Faille cPanel : des milliers de sites hébergés exposés, que vérifier
Une faille critique de cPanel, l'interface d'administration de nombreux hébergements, est exploitée par des attaquants. Votre site est peut-être concerné sans que vous le sachiez.
Fin avril 2026, une faille critique a été révélée dans cPanel & WHM, l'interface d'administration utilisée par une grande partie des hébergeurs web dans le monde. Elle permet à un attaquant, sans mot de passe, de prendre le contrôle de l'interface d'administration du serveur. Elle est exploitée. Si votre site vitrine, votre boutique ou votre messagerie est hébergé sur une offre mutualisée ou un serveur administré avec cPanel, il est peut-être concerné, et vous ne le savez probablement pas.
Ce qui s'est passé
La faille porte la référence CVE-2026-41940 et un score de gravité de 9,8 sur 10. Le laboratoire de sécurité watchTowr en a publié l'analyse technique le 29 avril : il s'agit d'un contournement d'authentification dans la gestion des sessions. En glissant des caractères particuliers dans un mot de passe, un attaquant parvient à faire enregistrer une session marquée comme authentifiée en tant qu'administrateur principal du serveur. Selon cPanel, toutes les versions alors supportées étaient touchées.
watchTowr indique que l'hébergeur KnownHost a constaté une exploitation en cours, et que la faille a été utilisée avant la publication du correctif. Le média spécialisé The Record rapporte que la CISA, l'agence américaine de cybersécurité, a confirmé l'exploitation le 30 avril et donné aux administrations fédérales jusqu'au 3 mai pour corriger, un délai exceptionnellement court. D'autres entreprises de sécurité ont signalé des milliers d'interfaces cPanel exposées sur Internet et potentiellement vulnérables.
Selon une analyse de Rapid7 citée par The Record, une exploitation réussie donne à l'attaquant le contrôle de l'hébergement : sa configuration, ses bases de données et les sites qu'il gère. cPanel a publié des correctifs, ainsi qu'un outil pour vérifier si un serveur a été compromis.
Qui est concerné
cPanel est rarement visible pour le client final. C'est souvent l'outil qui se cache derrière « l'espace client » de votre hébergeur ou le panneau d'administration de votre serveur. Vous êtes potentiellement concerné si :
- votre site est hébergé sur une offre mutualisée d'un hébergeur qui utilise cPanel ;
- vous louez un serveur administré par un prestataire qui y a installé cPanel ;
- votre agence web ou votre prestataire gère plusieurs sites clients sur un même serveur cPanel.
Sur un hébergement mutualisé, c'est à l'hébergeur d'appliquer le correctif, et les acteurs sérieux l'ont fait vite. Le risque est surtout du côté des serveurs administrés par de petits prestataires, ou plus administrés du tout.
Ce que vous risquez
Un attaquant qui contrôle l'administration d'un hébergement peut modifier vos sites (pour y cacher des pages frauduleuses ou un code qui vole les données saisies par vos clients), lire ou copier vos bases de données, créer des comptes de messagerie, ou se servir du serveur pour attaquer d'autres cibles. Pour une boutique en ligne, une page de paiement modifiée peut passer inaperçue pendant des semaines.
Ce que nous conseillons
- Demandez à votre hébergeur ou prestataire si vos sites tournent sur cPanel, et si la version corrigée est installée. watchTowr liste les versions corrigées par branche ; une réponse précise doit être possible en quelques minutes.
- Demandez s'il a lancé l'outil de vérification de compromission publié par cPanel, et ce qu'il a trouvé.
- Changez les mots de passe d'administration de l'hébergement, des bases de données et des sites une fois le correctif appliqué.
- Vérifiez vos sites : pages inconnues, comptes administrateurs ajoutés, redirections étranges, scripts inconnus sur les pages de commande.
- Si personne ne sait vous répondre, c'est le signal qu'il faut reprendre la main sur votre hébergement, quoi qu'il arrive.
Et si vous utilisez WordPress
Beaucoup de sites vitrines de PME tournent sous WordPress, sur un hébergement administré avec cPanel. La faille ne touche pas WordPress lui-même, mais l'outil qui administre le serveur où il est installé : un site WordPress parfaitement à jour peut donc être compromis par ce biais. Vérifier ses extensions ne suffit pas, il faut aussi interroger son hébergeur.
La leçon de fond
Cette faille rappelle une évidence qu'on oublie : un site web n'est pas un objet qu'on livre une fois pour toutes, c'est un logiciel qui tourne sur un serveur, lequel tourne sur d'autres logiciels, tous susceptibles d'avoir des failles. Après l'attaque d'axios en mars et les failles en série découvertes par l'IA en avril, mai commence avec une faille critique dans un outil d'hébergement très répandu. Le rythme n'est pas près de ralentir.
Ce qui protège, ce n'est pas un outil miracle, c'est une organisation : savoir qui administre quoi, appliquer les correctifs en jours plutôt qu'en mois, réduire ce qui est exposé sur Internet. Les logiciels et les boutiques que nous développons sont hébergés en France sur des serveurs que nous maintenons nous-mêmes, sans panneau d'administration grand public exposé, avec une maintenance qui répond sous 24 heures ouvrées. Si vous voulez savoir où et comment votre boutique en ligne ou votre site est hébergé, posez-nous la question lors d'un rendez-vous de 30 minutes.