Les agences fédérales ont jusqu'au 3 mai pour remédier à une faille de sécurité critique affectant un système largement utilisé pour la gestion des serveurs et des sites web. **Correction urgente requise pour cPanel & WHM** La **CISA** a ordonné à toutes les agences fédérales de corriger **CVE-2026-41940**, une vulnérabilité de haute gravité dans **cPanel & WHM**. Cet outil basé sur Linux, propriété de **WebPros International**, est une suite de panneaux de contrôle d'hébergement web populaire utilisée pour gérer des millions de domaines. **Gravité et Impact** Selon les intervenants d'urgence de **Rapid7**, l'exploitation réussie de **CVE-2026-41940** accorde à un attaquant un contrôle total sur le système hôte **cPanel**, y compris ses configurations, ses bases de données et les sites web gérés. La vulnérabilité affiche un score CVSS de 9,8 sur 10, indiquant sa nature critique. Les experts avertissent que les attaquants pourraient exploiter ce bug pour compromettre entièrement les serveurs, voler des données sensibles, manipuler le contenu hébergé et causer des interruptions de service importantes. **Exploitation dans la nature** Plusieurs entreprises de cybersécurité ont signalé l'existence d'instances **cPanel** vulnérables exposées à Internet. La **CISA** a confirmé jeudi que la vulnérabilité est activement exploitée. En plus des correctifs, **cPanel** a publié un outil pour aider les organisations à déterminer si elles ont été compromises. **Découverte et Réponse** La vulnérabilité a été initialement mise en évidence par des experts en cybersécurité de **watchTowr**, qui ont également publié un outil pour aider les défenseurs à identifier les hôtes vulnérables. Les preuves suggèrent que le bug est exploité depuis février. **Réponse de l'industrie** Le registraire de noms de domaine américain **Namecheap** a publié un avis avertissant les clients que les mesures visant à corriger la vulnérabilité pourraient restreindre temporairement l'accès à leurs interfaces **cPanel** et **WHM**. Selon **Benjamin Harris**, PDG de **watchTowr**, de nombreux grands fournisseurs d'hébergement, dont Hosting.com, **Namecheap**, KnownHost, HostPapa et InMotion, ont mis en œuvre des mesures d'urgence pour protéger leur clientèle contre une compromission généralisée. « Hosting.com, Namecheap, KnownHost, HostPapa, InMotion et les autres ont tiré le frein d'urgence car l'alternative était de voir toute leur clientèle se faire posséder en temps réel », a déclaré Harris. « Encore une fois, nous courons avec la moitié d'Internet apparemment en feu, et compte tenu de l'utilisation accrue de l'IA dans la recherche de vulnérabilités, nous anticipons que cette nouvelle normalité deviendra de plus en plus familière. » <a href="https://www.recordedfuture.com/platform?mtm_campaign=ad-unit-record" rel="noopener noreferrer">En savoir plus.</a> <a rel="noopener" href="https://www.recordedfuture.com/?utm_source=therecord&amp;utm_medium=ad"><figure><img src="https://cms.therecord.media/uploads/2025_0514_Record_Ads_970x250_1_d144dbf901.png" data-nimg="1" decoding="async" height="500" width="1000" alt="Recorded Future"></figure></a> <a href="https://therecord.media/author/jonathan-greig"><img src="https://cms.therecord.media/uploads/DSC_0283_1_a6f4e4e315.jpg" data-nimg="1" decoding="async" height="384" width="384" loading="lazy" alt="Jonathan Greig"></a>