Comment protéger votre serveur contre la faille cPanel CVE-2026-41940 exploitée par le ransomware Sorry

Une faille critique qui met en danger des dizaines de milliers de sites français

En 2026, plus de 44 000 adresses IP hébergeant des sites sous cPanel ont été compromises, selon le collectif de surveillance Shadowserver. Cette exploitation massive repose sur la CVE-2026-41940, une vulnérabilité d’authentification bypass qui permet à des acteurs malveillants de s’introduire dans les panneaux d’administration WHM et cPanel pour déployer le ransomware Sorry. Dans cet article, vous découvrirez comment la faille fonctionne, quels sont les impacts concrets pour les entreprises françaises, et quelles mesures immédiates vous devez mettre en œuvre afin de sécuriser votre infrastructure.

Comprendre la faille cPanel CVE-2026-41940

Origine de la vulnérabilité

La faille CVE-2026-41940 a été révélée en février 2026 comme une faiblesse d’authentification dans le composant de gestion des sessions de cPanel. Elle permettait à un attaquant, sans disposer d’identifiants légitimes, de contourner les contrôles d’accès et d’obtenir les privilèges d’administrateur. Le vecteur d’exploitation repose sur la manipulation du paramètre session_id dans les requêtes HTTP, qui n’était pas correctement validé. Cette vulnérabilité rappelle les risques d’exécution de code à distance, comme le montre la CVE-2026-3854 liée à une commande git push qui expose GitHub à l’exécution distante de code.

Pourquoi elle est si dangereuse

• Impact serveur complet : une fois l’accès obtenu, l’attaquant peut modifier les fichiers, installer des scripts et créer des comptes d’administration supplémentaires.
• Propagation rapide : la vulnérabilité est exploitable à distance, ce qui explique le nombre élevé d’IP compromises en quelques semaines seulement.
• Compatibilité large : tous les environnements cPanel antérieurs à la version 118.0.3 sont concernés, couvrant à la fois les hébergeurs mutualisés et les serveurs dédiés.

Comment le ransomware Sorry exploite la vulnérabilité

ChaCha20 et RSA-2048 : le duo de chiffrement utilisé

Les analyses réalisées par les équipes de VirusTotal montrent que le ransomware Sorry utilise le chiffre de flux ChaCha20 pour chiffrer les données, tandis que la clé de chiffrement symétrique est elle-même protégée par une clé publique RSA-2048 intégrée dans le chargeur. Cette architecture rend la récupération de fichiers sans la clé privée pratiquement impossible.

“Decryption is impossible without an RSA-2048 private key,” affirme Rivitna, expert en ransomware, dans un fil de discussion dédié au projet Sorry.

Le scénario d’infection typique

1. L’attaquant exploite la CVE-2026-41940 pour obtenir un accès root au panneau WHM.
2. Un script automatisé télécharge le chargeur du ransomware depuis un serveur de commande et le place dans le répertoire /usr/local/bin. Ces campagnes s’inscrivent dans la vague du phishing par IA qui devient la menace n°1 des cybercriminels en 2026, permettant des attaques ciblées et hautement persuasives.
3. Le chargeur parcourt le système de fichiers, chiffre chaque fichier en ajoutant l’extension .sorry et crée un fichier README.md contenant les instructions de paiement.
4. La victime découvre son serveur paralysé et reçoit le message de rançon via le réseau de messagerie sécurisée Tox.

Impacts chiffrés sur les sites français

Statistiques récentes et portée géographique

• 44 000 IP compromises (source : Shadowserver, mai 2026).
• Plus de 3 200 sites web français repérés dans les index de Google comme étant affectés par le ransomware Sorry.
• Une hausse de +27 % du nombre de requêtes de décryptage auprès des services de récupération de données depuis le début de l’exploitation.

Étude de cas : le site d’une PME parisienne

Une petite entreprise de services numériques basée à Paris a vu son site vitrine et son serveur de sauvegarde chiffrés simultanément. Le panneau WHM a été compromis, permettant aux pirates de modifier la base de données MySQL. Le propriétaire a perdu 12 000 € en frais de restauration, même après l’achat d’une clé de déchiffrement qui s’est avérée invalide, conformément aux déclarations de l’auteur du ransomware.

“Nous avons observé que les victimes qui ne réagissent pas rapidement aux mises à jour d’urgence subissent des pertes financières majeures”, indique un analyste de sécurité chez ANSSI.

Mesures de mitigation immédiates

Checklist de priorités (liste à puces)

• Installer l’ancienneté du correctif : version 118.0.3 ou supérieure.
• Révoquer toutes les sessions actives via l’interface WHM.
• Appliquer le principe du moindre privilège aux comptes d’administration.
• Configurer un WAF (Web Application Firewall) pour bloquer les requêtes suspectes sur le paramètre session_id.
• Surveiller les journaux d’accès à la recherche d’anomalies (IP inconnues, tentatives de connexion hors heures ouvrées).

Procédure de mise à jour (liste numérotée)

1. Connectez-vous au serveur via SSH avec un compte root.
2. Exécutez la commande suivante pour récupérer les dernières versions :

   yum update cpanel-*.rpm
   

3. Redémarrez les services WHM et cPanel :

   /usr/local/cpanel/scripts/restartsrv_httpd && /usr/local/cpanel/scripts/restartsrv_cpaneld
   

4. Vérifiez la version installée :

   /usr/local/cpanel/cpanel --version
   

5. Validez la présence du correctif en consultant le changelog officiel sur le site de cPanel.

Bonnes pratiques de durabilité et conformité

Alignement avec les référentiels français et européens

• ISO 27001 : intégrez la gestion des vulnérabilités comme contrôle obligatoire.
• RGPD : assurez la traçabilité des incidents et la notification aux autorités compétentes dans les 72 heures.
• ANSSI : suivez les recommandations de la PSSI (Politique de Sécurité des Systèmes d’Information) pour les serveurs d’hébergement.

Tableau comparatif des options de réponse

Stratégie de suivi continu

• Automatiser les scans de vulnérabilité avec des outils comme OpenVAS ou Nessus.
• Mettre en place des alertes SIEM pour chaque tentative d’accès au panneau WHM.
• Effectuer des tests de pénétration trimestriels afin de valider l’efficacité des contrôles. De plus, des vulnérabilités critiques comme RedSun Zero-Day dans Microsoft Defender qui octroie des privilèges SYSTEM illustrent pourquoi une détection de bout en bout est essentielle.

Mise en œuvre - étapes actionnables

Voici un plan détaillé que vous pouvez adapter immédiatement :

1. Audit initial : recensez tous les serveurs hébergés sous cPanel et vérifiez leur version.
2. Déploiement du correctif : suivez la procédure décrite ci-dessus sur chaque hôte.
3. Renforcement des accès : activez l’authentification à deux facteurs (2FA) pour les comptes WHM.
4. Surveillance renforcée : implémentez les règles de filtrage du paramètre session_id dans le fichier /etc/modsecurity/crs-setup.conf.
5. Plan de réponse : créez un playbook d’incident incluant la communication aux clients, la collecte de preuves et la demande de clé de déchiffrement auprès de l’auteur du ransomware (si cela est juridiquement admissible).

Conclusion - prochaine action avec avis tranché

La faille cPanel CVE-2026-41940 représente une menace réelle et immédiate pour les hébergeurs et les entreprises françaises. Ignorer les mises à jour d’urgence ou sous-estimer l’impact du ransomware Sorry expose votre infrastructure à des pertes financières importantes et à des atteintes au RGPD. Nous vous recommandons donc de mettre à jour dès maintenant tous les panneaux cPanel, d’activer la 2FA, et de déployer une surveillance active via un SIEM. En suivant les étapes présentées, vous réduirez drastiquement le risque d’infection et vous assurerez la conformité de votre environnement face aux exigences françaises et européennes.