Une nouvelle vulnérabilité de cPanel et WHM permet à un client d’hébergement déjà authentifié de passer d’un simple compte mutualisé au contrôle total du serveur. Référencée CVE-2026-67401, la faille touche la fonctionnalité EmailTrack et peut aboutir à l’exécution de code avec les privilèges de l’utilisateur root.
cPanel a publié son avis de sécurité le 8 septembre 2026 et indique que toutes les versions encore prises en charge sont concernées. Des correctifs sont disponibles pour les branches 110, 134, 136 et 138, ainsi que pour WP Squared. Les administrateurs doivent appliquer la mise à jour sans attendre l’apparition d’un code d’exploitation public.
CVE-2026-67401 brise l’isolation entre clients
Sur un hébergement mutualisé, chaque client doit rester enfermé dans son propre compte. Il peut gérer ses domaines, fichiers, bases de données et boîtes e-mail, mais ne doit ni consulter les données des voisins ni modifier le système. Le compte root, au contraire, possède les droits les plus élevés sur la machine.
Selon cPanel, un titulaire de compte disposant de privilèges liés au courrier peut exploiter EmailTrack pour créer des fichiers arbitraires sur le serveur. Cette capacité conduit ensuite à l’exécution de code en tant que root. Une seule compromission pourrait donc menacer tous les sites et services hébergés sur la même infrastructure.
Une injection SQL dans EmailTrack
EmailTrack est associé au suivi d’informations sur les messages et leur distribution. L’éditeur qualifie CVE-2026-67401 d’injection SQL, mais ne décrit ni le paramètre vulnérable ni la chaîne technique transformant cette injection en création de fichiers puis en élévation de privilèges.
Cette divulgation limitée réduit le risque de faciliter une exploitation pendant le déploiement des correctifs. Elle empêche cependant les défenseurs de construire immédiatement une signature précise. Il faut donc distinguer les faits confirmés — compte authentifié, droits de messagerie et impact root — des hypothèses techniques.
Versions corrigées de cPanel et WHM
- Branche 11.110 : version 11.110.0.143 ou ultérieure.
- Branche 11.134 : version 11.134.0.55 ou ultérieure.
- Branche 11.136 : version 11.136.0.39 ou ultérieure.
- Branche 11.138 : version 11.138.0.4 ou ultérieure.
- WP Squared : version 11.138.1.9 ou ultérieure.
Le bulletin ne propose pas de mesure compensatoire pour les serveurs qui ne peuvent pas être corrigés immédiatement. Les anciennes branches 118 et 126 ne figurent pas dans le tableau. Les exploitants concernés doivent vérifier leur statut de support et migrer vers une branche maintenue.
Comment appliquer et contrôler la mise à jour
Depuis WHM, l’administrateur peut ouvrir Home, cPanel, Upgrade to Latest Version. En ligne de commande, la documentation recommande de se connecter avec les droits root puis d’exécuter /usr/local/cpanel/scripts/upcp --force.
Il faut ensuite confirmer la version installée, vérifier le fonctionnement de cPanel, WHM, Exim et des sites, puis documenter l’opération. Pour un parc important, un inventaire centralisé permet d’identifier les machines qui n’ont pas reçu le correctif ou qui n’ont pas redémarré correctement.
Quels risques en cas d’accès root ?
Un attaquant disposant de root peut lire ou modifier les fichiers de tous les comptes, extraire les bases de données, récupérer des secrets, ajouter des utilisateurs cachés et installer une porte dérobée. Il peut également altérer les sauvegardes locales, détourner la messagerie ou utiliser le serveur comme point d’entrée vers les réseaux des clients.
Pour un hébergeur, l’incident ne concernerait donc pas uniquement le compte ayant servi à l’exploitation. La confidentialité et l’intégrité de chaque locataire pourraient être remises en cause, car des sites indépendants partagent le même noyau et la même autorité d’administration.
Contrôles recommandés après le correctif
- Examiner les comptes récemment créés ou compromis et leurs droits de messagerie.
- Rechercher des fichiers inhabituels appartenant à root dans les espaces accessibles aux clients.
- Contrôler les tâches cron, clés SSH, utilisateurs système et changements de configuration.
- Analyser les journaux cPanel, WHM, web et de messagerie autour des activités suspectes.
- Vérifier l’intégrité des sauvegardes hors ligne et des fichiers système sensibles.
Ces vérifications restent génériques. cPanel n’a pas publié, dans son avis initial, d’indicateurs techniques propres à CVE-2026-67401 ni de méthode garantissant qu’un serveur n’a pas été attaqué. Une anomalie doit être étudiée avant d’être attribuée à cette vulnérabilité.
Pas d’exploitation publique confirmée au moment de l’annonce
The Hacker News indiquait le 9 septembre ne pas avoir trouvé de code d’exploitation public ni de rapport confirmant une utilisation malveillante. La faille n’apparaissait pas non plus dans la version alors disponible du catalogue Known Exploited Vulnerabilities de la CISA. Cette absence ne prouve toutefois pas qu’aucune exploitation n’a eu lieu.
Aucun score CVSS n’était encore publié. L’impact annoncé — exécution root depuis un compte d’hébergement — suffit néanmoins à justifier une priorité élevée, particulièrement pour les infrastructures mutualisées et les revendeurs cPanel.
Une nouvelle alerte pour les plateformes d’hébergement
CVE-2026-67401 arrive après plusieurs failles récentes permettant à un compte cPanel ordinaire d’obtenir des privilèges supérieurs. Le panneau d’hébergement concentre fichiers, domaines, bases de données, certificats et messagerie : sa compromission peut produire un effet de cascade.
La défense ne doit donc pas reposer uniquement sur les mises à jour automatiques. Réduire les fonctionnalités inutiles, séparer les charges sensibles, surveiller les actions privilégiées et conserver des sauvegardes isolées permet de limiter l’impact d’une prochaine vulnérabilité.
