations générales » de la page d'accueil. Comparez-la à la version corrigée de la même branche.
- Sur votre propre serveur, WHM affiche la version dans son interface. Une version plus ancienne que la version corrigée de sa branche signifie que le serveur n'a jamais été corrigé.
- Repérez les signes d'alerte : des fichiers soudain renommés avec l'extension .sorry, une note de rançon README.md inattendue, ou des comptes cPanel, adresses courriel ou utilisateurs FTP que vous n'avez pas créés.
Quoi faire maintenant
- Demandez à votre hébergeur de confirmer par écrit que le serveur a été mis à jour vers une version corrigée fin avril 2026 ou après, et s'il a trouvé des traces d'intrusion.
- Si vous gérez un VPS, mettez à jour cPanel & WHM depuis WHM dès maintenant et laissez les mises à jour automatiques activées.
- En cas de signe d'alerte, changez vos mots de passe cPanel, courriel, FTP et base de données, et restaurez une sauvegarde saine antérieure à l'intrusion, avec l'aide de votre hébergeur.
- Conservez au moins une sauvegarde récente en dehors du serveur.
Les hébergeurs ont en général appliqué le correctif en quelques jours, donc un serveur mis à jour depuis est très probablement protégé, mais une vérification reste utile. Cette alerte rapporte ce que les sources ci-dessous ont publié et ne constitue pas une garantie concernant un site en particulier.