### Détails des vulnérabilités Les vulnérabilités identifiées sont les suivantes : * **CVE-2026-29201** (score CVSS : 4.3) - Validation insuffisante des entrées pour le nom de fichier de la fonctionnalité dans l'appel `feature::LOADFEATUREFILE` d'adminbin. Cela pourrait entraîner une lecture de fichier arbitraire. * **CVE-2026-29202** (score CVSS : 8.8) - Validation insuffisante des entrées pour le paramètre `plugin` dans l'appel API `create_user`. Cela pourrait entraîner une exécution de code Perl arbitraire pour le compte de l'utilisateur système du compte déjà authentifié. * **CVE-2026-29203** (score CVSS : 8.8) - Une vulnérabilité de gestion de lien symbolique non sécurisée qui permet à un utilisateur de modifier les permissions d'accès d'un fichier arbitraire en utilisant `chmod`, pouvant potentiellement entraîner un déni de service ou une élévation de privilèges. ### Versions affectées et atténuation Les vulnérabilités ont été corrigées dans les versions suivantes de **cPanel** et **WHM** : * cPanel et WHM : * 11.136.0.9 et supérieures * 11.134.0.25 et supérieures * 11.132.0.31 et supérieures * 11.130.0.22 et supérieures * 11.126.0.58 et supérieures * 11.124.0.37 et supérieures * 11.118.0.66 et supérieures * 11.110.0.116 et supérieures * 11.110.0.117 et supérieures * 11.102.0.41 et supérieures * 11.94.0.30 et supérieures * 11.86.0.43 et supérieures * WP Squared : * 11.136.1.10 et supérieures **cPanel** a également publié la version 110.0.114 comme mise à jour directe pour les clients utilisant CentOS 6 ou CloudLinux 6. Il est fortement conseillé aux utilisateurs de mettre à jour vers les dernières versions disponibles pour s'assurer qu'ils sont protégés contre ces vulnérabilités. ### Exploitation préalable et risque Bien qu'il n'y ait actuellement aucune preuve d'exploitation active de ces vulnérabilités spécifiques, cette divulgation fait suite à la découverte récente de l'exploitation active de **CVE-2026-41940** en tant que vulnérabilité zero-day. Cette faille a été exploitée par des acteurs malveillants pour distribuer des variantes de botnet **Mirai** et le ransomware **Sorry**. Compte tenu de l'impact potentiel et de l'historique récent des vulnérabilités **cPanel** exploitées dans la nature, une correction rapide est essentielle.