La faille cPanel dévoilée fin avril 2026 a déjà été exploitée comme zero-day pendant plusieurs mois avant publication, et un PoC public circule désormais. Pour les PME-ETI qui hébergent leur site WordPress ou leurs applications métier sur un panel cPanel/WHM, la fenêtre d’action se réduit à quelques heures avant que les opérateurs ransomware ne ciblent massivement le parc exposé.
Faille cPanel/WHM : ce que dit l’avis de sécurité
Selon BleepingComputer et SecurityWeek, la vulnérabilité cPanel/WHM permet à un attaquant authentifié à privilèges minimaux d’élever ses droits jusqu’à un compromis complet du serveur d’hébergement. Le contrôle de WHM signifie l’accès à tous les comptes clients hébergés sur la même machine : bases de données, mails, sauvegardes, clés API.
Trois éléments rendent cette faille cPanel particulièrement dangereuse pour les PME-ETI françaises :
- L’exploitation s’est étalée sur plusieurs mois avant le correctif officiel : des serveurs ont pu être compromis sans alerte.
- Un PoC public est désormais disponible, ce qui industrialise les scans Internet en quelques heures.
- cPanel est massivement utilisé par les hébergeurs mutualisés et VPS « clé en main » qui équipent les TPE/PME, souvent sans équipe sécurité dédiée.
Pourquoi cette vulnérabilité cPanel cible directement les PME-ETI
Le tissu PME-ETI s’appuie largement sur l’hébergement managé cPanel pour réduire les coûts d’exploitation. C’est précisément ce qui en fait une cible de choix : un seul serveur cPanel compromis donne à l’attaquant des dizaines, voire des centaines de sites en une seule opération. Le scénario typique observé :
- Compromis d’un compte de revendeur ou d’un client à privilèges réduits (vol d’identifiants, phishing, mot de passe faible).
- Exploitation de la faille cPanel pour passer de simple utilisateur à root WHM.
- Déploiement de webshells, de mineurs ou d’un payload ransomware sur l’ensemble des sites hébergés.
- Exfiltration des bases SQL clients, des sauvegardes
.tar.gzet des clés API stockées dans~/.my.cnfou les fichiers.env.
Ce mode opératoire se retrouve dans la majorité des incidents de type backdoor WordPress que nous traitons depuis 2025.
Plan d’action immédiat pour neutraliser la faille cPanel
Voici la check-list que les équipes IT ou les prestataires d’infogérance doivent dérouler dans les 24 heures :
1. Patcher sans délai
- Vérifier la version installée :
/usr/local/cpanel/cpanel -V. - Appliquer la dernière version stable cPanel/WHM publiée par l’éditeur, via
/scripts/upcp --forcesur les serveurs autogérés. - Pour les hébergements mutualisés, exiger par écrit de l’hébergeur la confirmation du patch et la date d’application.
2. Chasser les indicateurs de compromis
- Auditer
/var/log/cpanel-install.log,/var/cpanel/accounting.loget l’historiquelast/lastlog. - Rechercher les fichiers récemment modifiés dans
/usr/local/cpanel/et~/public_html/avecfind ... -mtime -90. - Vérifier les tâches cron suspectes :
for u in $(cut -f1 -d: /etc/passwd); do crontab -u $u -l 2>/dev/null; done. - Inspecter les comptes WHM créés au cours des derniers mois :
whmapi1 listaccts.
3. Réduire la surface d’attaque
- Restreindre l’accès aux ports 2082-2087 et 2095-2096 par IP (firewall ou ModSecurity).
- Forcer la 2FA sur tous les comptes WHM et resellers.
- Désactiver les comptes inactifs ou de démonstration (
cPanelDemo). - Activer cPHulk et baisser le seuil de blocage à 5 tentatives sur 5 minutes.
4. Préparer la rotation de secrets
Si le serveur a fonctionné en version vulnérable plus de 30 jours, considérer le compromis comme probable et renouveler systématiquement :
- Tous les mots de passe FTP/SSH/SQL des comptes clients.
- Les clés API stockées dans les fichiers de configuration applicatifs (
wp-config.php,.env). - Les jetons d’accès aux services tiers (Stripe, Mailjet, AWS, etc.).
Détecter les exploits en cours sur l’hébergement cPanel
Pour les PME-ETI qui exploitent un SIEM, plusieurs règles de détection cPanel méritent d’être activées dès aujourd’hui :
- Surveillance des process trees anormaux issus de
cpsrvdouwhostmgrexécutantbash,perloupython. - Détection d’élévation suspecte vers root depuis un utilisateur cPanel non privilégié.
- Alerte sur création d’un compte WHM en dehors des heures ouvrées.
- Monitoring de l’apparition de fichiers
.suspendedou de comptes avec quota disque anormal.
Pour aller plus loin sur la détection des compromissions de l’écosystème PHP, voir notre analyse sur la supply chain GlassWorm, qui partage plusieurs IOCs réutilisables.
Conclusion : la faille cPanel impose une discipline de patching
La faille cPanel/WHM illustre à nouveau que les panels d’administration sont les cibles prioritaires des opérateurs ransomware en 2026. Pour une PME-ETI, le coût d’un patch dans la nuit est sans commune mesure avec celui d’une exfiltration multi-clients. La règle reste la même : patch sous 24 heures, audit dans la foulée, rotation des secrets en cas de doute. Et si vous gérez plusieurs serveurs, c’est le bon moment pour basculer sur un hébergement avec hardening systématique et SIEM intégré.