cPanel : un compte mail devient root

Ce qui se passe

cPanel a corrigé le 8 septembre 2026 une faille qui permet à un seul compte d'hébergement de prendre le contrôle de la machine entière. Elle est suivie sous CVE-2026-67401, et l'avis la qualifie d'injection SQL dans EmailTrack, le module qui suit les statistiques de messagerie.

Le chemin décrit tient en deux temps : un titulaire de compte authentifié, disposant de privilèges liés au courrier, crée des fichiers de son choix sur le serveur, puis exécute du code en tant que root. Toutes les versions supportées de cPanel et WHM sont concernées.

L'avis reste avare : il ne dit ni quelle fonctionnalité ni quel privilège exact sont requis, ni comment une injection SQL débouche sur une création de fichier.

Pourquoi ça compte

Sur un serveur mutualisé, le modèle repose sur une frontière : le client gère son compte via cPanel, l'hébergeur gère la machine via WHM en root. Cette faille efface la frontière. Un seul compte compromis — mot de passe réutilisé, formulaire troué, extension WordPress abandonnée — et l'attaquant lit les bases de tous les autres, modifie les fichiers, crée des comptes cachés, récupère les identifiants.

C'est la troisième faille depuis fin juillet qui part d'un compte d'hébergement ordinaire : une élévation de privilèges base de données le 30 juillet, une exécution de code en root via le domain parking le 27 août, celle-ci aujourd'hui. Des dépôts se présentant comme des exploits fonctionnels pour les deux premières étaient en ligne le 9 septembre.

Deux absences méritent d'être signalées, parce qu'elles changent la façon de décider :

• Aucun score de gravité. Les CVE récentes de cPanel passent par HackerOne et les scores arrivent dans l'enregistrement CVE, pas dans l'avis. Pour la faille d'août, l'enregistrement est paru cinq jours après l'avis, à 8,7 sur 10. Rien n'était publié pour CVE-2026-67401 au 9 septembre.
• Aucune mesure d'atténuation temporaire, contrairement à l'avis du 30 juillet qui suggérait de retirer la fonctionnalité MySQL aux utilisateurs le temps de la mise à jour.

Ce qu'il faut faire

Les builds correctifs, ligne par ligne :

Depuis WHM : Home / cPanel / Upgrade to Latest Version. En ligne de commande, connecté en root :

/usr/local/cpanel/scripts/upcp --force

Les lignes 11.118 et 11.126, corrigées lors des avis de juillet, ne sont plus listées depuis, et cPanel n'a pas dit si elles restent supportées. Si vous y êtes encore, considérez que vous n'aurez pas de correctif.

À retenir

Aucun exploit public ni exploitation constatée au 9 septembre, et la faille est absente du catalogue KEV de la CISA. Ce n'est pas une garantie : la faille cPanel d'avril, elle, y figure avec un usage avéré en rançongiciel.

L'avis ne dit pas non plus si appliquer le correctif suffit à un serveur déjà attaqué, ni comment le vérifier — un point à traiter comme une réponse à incident si vous avez des raisons de douter. La faille est créditée à Ali Mustafa (rz1027) et abed1526.

Source : New cPanel Flaw Lets a Hosting Account With Mail Privileges Run Code as Root