Trois failles cPanel qui tombent aujourd’hui — Ce qu’il faut savoir avant leur sortie

Si un avis de sécurité cPanel a atterri dans votre boîte mail ce matin, vous n’êtes pas le seul. Le leader des panneaux de contrôle d’hébergement publie trois nouveaux CVE (CVE-2026-29201, CVE-2026-29202 et CVE-2026-29203). Les correctifs déploient dès 18h00 heure française. Et cette fois, ils changent de méthode.

Le virage dans la communication des failles

Ce qui marque : cPanel garde les détails techniques sous silence jusqu’au déploiement du patch. Pas de description d’attaque. Pas d’exploit en vue. Juste : « Le correctif arrive, les infos suivent. »

Ça peut agacer si vous voulez savoir ce que vous corrigez. Mais rappelons le contexte. Il y a quinze jours, CVE-2026-41940 — un contournement d’authentification noté 9,8/10 — est resté sans patch pendant 64 jours. Près de 1,5 million d’instances cPanel exposées sur Internet, sans alerte publique. Les attaquants en profitaient déjà.

Aujourd’hui, cPanel applique la leçon : patch d’abord, explications ensuite. Une approche solide vu les risques.

Ce qu’on sait déjà sur ces CVE

Les trois identifiants sont réservés dans la base NVD. Ils sont officiels, mais verrouillés jusqu’à la sortie. Les correctifs passeront par le système d’updates automatiques de cPanel.

Point clé : ne comptez pas sur l’auto-update. cPanel conseille un update manuel via /scripts/upcp dès que possible.

Checklist avant le patch pour vos serveurs

Prenez 15 minutes pour vous préparer :

1. Vérifiez les updates auto : Si vos serveurs bloquent les mises à jour ou fixent une version, inspectez /etc/cpupdate.conf tout de suite. Évitez les configs obsolètes au moment critique.

2. Utilisateurs CloudLinux 6, attention : Passez votre niveau d’update avant le patch manuel. Exécutez cette commande en amont :

sed -i "s/CPANEL=.*/CPANEL=cl6110/g" /etc/cpupdate.conf

Sinon, des conflits bloqueront l’installation. Pas le moment pour ça.

3. Préparez la commande manuelle : Gardez /scripts/upcp prêt à lancer. Déployez-le sur tous vos serveurs en urgence.

Transparence contre sécurité : le dilemme

Les devs et admins veulent des précisions pour évaluer les risques, valider les changements et communiquer en interne. « On corrige un bypass critique » motive plus que « On patch un truc grave ».

Mais l’inverse est dangereux. Dévoiler les détails sans patch, c’est comme afficher l’emploi du temps des vigiles sur un forum public. Surtout après la dernière faille exploitée deux mois en silence.

cPanel opte pour la prudence. Les infos viendront. Une fois vos serveurs protégés.

Ce qui se passe au moment du patch

À 18h00 heure française :

• Les trois CVE seront corrigés, prêts pour update auto ou manuel.
• Les détails techniques paraîtront sur la page support cPanel.
• Vous saurez enfin ce que vous avez fixé.
• Les fiches NVD seront complètes.

En attendant, préparez-vous. Pas de spéculations.

Vue d’ensemble

Gérer plusieurs instances cPanel ? C’est l’occasion d’auditer vos politiques d’updates. Les versions figées ou auto-updates désactivés protègent la stabilité, mais exposent en cas d’urgence.

Optez pour un déploiement en étapes : un petit groupe de serveurs tests patchés en premier, puis rollout progressif. Ça teste la qualité tout en gardant la réactivité.

Et si vous envisagez de quitter les panneaux traditionnels pour du hosting conteneurisé ou API-driven, ces alertes accélèrent le choix. Chez NameOcean, notre plateforme cloud avec Vibe Hosting gère updates, patches et infra via IA, sans dépendre de cPanel.

En résumé : Patch aujourd’hui, comprenez demain. Votre hébergement vous dira merci.

Vous avez géré des incidents cPanel ? Comment gérez-vous patch rapide et tests ? Partagez en commentaires ou contactez l’équipe NameOcean pour des conseils hosting adaptés à votre setup.