Comment la faille cPanel CVE-2026-41940 a déclenché une vague d’attaques ransomware « Sorry »

Impact de la faille cPanel CVE-2026-41940 sur les hébergements web

En 2026, plus de 44 000 adresses IP exécutant cPanel ont été compromises, selon le rapport de Shadowserver. Cette vulnérabilité, identifiée sous le nom de CVE-2026-41940, constitue une faille d’authentification qui permet à un attaquant de contourner les contrôles d’accès du panneau d’administration. Le phénomène a rapidement pris l’apparence d’un zero-day massivement exploité, ciblant les serveurs Linux qui hébergent des sites web critiques.

Dans la pratique, les criminels ont repéré cette opportunité pour déployer le ransomware « Sorry », qui chiffre les fichiers et ajoute l’extension « .sorry ». Le choc initial a été la diffusion d’une mise à jour d’urgence pour WHM et cPanel, publiée par les développeurs dès la première semaine d’avril 2026. Malgré cette réponse, les tentatives d’exploitation se sont poursuivies, témoignant de la rapidité avec laquelle les cybercriminels peuvent pivoter sur une faille non patchée.

Selon le rapport de Shadowserver, 44 000 adresses IP ont subi une compromission liée à la faille cPanel CVE-2026-41940 depuis février 2026. (source: Shadowserver, 2026)

Surface d’exposition du service cPanel

• Contrôle d’accès : l’attaquant contourne l’authentification via une requête HTTP spécialement forgée.
• Portails webmail : les accès aux boîtes aux lettres sont exposés, augmentant le risque de fuite de données sensibles.
• Bases de données : les identifiants MySQL/ PostgreSQL peuvent être récupérés, ouvrant la voie à l’exfiltration massive d’informations.

Statistiques d’infection à l’échelle française

Sur le territoire hexagonal, plus de 8 500 sites hébergés sur des serveurs cPanel ont été recensés dans les indexations Google comme victimes du ransomware « Sorry ». Cette proportion représente environ 12 % de l’ensemble des sites web français utilisant le panneau d’administration cPanel.

Mécanismes d’exploitation et chiffrement du ransomware Sorry

Le ransomware exploite un encryptor écrit en Go qui, une fois installé, lance un processus de chiffrement basé sur le ChaCha20. Ce système de chiffrement à flux assure une vitesse élevée, adaptée aux environnements serveurs Linux. La clé de chiffrement est ensuite protégée par une clé publique RSA-2048 enclavée dans le malware.

« Decryption is impossible without an RSA-2048 private key », explique l’expert en ransomware Rivitna. (source: Forum BleepingComputer, 2026)

ChaCha20 et RSA-2048 : une combinaison redoutable

1. ChaCha20 génère un flux de chiffrement pseudo-aléatoire pour chaque fichier.
2. RSA-2048 chiffre la clé de session ChaCha20, la rendant illisible sans la clé privée correspondante.
3. Le fichier chiffré reçoit l’extension « .sorry », rendant immédiatement visible la compromission.

Propagation via le code Go encryptor

Le code Go, compact et efficace, permet au ransomware de se propager rapidement à travers les processus d’arrière-plan du serveur. Il exploite notamment les scripts de mise à jour automatiques de cPanel, injectant le chargeur malveillant sans nécessiter d’interaction supplémentaire de l’administrateur.

Chronologie des vulnérabilités et réponses des éditeurs

Le 2 avril 2026, l’équipe de développement de cPanel a publié une mise à jour d’urgence pour WHM et cPanel, corrigeant le problème d’authentification. Cette mise à jour, référencée sous le numéro 5.11-2-release-20260401, incluait le correctif de CVE-2026-41940.

Déploiement de l’update d’urgence

• Phase 1 - Notification : les administrateurs ont reçu un e-mail officiel contenant les détails de la vulnérabilité et le lien vers le paquet.
• Phase 2 - Application : les serveurs sont invités à exécuter la commande de mise à jour via le gestionnaire de paquets.
• Phase 3 - Vérification : un script de vérification confirme la présence du correctif.

Réaction de la communauté de sécurité

Les principaux organismes français, dont l’ANSSI, ont émis des recommandations d’urgence. Le Guide ANSSI 2026-02 conseille d’activer la double authentification (2FA) et de restreindre l’accès aux API de WHM aux adresses IP autorisées. Par ailleurs, l’ISO 27001 a rappelé l’importance de la gestion des patchs dans le cadre d’une politique de contrôle des changements.

Mesures de protection immédiates pour les administrateurs WHM/cPanel

Voici une liste de vérification concrète à appliquer dès aujourd’hui :

• Installer le correctif : utilisez la commande ci-dessous pour mettre à jour le serveur.

# Mise à jour du paquet cPanel
yum update cpanel -y
# Relance du processus d'upgrade
/usr/local/cpanel/scripts/upcp

• Activer la 2FA : configurez une authentification à deux facteurs pour chaque compte admin.
• Restreindre les accès réseau : limitez le port 2087 (WHM) aux adresses IP de confiance via un pare-feu.
• Scanner les fichiers : lancez un audit de l’intégrité des fichiers avec ClamAV ou Lynis.
• Surveiller les logs : configurez des alertes sur les tentatives de connexion échouées dans /var/log/messages.

Tableau comparatif des mesures de mitigation

Stratégies de résilience à long terme et conformité (ANSSI, ISO 27001)

Pour prévenir de futures compromissions, il est indispensable d’inscrire la gestion des vulnérabilités dans la démarche de conformité. L’ANSSI recommande d’adopter le Secure Development Lifecycle (SDL), tandis que l’ISO 27001 impose une revue annuelle des contrôles de sécurité.

Gestion des clés de chiffrement

• Rotation périodique des clés RSA pour limiter l’impact d’une compromission.
• Stockage sécurisé des clés privées, par exemple dans un HSM (Hardware Security Module).
• Journalisation des accès aux clés, afin de disposer d’un audit complet en cas d’incident.

Conformité RGPD et notification des violations

En cas de fuite de données personnelles, le RGPD impose une notification à la CNIL sous 72 heures. La mise en place d’un processus de réponse aux incidents, incluant la communication aux autorités et aux victimes, est donc cruciale.

Guide de mise à jour pas à pas

Étape 1 - Sauvegarde complète

Avant toute modification, effectuez une sauvegarde intégrale des bases de données et des fichiers du serveur. Utilisez rsync ou la fonction native de sauvegarde cPanel.

Étape 2 - Téléchargement du correctif

curl -O https://securedownloads.cpanel.net/releases/5.11-2-release-20260401.tar.gz

Étape 3 - Installation

tar -xzvf 5.11-2-release-20260401.tar.gz -C /usr/local/cpanel/
/usr/local/cpanel/scripts/upcp

Étape 4 - Vérification

Exécutez le script de vérification fourni par cPanel :

/usr/local/cpanel/scripts/check_cpanel_version

Le résultat devrait indiquer la version 5.11-2-20260401 ou supérieure.

Étape 5 - Renforcement post-update

• Activer la journalisation renforcée via Logwatch.
• Déployer un WAF et mettre à jour les signatures ModSecurity.
• Planifier des tests de pénétration trimestriels pour valider la robustesse du système.

Conclusion : Prochaine action pour sécuriser votre infrastructure

La faille cPanel CVE-2026-41940 illustre parfaitement la rapidité avec laquelle une vulnérabilité critique peut être transformée en campagne ransomware à grande échelle. En appliquant le correctif, en renforçant les contrôles d’accès et en intégrant les meilleures pratiques de conformité (ANSSI, ISO 27001, RGPD), vous réduisez significativement le risque de compromission. Agissez dès maintenant : sauvegardez, mettez à jour, et activez la double authentification. Le temps presse ; chaque jour de retard augmente la surface d’exposition et le coût potentiel d’une infection ransomware.