Comment une fonctionnalité standard de parking de domaine a donné un accès root à chaque utilisateur

L'hébergement mutualisé repose sur une promesse fondamentale : chaque utilisateur vit dans un conteneur sécurisé et isolé. Nous supposons qu'un voisin sur le même serveur physique ne peut pas scruter nos fichiers ou, pire, prendre le contrôle de toute la machine. Cette hypothèse s'est effondrée le 27 août 2026, lorsque cPanel a confirmé une vulnérabilité critique dans la manière dont son logiciel gère le parking de domaines et les domaines compagnons. Cette faille, identifiée sous la référence CVE-2026-65643, est un paradoxe architectural où une tâche de gestion courante devient un chemin direct vers les privilèges root.

J'ai passé des années en tant qu'administrateur système avant de me lancer dans le journalisme de sécurité. Je me souviens de l'anxiété spécifique liée à la gestion de milliers de comptes sur un seul cluster. Vous faites confiance au panneau de contrôle pour faire respecter les limites. Si un utilisateur peut sortir de son répertoire personnel, l'ensemble du modèle de sécurité est un échec. La CVE-2026-65643 est cet échec dans sa forme la plus littérale. Elle permet à un détenteur de compte authentifié de créer des fichiers arbitraires sur le serveur. Étant donné que le processus qui gère ces domaines opère souvent avec des permissions élevées, le résultat est une exécution complète de code en tant qu'utilisateur root.

L'architecture d'un effondrement de l'hébergement mutualisé

La vulnérabilité réside dans la logique qui traite les domaines parqués et compagnons au sein de cPanel et WebHost Manager (WHM). Lorsqu'un utilisateur ajoute un domaine, le système doit mettre à jour les fichiers de configuration et créer des structures de répertoires. Dans ce cas précis, la logique de validation ne parvient pas à empêcher la création de fichiers dans des zones sensibles du système de fichiers. Il ne s'agit pas d'un exploit complexe nécessitant des techniques avancées de corruption de mémoire. C'est une faille logique où le système suit des instructions qu'il aurait dû rejeter.

Du point de vue du risque, c'est un cauchemar pour les fournisseurs d'hébergement mutualisé. Un attaquant n'a pas besoin d'un exploit zero-day ou d'une campagne de phishing sophistiquée pour commencer. Il lui suffit d'un compte d'hébergement valide de bas niveau. Une fois ce point d'ancrage obtenu, il peut utiliser la fonctionnalité de domaine compagnon pour déposer un script malveillant dans un répertoire où le système l'exécutera en tant que root. Cela lui donne les clés de tous les autres comptes du serveur, de chaque base de données et de chaque e-mail crypté stocké sur le disque.

Évaluation de la surface d'attaque et des branches de support

cPanel a publié des correctifs pour toutes les versions prises en charge, mais la liste des branches affectées soulève des questions. La société a désigné les versions 11.110.0.141, 11.134.0.53, 11.136.0.37, 11.138.0.2 et 11.138.1.7 comme les versions minimales sûres. Cependant, les correctifs publiés en juillet pour d'autres failles incluaient les branches 11.118 et 11.126. L'omission de ces branches dans la notification du 27 août suggère qu'elles pourraient avoir atteint la fin de leur vie de support. Les administrateurs utilisant ces versions doivent vérifier leur statut immédiatement.

En examinant le paysage des menaces, cet incident s'inscrit dans une tendance plus large de vulnérabilités des panneaux de contrôle. Plus tôt cette année, le catalogue des vulnérabilités exploitées connues de la CISA a ajouté deux failles dans le plugin LiteSpeed pour cPanel. L'une d'elles, CVE-2026-48172, permettait également une escalade de privilèges vers root. L'écosystème cPanel est une cible massive car il est le standard de fait pour l'industrie de l'hébergement web. Lorsqu'une faille comme la CVE-2026-65643 apparaît, elle impacte des millions de sites web simultanément.

La trace médico-légale laissée derrière

Patcher un serveur arrête l'hémorragie, mais cela ne vous dit pas si le voleur est déjà à l'intérieur. cPanel n'a pas fourni d'indicateurs de compromission spécifiques pour cette faille. En cas de brèche, les analystes médico-légaux doivent rechercher des artefacts créés pendant la phase d'exploitation. En coulisses, la création de fichiers arbitraires laisse des traces dans les journaux d'erreurs Apache et les journaux d'accès cPanel. Lorsqu'une faille similaire a affecté Phusion Passenger au début du mois, cPanel a recommandé d'utiliser grep pour rechercher des modèles de requêtes spécifiques dans les logs.

Plesk, un produit frère de cPanel, a fourni des conseils plus granulaires à ses utilisateurs lors d'un incident similaire récent. Ils ont suggéré de vérifier le fichier /etc/ld.so.preload pour détecter des entrées inattendues. Ce fichier est une cible courante pour les attaquants qui souhaitent maintenir une persistance sur un système Linux. Si une bibliothèque malveillante y est chargée, elle peut intercepter les appels système et masquer la présence de l'attaquant aux outils de surveillance standard. Correctif mis à part, un administrateur doit supposer que tout serveur accueillant des utilisateurs non fiables a été une cible.

Parler proactivement de l'atténuation

Pour les serveurs configurés pour des mises à jour quotidiennes automatiques, le correctif est arrivé sans intervention manuelle. C'est le seul avantage du modèle de mise à jour centralisé moderne. Cependant, de nombreux environnements d'entreprise désactivent les mises à jour automatiques pour éviter les interruptions de service. Pour ces administrateurs, la commande /scripts/upcp --force est le seul moyen de s'assurer que le serveur n'est plus exploitable. Cela doit être exécuté via une session SSH root immédiatement.

Un détail reste flou dans l'avis officiel. cPanel avait précédemment averti qu'une faille Exim pouvait permettre une escalade de privilèges à partir de sous-comptes Team User. La notification du 27 août ne précise pas si ces sous-comptes peuvent également exploiter la vulnérabilité des domaines compagnons. Dans un environnement zero trust, vous devez supposer que tout compte ayant la permission de gérer des domaines est un vecteur potentiel. Restreindre qui peut ajouter des domaines est une contre-mesure logique jusqu'à ce que le correctif soit vérifié.

Intégrité des données et triade CIA

Lorsque nous évaluons cela à travers la triade CIA, l'impact sur l'intégrité et la confidentialité est total. Un utilisateur root peut lire chaque fichier (Confidentialité) et modifier n'importe quelle base de données (Intégrité). Il peut également arrêter tout le système ou supprimer les sauvegardes (Disponibilité). C'est pourquoi l'absence de score CVSS sur l'enregistrement CVE au 28 août est surprenante. Étant donné la description, cette faille répond à tous les critères pour un score de 9,8 ou 10,0.

J'ai vu de nombreux administrateurs traiter les mises à jour du panneau de contrôle comme une priorité basse parce qu'ils ont un pare-feu. Mais un pare-feu est un fossé de château obsolète lorsque l'attaquant est déjà à l'intérieur des murs en tant que client légitime. Le périmètre réseau ne vous protège pas d'un utilisateur qui possède un identifiant valide pour cPanel. Dans ce scénario, le logiciel lui-même devient le cheval de Troie numérique.

Actions immédiates pour les administrateurs

La sécurité est un jeu réactif, mais votre temps de réponse détermine l'étendue des dégâts. Si vous gérez un serveur cPanel, votre première étape consiste à vérifier votre version actuelle. Vous pouvez trouver cela dans WHM sous Configuration du serveur. Si vous n'êtes pas sur l'une des versions corrigées mentionnées ci-dessus, vous gérez un serveur où chaque client est un utilisateur root potentiel.

1. Connectez-vous à votre serveur en tant que root via SSH.
2. Exécutez manuellement le script de mise à jour pour contourner le programme quotidien : /scripts/upcp --force.
3. Vérifiez le fichier /etc/ld.so.preload pour toute bibliothèque que vous ne reconnaissez pas.
4. Auditez vos logs Apache pour toute activité inhabituelle entourant les ajouts de domaines au cours des dernières 48 heures.
5. Confirmez que tous les comptes Team User n'ont que les permissions dont ils ont strictement besoin.

Sources : cPanel Security Advisories, CISA Known Exploited Vulnerabilities Catalog, NIST National Vulnerability Database, Plesk Technical Support Documentation, MITRE ATT&CK Framework.

Avertissement : Cet article est fourni à des fins d'information et d'éducation uniquement et ne remplace pas un audit de cybersécurité professionnel ou un service de réponse aux incidents.