cPanel cumule en 2026 une faille d'authentification critique (CVE-2026-41940, CVSS 10.0) exploitée activement et des hausses tarifaires de +400% en 5 ans. Des sites e-commerce ont été ransomwés. Est-il encore raisonnable de lui faire confiance ?
Pendant des années, cPanel & WHM a été la référence incontestée des panneaux de contrôle d’hébergement web. Facile à utiliser, omniprésent chez les hébergeurs, il gère aujourd’hui plus de 70 millions de domaines dans le monde — dont une part très significative de sites WordPress. Mais en 2026, deux crises simultanées remettent profondément en question ce statut.
D’un côté, une faille de sécurité catastrophique — la CVE-2026-41940, notée CVSS 10.0 — exploitée dans la nature depuis des mois, permettant à n’importe quel attaquant non authentifié de prendre le contrôle complet d’un serveur cPanel. De l’autre, des hausses tarifaires agressives qui exaspèrent les hébergeurs et leurs clients depuis 2021. Ensemble, ces deux facteurs posent une question que beaucoup commencent à se poser à voix haute : est-il encore raisonnable de confier son infrastructure à cPanel ?
La faille CVE-2026-41940 n’est pas une vulnérabilité ordinaire. Avec un score CVSS de 10.0 — le maximum possible — elle représente le pire scénario envisageable en matière de sécurité : aucune authentification requise, accès total au serveur, exploitation triviale.
Concrètement, un attaquant peut :
Ce dernier point n’est pas théorique. Des captures d’écran montrent des sites d’e-commerce dont le fichier index.html a été remplacé par un message de rançon demandant 0,1 BTC. Le serveur FTP affiche clairement la modification du fichier datée du 1er mai 2026 — en pleine exploitation active de cette faille. Des entreprises réalisant plusieurs millions d’euros de chiffre d’affaires annuel ont été touchées.
La vulnérabilité exploite une injection CRLF dans le mécanisme de gestion des sessions de cPanel : le démon cpsrvd écrit le mot de passe fourni via Basic Auth directement dans un fichier de session sans filtrer les caractères
Le patch existe depuis le 28 avril 2026 — mais la faille était déjà exploitée activement depuis le 23 février 2026, soit plus de 2 mois d’exposition pour les serveurs non patchés. Et selon les analyses forensiques, de nombreux serveurs compromis pendant cette fenêtre restent infectés même après la mise à jour.
La CVE-2026-41940 n’est pas un accident isolé. cPanel accumule un passif sécuritaire significatif :
La complexité du logiciel est elle-même un problème. cPanel est un produit vieillissant avec une base de code accumulant plus de 20 ans de dette technique. Chaque fonctionnalité ajoutée, chaque API exposée augmente mécaniquement la surface d’attaque. Les failles critiques de mai 2026 illustrent à quel point l’écosystème d’hébergement dans son ensemble est sous pression.
Ce qui rend la situation particulièrement difficile à avaler pour les professionnels, c’est la concomitance des problèmes de sécurité avec une politique tarifaire agressive.
Depuis le rachat de cPanel par Oakley Capital en 2019, les prix ont été revus à la hausse de manière répétée :
Le message implicite est problématique : vous payez plus pour un produit dont la sécurité se dégrade. Pour les revendeurs d’hébergement et les agences qui gèrent des centaines de clients, cette équation est devenue intenable.
Contactez votre hébergeur et demandez explicitement quelle version de cPanel tourne sur vos serveurs. Les versions patchées pour CVE-2026-41940 sont : 11.110.0.97, 11.118.0.63, 11.126.0.54, 11.132.0.29, 11.134.0.20 et 11.136.0.5. Si votre hébergeur ne peut pas confirmer l’une de ces versions, changez d’hébergeur ou migrez en urgence.
Même si votre serveur est patché, il peut avoir été compromis avant le patch. Vérifiez la présence de fichiers modifiés récemment dans public_html, notamment les fichiers index.html ou index.php remplacés. Consultez notre guide sur la protection anti-webshell WordPress pour détecter les backdoors injectés dans wp-content/uploads.
Si vous suspectez une compromission, la seule réponse fiable est la restauration complète depuis une sauvegarde antérieure à la compromission. C’est pourquoi les sauvegardes WordPress sécurisées ne sont pas optionnelles — elles sont votre filet de sécurité ultime.
Même si la session a été forgée sans mot de passe, changez tous les identifiants cPanel, FTP, bases de données et adresses email après la restauration. Un attaquant qui avait accès a pu enregistrer vos credentials en clair.
La situation actuelle pousse de nombreux professionnels à envisager sérieusement une migration. Plusieurs alternatives méritent d’être évaluées :
Pour les agences gérant des dizaines de sites WordPress, l’hébergement managé élimine la couche cPanel entièrement — et avec elle, toute la classe de vulnérabilités qui lui est associée.
Potentiellement oui, si votre hébergeur n’a pas appliqué le patch CVE-2026-41940. La faille permet d’accéder à votre site entier sans connaître votre mot de passe WordPress. Contactez votre hébergeur pour confirmer la version de cPanel utilisée et l’application du correctif.
Ne payez pas la rançon. Restaurez immédiatement depuis une sauvegarde propre, changez tous vos identifiants, et signalez l’incident à votre hébergeur. Faites ensuite un audit complet de votre serveur pour détecter d’éventuels backdoors laissés par l’attaquant.
Le patch corrige la vulnérabilité, mais il ne nettoie pas un serveur déjà compromis. Si votre serveur a été exposé entre février et fin avril 2026 sans patch, considérez-le comme potentiellement compromis et effectuez un audit forensique complet avant de vous estimer en sécurité.
cPanel présente une surface d’attaque plus large que les alternatives en raison de sa complexité et de sa base de code ancienne. Les alternatives modernes (hébergement conteneurisé, panneaux plus récents) ont généralement un meilleur bilan sécurité récent — mais aucun logiciel n’est exempt de vulnérabilités.
La CVE-2026-41940 n’est pas qu’une faille technique — c’est un signal d’alarme sur la gouvernance de la sécurité chez cPanel. Deux mois d’exploitation active avant patch, sur un logiciel gérant des dizaines de millions de sites, pour une vulnérabilité de base dans la gestion des sessions : c’est inacceptable pour un produit de cette criticité.
Combiné à une politique tarifaire qui a multiplié les coûts par 3 ou 4 en cinq ans, cPanel donne l’impression d’une entreprise qui monétise agressivement sa position dominante sans investir proportionnellement dans la sécurité. Pour les professionnels qui gèrent des sites critiques — e-commerce, SaaS, médias — la question de la migration n’est plus tabou.
Si vous restez sur cPanel, appliquez le patch, auditez vos serveurs, et mettez en place des sauvegardes hors-serveur systématiques. Si vous gérez des sites WordPress à fort enjeu commercial, envisagez sérieusement l’hébergement managé WordPress — c’est la seule façon d’éliminer cette catégorie de risque à la racine.
Découvrez comment mettre en place un système de monitoring WordPress efficace : journalisation des connexions, alertes en temps réel, plugins recommandés et intégration SIEM pour détecter toute intrusion.
Le credential stuffing cible des millions de sites WordPress via des bases de données de mots de passe volés. Découvrez comment détecter, bloquer et vous prémunir contre cette attaque en 2026.
Comment forcer HTTPS et configurer HSTS sur WordPress en 2026 : 4 méthodes testées, configuration HSTS Preload, correction des erreurs Mixed Content et sécurisation SSL complète.
Apprenez à surveiller l’intégrité des fichiers WordPress pour détecter backdoors, webshells et modifications malveillantes avant qu’il ne soit trop tard. Guide complet 2026.
L’éditeur de fichiers WordPress natif est l’une des portes d’entrée les plus exploitées lors d’une compromission. Découvrez comment le désactiver en une ligne et durcir votre installation WordPress.
cPanel cumule en 2026 une faille d’authentification critique (CVE-2026-41940, CVSS 10.0) exploitée activement et des hausses tarifaires de +400% en 5 ans. Des sites e-commerce ont été ransomwés. Est-il encore raisonnable de lui faire confiance ?
Nos experts français assurent un support et une prestation de qualité.
