Failles du plugin cPanel de LiteSpeed donnant un accès root : interrogez votre hébergeur
Deux failles exploitées du plugin cPanel de LiteSpeed permettaient à un compte d'hébergement de prendre le contrôle du serveur.
Concerne :Plugin cPanel LiteSpeed avant 2.4.8Serveurs cPanel avec LiteSpeed
En mai 2026, LiteSpeed Technologies a publié une mise à jour de sécurité urgente pour son plugin cPanel côté utilisateur, le module LiteSpeed qui apparaît dans cPanel sur les serveurs équipés de LiteSpeed Web Server. La faille, CVE-2026-48172, permettait à n'importe quel compte cPanel de détourner un réglage Redis du plugin pour exécuter des scripts en tant que root, l'administrateur tout-puissant du serveur. LiteSpeed a indiqué qu'elle était activement exploitée. cPanel a forcé la désinstallation du plugin le 19 mai, et LiteSpeed a publié des versions corrigées les 19 et 21 mai. La CISA l'a ajoutée à son catalogue de vulnérabilités exploitées le 26 mai 2026.
Le 1er juin 2026, LiteSpeed a annoncé une deuxième faille exploitée, nommée ensuite CVE-2026-54420. Sur les serveurs mutualisés sous CloudLinux et CageFS, un utilisateur disposant d'un accès FTP ou d'un web shell pouvait obtenir les droits root au moyen de liens symboliques. La CISA l'a ajoutée à son catalogue le 15 juin 2026.
Un accès root donne accès à tous les sites et boîtes courriel du serveur : un seul compte piraté pouvait donc mettre votre site en danger.
Qui est concerné
Les serveurs qui utilisent le plugin cPanel côté utilisateur de LiteSpeed, de la version 2.3 jusqu'aux versions antérieures à 2.4.8. La première faille est corrigée en 2.4.7 (avec le plugin WHM 5.3.1.0) et la seconde en 2.4.8 (publiée avec le plugin WHM 5.3.2.1). Sur un hébergement mutualisé, c'est votre hébergeur qui le gère.
Comment vérifier votre site
- Connectez-vous à cPanel et cherchez une rubrique ou une icône LiteSpeed. Si elle existe, votre hébergeur utilise ce plugin et la question vous concerne.
- Demandez à votre hébergeur quelle version du plugin cPanel de LiteSpeed est installée et quand elle a été mise à jour.
- Si vous gérez votre propre VPS avec cPanel et LiteSpeed, LiteSpeed fournit cette vérification pour la première faille, à lancer en root. Aucun résultat signifie aucune trace de cette attaque :
grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null
Quoi faire maintenant
- Demandez à votre hébergeur de confirmer que le plugin est en version 2.4.8 ou plus récente, ou qu'il a été retiré, et s'il a trouvé des traces d'exploitation sur votre serveur.
- Sur votre propre VPS, mettez à jour le plugin WHM de LiteSpeed en 5.3.2.1 ou plus récent, ce qui met aussi à jour le plugin cPanel. Sinon, désinstallez le plugin côté utilisateur en attendant.
- Si la vérification renvoie des résultats, examinez les adresses IP listées et les journaux système, et demandez de l'aide à votre hébergeur.
- Si votre hébergeur signale une compromission, changez vos mots de passe cPanel, courriel, FTP et base de données.
Les hébergeurs ont en général appliqué ces mises à jour rapidement, donc la plupart des serveurs mis à jour depuis juin 2026 sont probablement protégés, mais posez la question. Cette alerte rapporte ce que les sources ci-dessous ont publié et ne constitue pas une garantie concernant un site en particulier.