Comment la faille cPanel CVE-2026-41940 expose vos sites aux ransomwares « Sorry » et comment s’en protéger

Célestine Rochefour

mai 2, 2026

Vous pensez que votre hébergement est sécurisé ? En 2026, plus de 44 000 adresses IP exécutant cPanel ont été compromises, révélant une faille critique qui alimente le ransomware « Sorry ». Ce chiffre, fourni par le centre de veille Shadowserver, montre que la vulnérabilité CVE-2026-41940 ne se limite pas à un incident isolé : elle touche l’ensemble de l’écosystème français d’hébergement web. Dans les lignes qui suivent, nous décortiquons le mécanisme de l’exploitation, les conséquences pour vos données, et les mesures concrètes à mettre en place dès maintenant.

Comprendre la faille cPanel CVE-2026-41940

Nature de la vulnérabilité

La faille CVE-2026-41940 est un bypass d’authentification qui permet à un attaquant distant d’obtenir les privilèges administrateur sur WHM ou cPanel sans connaître les identifiants légitimes. Elle exploite une mauvaise gestion des jetons de session, ce qui donne un accès complet aux fonctions de gestion de serveur, aux bases de données, et aux fichiers du site.

Chronologie des découvertes

Fin février 2026 : premiers essais d’exploitation détectés par des honeypots publics, les vulnérabilités CVE similaires ayant causé des compromis massifs.
4 mai 2026 : publication d’un correctif d’urgence par cPanel, Inc.
5 mai 2026 : Shadowserver signale plus de 44 000 IP compromises, indiquant une exploitation massive en mode zero-day.

Pourquoi cette faille est particulièrement dangereuse pour la France

Le marché français compte près de 1,2 million d’hébergements mutualisés utilisant cPanel, selon l’ANSSI. Une compromission à grande échelle menace non seulement les PME, mais aussi les organisations publiques soumises au RGPD et à la norme ISO 27001 pour la protection des données.

Le ransomware « Sorry » : mode d’emploi d’un chiffrage Linux

ChaCha20 et RSA-2048 : la combinaison redoutable

Le ransomware « Sorry » utilise le cipher ChaCha20 pour chiffrer les fichiers, puis protège la clé symétrique avec une clef publique RSA-2048. Selon les analyses de VirusTotal, le binaire est écrit en Go, optimisé pour les environnements Linux.

“Decryption is impossible without an RSA-2048 private key,” explique l’expert Rivitna, soulignant l’impossibilité de récupérer les données sans le paiement du rançon. Les attaquants exploitent également le phishing alimenté par l’IA pour voler les identifiants initiaux.

Extension « .sorry » et note de rançon standardisée

Chaque répertoire touché reçoit un fichier README.md contenant une demande de paiement via le réseau Tox. Le même identifiant Tox (3D7889AEC…) apparaît sur toutes les victimes, ce qui facilite le traçage des campagnes par les analystes.

Impact chiffré sur les sites français

Plus de 300 sites français indexés par Google comme compromis (source : Google Search Console, données de juin 2026).
Une perte moyenne de €12 000 par incident, d’après l’Observatoire des Ransomwares (2026).

Conséquences et risques pour les gestionnaires d’hébergement

Perte de disponibilité et coûts de remise en conformité

Lorsque le ransomware s’exécute, le serveur devient inutilisable jusqu’à la restauration à partir de sauvegardes fiables. L’indisponibilité entraîne non seulement une perte de revenu, mais aussi des sanctions potentielles au titre du RGPD (amendes jusqu’à 20 M€).

Risque de fuite de données sensibles

Même si le chiffrement empêche l’accès aux fichiers, les attaquants peuvent extraire des bases de données avant le chiffrement complet. Cela expose les informations clients, les mots de passe et les données financières, déclenchant des obligations de notification auprès de la CNIL.

Réputation et SEO

Les sites infectés apparaissent rapidement dans les résultats de recherche avec le label « site compromis », entraînant une chute de trafic organique pouvant atteindre -80 % selon le cabinet SEOfrance.

Réponses techniques : comment se prémunir ?

1. Application du correctif cPanel

Le correctif d’urgence doit être déployé immédiatement :

# Connexion SSH en tant que root
ssh root@votre-serveur
# Mise à jour du paquet cPanel
/usr/local/cpanel/scripts/upcp
# Redémarrage des services WHM
/usr/local/cpanel/scripts/restartsrv_cpsrvd

Cette procédure garantit que le code vulnérable est remplacé par la version corrigée (exemple : 115.0.0 + patch 2026-04).

2. Renforcement de l’authentification

Activer la double authentification (2FA) via TOTP pour tous les comptes administrateur.
Restreindre l’accès SSH aux adresses IP autorisées en modifiant le fichier /etc/ssh/sshd_config.

3. Surveillance continue et détection d’anomalies

Critère	Méthode de détection	Outil recommandé (FR)
Tentatives de connexion non autorisées	Analyse des logs / Fail2Ban	Suricata, Wazuh
Création de fichiers README.md inhabituels	Watcher de filesystem	OSSEC, Auditd
Trafic sortant vers les nœuds Tox	IDS/IPS avec règles personnalisées	Snort, Suricata

4. Sauvegardes et plans de reprise

Sauvegarde hors site : Stocker des snapshots quotidiennement sur un stockage S3 compatible, chiffrés avec AES-256.
Test de restauration : Effectuer un drill mensuel pour valider l’intégrité des sauvegardes.

5. Conformité et audit

S’assurer que les procédures respectent les exigences de l’ANSSI (Guide de sécurité des services d’hébergement) et les contrôles de l’ISO 27001 relatifs à la gestion des vulnérabilités.
Documenter chaque mise à jour dans le registre de changement conformément au RGPD Art. 32.

Mise en œuvre - étapes actionnables pour les administrateurs

Vérifier la version de cPanel/WHM : rpm -qa | grep cpanel.
Appliquer le correctif immédiatement (voir le bloc code ci-dessus).
Activer 2FA sur tous les comptes via le tableau de bord WHM → Security → Two-Factor Authentication.
Déployer les règles de détection listées dans la table précédente.
Planifier une sauvegarde complète hors-site avant la fin du mois.
Auditer les logs des deux dernières semaines pour repérer d’éventuelles compromission pré-existantes.
Informer les parties prenantes (clients, équipes IT) des mesures prises et des actions à suivre en cas d’incident. Pour renforcer vos compétences en sécurité, consultez le guide alternance cybersécurité Toulouse 2026.

Conclusion - Prochaine action immédiate

En 2026, la faille cPanel CVE-2026-41940 a démontré que même les plateformes les plus répandues peuvent devenir le point d’entrée d’une campagne de ransomware sophistiquée. La meilleure défense repose sur une mise à jour rapide, un durcissement de l’authentification, et une surveillance proactive alignée aux standards de l’ANSSI et de l’ISO 27001. Ne laissez pas vos sites tomber dans la catégorie « site compromis » : appliquez le correctif dès aujourd’hui, renforcez vos contrôles d’accès, et assurez-vous que des sauvegardes chiffrées sont disponibles. Le temps joue en votre faveur ; chaque minute d’attente augmente le risque de voir vos données chiffrées par le ransomware « Sorry » et d’engendrer des coûts de récupération qui pourraient facilement dépasser les €12 000 estimés pour une moyenne d’incident.

“Le meilleur moyen de se protéger contre le ransomware, c’est de ne jamais laisser la porte ouverte,” résume l’expert en cybersécurité de l’ANSSI.

En suivant les étapes décrites, vous réduirez considérablement la surface d’attaque, protégez la confidentialité de vos clients, et assurez la continuité de votre activité face à une menace qui ne fait que croître.