cPanel a publié un correctif pour une faille critique cPanel qui pourrait permettre, à partir d’un compte d’hébergement authentifié, d’exécuter des requêtes SQL dans un contexte de privilèges administrateur de la base de données. Autrement dit, la frontière entre le rôle du compte client et l’identité “root” côté base de données pourrait être franchie.
Le problème est référencé sous CVE-2026-58048, avec une sévérité élevée (score CVSS 4.0 : 9,4). Le correctif a été distribué via une mise à jour ciblée, et le fournisseur décrit un impact potentiellement large selon la configuration du système d’exploitation et du moteur de base.
Ce que permet la faille critique cPanel (CVE-2026-58048)
Selon l’avis du fournisseur, l’attaque nécessite d’abord un accès légitime : un détenteur de compte cPanel doit être authentifié, puis disposer de l’accès à la fonctionnalité MySQL/MariaDB dans cPanel. À partir de là, l’utilisateur pourrait exécuter des commandes SQL de manière arbitraire avec des privilèges complets au niveau administratif de la base.
Le fournisseur indique également que, suivant l’environnement, cela peut aller jusqu’à compromettre le système (niveau “opérations du système”). Le risque exact dépend donc du couplage entre la base, ses permissions, et la manière dont la plateforme exécute certaines opérations.
Versions concernées et correctifs disponibles
La faille critique cPanel (CVE-2026-58048) s’applique à toutes les versions supportées de cPanel & WHM, ainsi qu’à WP Squared. Le fournisseur liste ensuite des builds précis où le correctif est inclus.
Les versions corrigées mentionnées sont :
- 11.110.0.137
- 11.118.0.71
- 11.126.0.78
- 11.134.0.48
- 11.136.0.32
- 138.1.6 pour WP Squared
Si votre serveur ne peut pas être mis à jour immédiatement, le fournisseur propose une mesure de contournement temporaire basée sur la désactivation de la fonctionnalité MySQL côté cPanel. Le but est d’empêcher l’ajout ou la suppression de bases, tout en laissant les bases existantes fonctionner.
Le contournement temporaire en attendant la mise à jour
Pour les environnements où le patch ne peut pas être appliqué tout de suite, cPanel recommande de révoquer temporairement la fonctionnalité MySQL pour les utilisateurs. Concrètement, cela limite les actions : les bases déjà présentes continuent généralement d’exister, mais les utilisateurs ne peuvent plus ajouter ni retirer de bases via cPanel.
Les administrateurs peuvent appliquer la mise à jour via WHM, ou utiliser la commande suivante documentée par le fournisseur :
/usr/local/cpanel/scripts/upcp –force
Cette approche vise à réduire la surface d’attaque en attendant l’application du correctif complet.
Pourquoi la faille est possible : privilèges et contexte d’exécution
En fonctionnement normal, cPanel prend en charge des privilèges au niveau “base de données” qui ne requièrent pas forcément l’accès SUPER ni ne permettent des modifications globales. La faille critique cPanel contournerait ces limitations en faisant en sorte que SQL s’exécute dans un contexte administratif de la base.
L’origine technique décrite dans les détails publics renvoie au processus de renommage de base dans cPanel. Le CNA mentionne notamment que le mode SQL n’est pas conservé lors du renommage : lors de la reconstitution de la base (remplacement, transfert des données, recréation des droits et des éléments stockés), l’exécution SQL pourrait se retrouver dans le contexte “root”.
Le mécanisme de renommage, tel que documenté par le fournisseur, s’appuie sur une suite d’étapes : création d’une base de remplacement, déplacement des données, recréation des droits et du code stocké, puis suppression de l’ancienne base et de ses droits.
SQL injection ou autre ? Les classifications diffèrent
Dans les avis, le fournisseur ne qualifie pas l’attaque avec le terme “SQL injection”. En revanche, les enregistrements associés au défaut présentent des classifications telles que CWE-89, qui est généralement associé aux scénarios de type injection SQL.
Les éléments publics ne précisent pas l’entrée exacte injectée, ni le mode SQL concerné, ni la forme précise de la charge utile. Il n’est pas non plus clairement indiqué si les sous-comptes Team User, créés par le détenteur du compte principal et associés à un périmètre plus limité, correspondent exactement au profil “détenteur de compte authentifié” tel que décrit.
Deux autres vulnérabilités publiées dans la même période
La publication ne concerne pas uniquement la base de données. Dans la même vague de correctifs, plusieurs autres faiblesses sont documentées.
Request smuggling dans cpsrvd (CVE-2026-58047)
La CVE-2026-58047 concerne cpsrvd, le démon qui gère les interfaces cPanel/WHM. Dans certaines conditions limitées, un attaquant distant non authentifié pourrait manipuler la façon dont des réponses sont délivrées à d’autres utilisateurs sur le même serveur.
Une conséquence mentionnée est une possibilité de fuite de crédentials. En attendant le patch, un contournement consiste à désactiver la réutilisation des connexions en arrière-plan via :
cpsrvd_keepalives_disabled=1
Le fournisseur précise que cela implique de nouvelles connexions TCP/TLS à chaque requête sur des ports tels que 2083, 2087 et 2096, ce qui peut augmenter la latence et la charge CPU sur des serveurs fortement sollicités.
Vulnérabilité dans Exim liée à .forward (GCVE-25-2026-07-45-3)
Un autre avis concerne Exim. Un utilisateur local pourrait exploiter le fichier .forward afin de déclencher une expansion de chaîne non sûre dans le routeur de redirection, selon certaines configurations de transport pipe.
Par défaut, l’exécution se ferait avec les droits du compte cPanel, ce qui pourrait mener à une escalade de privilèges depuis des sous-comptes Team User. L’avis Exim indique que le vecteur requiert notamment un routeur de redirection gérant .forward, un transport pipe accessible, une option force_command activée, et une exécution avec un utilisateur privilégié.
La version corrigée mentionnée est Exim 4.99.5, et ce même correctif adresse aussi une autre faiblesse : une traversée locale de répertoires via des arguments de type “queue-name” (GCVE-25-2026-07-45-1), avec un impact de haute sévérité.
Attention aux listes de builds : vérifiez votre point release
Les avis cPanel relatifs aux différentes vulnérabilités ne listent pas toujours les mêmes builds “corrigés”. Par exemple, l’avis base de données cite explicitement 11.118.0.71, tandis que les avis sur cpsrvd et Exim n’incluent pas forcément la branche 11.118 dans leurs listes.
Pour éviter toute confusion, le fournisseur recommande de vérifier la version point release réellement installée en comparant avec l’avis dédié à la vulnérabilité base de données, plutôt que de se fier à une liste courte.
Pourquoi c’est urgent pour les hébergeurs
La sévérité d’une vulnérabilité ne dépend pas uniquement de la note CVSS. Elle dépend aussi de la probabilité qu’un attaquant dispose de la position nécessaire pour l’exploiter. Ici, cette probabilité est liée au fait qu’un utilisateur authentifié dispose d’un accès MySQL/MariaDB.
Dans un serveur où les comptes appartiennent à une seule entité, le scénario d’exploitation peut sembler moins probable que sur un serveur exposant des comptes à de nombreux tiers. Néanmoins, des comptes peuvent aussi être compromis par d’autres voies (par exemple, via hameçonnage ou revente), ce qui rend la fenêtre de risque réelle.
Conclusion : mettez à jour, puis sécurisez l’accès MySQL
La faille critique cPanel (CVE-2026-58048) montre comment une erreur dans le traitement SQL lors d’opérations de base peut mener à des privilèges administrateur, à partir d’un compte authentifié disposant de l’accès MySQL/MariaDB. Le correctif est disponible sur des builds précis, et un contournement temporaire existe pour limiter l’accès MySQL en attendant la mise à jour.
Si vous administrez des serveurs cPanel/WHM, priorisez l’application du correctif associé à CVE-2026-58048, vérifiez rigoureusement la version installée, et examinez en parallèle l’état des autres vulnérabilités publiées dans la même période pour réduire l’exposition globale.
Source: https://thehackernews.com/2026/08/new-cpanel-critical-flaw-could-let.html
