Comment la faille cPanel CVE-2026-41940 facilite les attaques ransomware “Sorry” - Guide pratique pour protéger vos serveurs

Une faille critique qui menace 44 000 sites en quelques semaines

« Selon le collectif Shadowserver, plus de 44 000 adresses IP hébergeant cPanel ont été compromises depuis février 2026 », indique le dernier rapport de suivi. En moins d’un mois, des dizaines de milliers de sites français et internationaux voient leurs données chiffrées par le ransomware “Sorry”. Cette situation soulève une question cruciale : comment une seule vulnérabilité cPanel, identifiée comme CVE-2026-41940, peut-elle permettre à des cybercriminels de contourner l’authentification et de déployer un encryptor Linux sophistiqué ? Les failles d’authentification Git montrent que ce type de vulnérabilité peut aussi survenir dans d’autres systèmes de gestion de code. Cet article décortique le mécanisme d’exploitation, évalue l’impact économique, et propose un plan d’action détaillé pour sécuriser vos serveurs WHM/cPanel.

Comprendre la vulnérabilité cPanel CVE-2026-41940

Nature de la faille et vectorisation

La vulnérabilité CVE-2026-41940 est classée critical par l’ANSSI, avec un score CVSS = 9,8. Il s’agit d’un contournement d’authentification qui exploite une mauvaise validation des jetons d’accès dans l’API de gestion de WHM. En pratique, un attaquant peut envoyer une requête HTTP manipulée, contenant un token falsifié, et obtenir un accès complet aux fonctions d’administration sans fournir de mot de passe.

Chronologie de l’exploit

• Fin février 2026 : premières tentatives détectées par les honeypots de Shadowserver.
• 10 avril 2026 : publication d’un correctif d’urgence par cPanel (versions = 94.0.12 et supérieures).
• 15 avril 2026 : les groupes de ransomware commencent à intégrer le vecteur dans leurs campagnes “Sorry”.

« Le contournement d’authentification d’une plateforme de gestion de serveur est le cauchemar de tout administrateur », explique un analyste senior de l’ANSSI.

Analyse technique (extrait de code)

# Vérifier la version de cPanel installée
rpm -qa | grep cpanel
# Exemple de requête exploitant CVE-2026-41940
curl -X POST https://example.com/whm-api/ \ 
     -d "token=FAKE_TOKEN&method=addacct" 

Cette requête montre comment, en l’absence de validation robuste, un token factice peut déclencher la création d’un compte administrateur.

Mécanisme d’exploitation du ransomware “Sorry”

ChaCha20 et RSA-2048 : la double couche cryptographique

Le ransomware “Sorry” utilise le cipher ChaCha20 pour le chiffrement symétrique des fichiers, puis protège la clé de session avec une clé publique RSA-2048 intégrée. Cette architecture rend la déchiffrement pratiquement impossible sans la clé privée correspondante, détenue uniquement par les cybercriminels.

« Décrypter les fichiers sans la clé RSA-2048 privée est mathématiquement irréalisable », précise l’expert en ransomware Rivitna.

Propagation via le panneau WHM/cPanel

Une fois le token falsifié obtenu, le ransomware accède aux fonctions suivantes. Les techniques de phishing propulsé par l’IA sont d’ailleurs souvent utilisées pour collecter ces credentials initiaux :

• Création d’un nouveau compte root avec privilèges complets.
• Déploiement d’un binaire encryptor Go dans le répertoire /usr/local/bin.
• Exécution du encryptor qui parcourt l’ensemble des systèmes de fichiers, ajoutant l’extension .sorry aux fichiers chiffrés.

Le script génère également un fichier README.md contenant les instructions de paiement et le Tox ID : 3D7889AEC00F2325E1A3FBC0ACA4E521670497F11E47FDE13EADE8FED3144B5EB56D6B198724.

Statistiques d’impact

• +150 % d’augmentation du nombre de domaines indexés par Google comme victimes en une semaine (source : Google Search Console, 2026).
• ≈ 200 000 € de pertes estimées pour les PME françaises ciblées, selon le rapport de l’AFNIC.

Impact sur les sites français et retombées économiques

Cas concret : boutique en ligne “LePainDoré”

En mars 2026, le site d’e-commerce de la boulangerie LePainDoré a été infecté. Le ransomware a chiffré 12 000 fichiers, incluant les bases de données MySQL contenant les informations clients. La perte de données a entraîné :

• Interruption de service de 48 heures.
• Perte de chiffre d’affaires d’environ 12 000 €.
• Coût de récupération estimé à 3 500 € (consultants et restauration de backups).

Conséquences sur la chaîne d’approvisionnement

Les hébergeurs qui ne mettent pas à jour leurs panneaux WHM/cPanel exposent non seulement leurs clients, mais aussi les partenaires qui dépendent de leurs services (CDN, API tierces). Un incident majeur peut donc se répercuter sur plusieurs dizaines de sites, multipliant les dégâts financiers.

Mesures de mitigation immédiates

Liste de contrôle prioritaire (à appliquer dès aujourd’hui)

1. Mise à jour d’urgence : installer la version 94.0.12 ou supérieure via le gestionnaire de paquets.
2. Révocation des tokens d’accès : générer de nouveaux tokens et révoquer les anciens.
3. Audit des comptes privilégiés : désactiver tous les comptes inutilisés.
4. Déploiement d’un IDS/IPS : surveiller les requêtes suspectes sur les API WHM.
5. Sauvegardes hors-site : vérifier l’intégrité et la fréquence des backups.

Tableau comparatif des actions de mitigation

Bonnes pratiques post-mise à jour

• Configurer l’authentification à deux facteurs (2FA) pour tous les accès WHM.
• Limiter les IP autorisées via le pare-feu (iptables ou firewalld).
• Activer la journalisation détaillée et la centraliser dans un SIEM compatible avec les normes ISO 27001.

Plan d’action détaillé pour les administrateurs WHM/cPanel

Étape 1 : Vérification de la version installée

# Commande pour vérifier la version de cPanel
/usr/local/cpanel/cpanel -V

Si la version affichée est antérieure à 94.0.12, passez immédiatement à l’étape 2.

Étape 2 : Application du correctif d’urgence

# Mise à jour via yum (CentOS/RHEL)
yum update cpanel-whm -y
# Redémarrage du service WHM
systemctl restart cpanel.service

Étape 3 : Rotation des jetons d’authentification

1. Connectez-vous à WHM.
2. Accédez à “API Tokens” → “Create New Token”.
3. Supprimez les tokens existants non utilisés.

Étape 4 : Renforcement du contrôle d’accès

• Implémentez fail2ban pour bloquer les tentatives de connexion brutales.
• Activez ModSecurity avec le jeu de règles OWASP.

Étape 5 : Surveillance continue

• Configurez des alertes sur les logs /var/log/secure et /usr/local/cpanel/logs/api_calls.log.
• Utilisez le tableau de bord de l’ANSSI pour suivre les incidents liés à CVE-2026-41940.

Conclusion - Protégez vos données dès aujourd’hui

En 2026, la vulnérabilité cPanel CVE-2026-41940 représente une menace immédiate pour tout hébergeur ou propriétaire de site web utilisant WHM/cPanel. Les chiffres parlent d’eux-mêmes : plus de 44 000 adresses IP compromises, des pertes de revenus conséquentes, et un risque permanent de chantage via le ransomware “Sorry”. En appliquant les mesures de mitigation décrites - mise à jour d’urgence, rotation des tokens, et renforcement des contrôles d’accès - vous pouvez réduire drastiquement la surface d’exposition. Pour former les équipes internes aux enjeux de sécurité, consultez notre guide complet sur les formations en cybersécurité.

N’attendez pas que votre site figure dans les prochains rapports de Shadowserver. Agissez dès maintenant, sécurisez vos panneaux WHM, et assurez la continuité de vos services. Le temps est compté : chaque heure d’inactivité augmente le risque de perte définitive de données.