7 Min. de lecture<\/p>\n
Une faille critique dans l’interface de hosting la plus utilis\u00e9e dans les PME permet aux attaquants d’obtenir un acc\u00e8s total sans connexion. Le BSI a r\u00e9agi, mais la responsabilit\u00e9 du patch incombe \u00e0 chaque h\u00e9bergeur web et \u00e0 ses clients.<\/strong><\/p>\n 06.05.2026<\/em><\/p>\n Les points cl\u00e9s en bref<\/p>\n En relation :<\/span>CVE-2026-32202 : Patch Windows et APT28 dans la CISA KEV<\/a> \/<\/span> Zero-Day Linux Kernel CVE-2026-31431 sur CISA KEV<\/a><\/p>\n Qu’est-ce que CVE-2026-41940 ?<\/strong> Une faille de contournement d’authentification dans cPanel et WHM, le logiciel de gestion d’h\u00e9bergement largement r\u00e9pandu, ainsi que dans WP Squared 136.1.7. La faille repose sur une injection CRLF dans l’en-t\u00eate d’autorisation, qui permet \u00e0 un attaquant non authentifi\u00e9 d’\u00e9crire des propri\u00e9t\u00e9s arbitraires dans le fichier de session, comme user=root. Elle a un score CVSS de 9,8, est activement exploit\u00e9e depuis le 23 f\u00e9vrier 2026 et est inscrite au catalogue KEV de la CISA depuis le 3 mai. Le correctif est paru le 28 avril, et le BSI a class\u00e9 la vuln\u00e9rabilit\u00e9 au niveau tr\u00e8s \u00e9lev\u00e9 le 30 avril.<\/p>\n La plupart des failles de contournement d’authentification pr\u00e9-authentification de ces deux derni\u00e8res ann\u00e9es se trouvaient dans des passerelles API ou des concentrateurs VPN. CVE-2026-41940 se situe une couche plus bas, dans un logiciel qui fonctionne sur un serveur d’h\u00e9bergement mutualis\u00e9 sur deux dans le monde. WatchTowr Labs et Rapid7 d\u00e9crivent le m\u00e9canisme de mani\u00e8re concordante : un en-t\u00eate d’autorisation manipul\u00e9 introduit des caract\u00e8res de retour chariot et de saut de ligne dans la logique de session, le syst\u00e8me \u00e9crit l’entr\u00e9e non d\u00e9sinfect\u00e9e dans le fichier de session sur le disque, et l’attaquant y d\u00e9finit user=root. Lors de la prochaine requ\u00eate, cPanel charge le fichier de session et accepte l’identit\u00e9 inject\u00e9e.<\/p>\n L’injection CRLF est une classe ancienne. Ce qui est nouveau, c’est l’emplacement : non pas dans l’application Web du client, mais dans la plate-forme de gestion d’h\u00e9bergement elle-m\u00eame. Celui qui exploite la faille n’obtient pas une page Web, mais un serveur avec toutes les donn\u00e9es des clients, toutes les bases de donn\u00e9es et la possibilit\u00e9 de cr\u00e9er des comptes de porte d\u00e9rob\u00e9e.<\/p>\n C’est pr\u00e9cis\u00e9ment cette propri\u00e9t\u00e9 d’architecture qui rend l’incident pertinent pour les PME de la r\u00e9gion DACH. Le client final avec sa boutique en ligne ou sa page de capture de leads n’est pas directement menac\u00e9, car il ne conna\u00eet m\u00eame pas le login cPanel. Son h\u00e9bergeur l’est, et avec lui, les donn\u00e9es que le client final lui a confi\u00e9es.<\/p>\n Chronologie CVE-2026-41940<\/p>\n\n
Ce qui est techniquement nouveau dans cette faille<\/h2>\n
S\u00e9quence d’escalade : Ce qui s’est pass\u00e9 entre f\u00e9vrier et avril<\/h2>\n