CVE-2026-48172 : La vulnérabilité zero-day LiteSpeed cPanel qui expose des millions de serveurs au contrôle root

Des chercheurs en sécurité ont identifié une faille critique permettant à n’importe quel utilisateur cPanel authentifié d’obtenir les privilèges root sur des serveurs partagés. Cette vulnérabilité zero-day, classée CVSS 10.0, a été corrigée en urgence le 21 mai 2026, mais des exploits actifs circulent déjà dans la nature.

Une note de sécurité CVSS maximale qui valide la gravité maximale

La vulnérabilité CVE-2026-48172 affectant le plugin LiteSpeed User-End pour cPanel vient de recevoir un score CVSS de 10.0 sur 10, le maximum possible sur cette échelle standardisée. Cette notation place la faille dans une catégorie rarissime : celle des vulnérabilités dites « parfaites », où l’exploitation est à la fois triviale, ne nécessite aucune condition préalable complexe, et produit un impact système complet.

« Un seul appel API malformed avec les bons paramètres suffit pour passer de utilisateur cPanel standard à root sur le serveur. Il n’y a ni condition de course à gagner, ni faille d’authentification à exploiter. » - LiteSpeed Technologies, advisory officiel du 21 mai 2026.

L’ANSSI, dans ses bulletins réguliers sur les vulnérabilités critiques, recommande une attention immédiate pour toute faille dépassant le score de 9.0. Avec un 10.0, cette vulnérabilité justifie sans délai la mobilisation des équipes d’exploitation et de sécurité.

anatomie technique de la faille : le point faible lsws.redisAble

La racine du problème réside dans une erreur de logique au sein de l’endpoint JSON-API lsws.redisAble du plugin LiteSpeed User-End. Par conception, cet endpoint est exposé par défaut à chaque utilisateur connecté sur cPanel, y compris les comptes à très faibles privilèges sur les environnements mutualisés.

Concrètement, un attaquant disposant d’un simple compte cPanel - même créé depuis une interface client de fournisseur d’hébergement - peut envoyer une requête API spécialement conçue pour déclencher une élévation de privilèges non sécurisée. Le plugin ne vérifie pas correctement les autorisations avant d’exécuter les opérations système, laissant une porte dérobée involontaire dans le mécanisme d’authentification cPanel.

Pourquoi les environnements shared hosting sont en première ligne

Les serveurs mutualisés représentent la cible privilégiée pour cette vulnérabilité. Sur ce type d’infrastructure, des centaines voire des milliers de clients partagent les mêmes ressources matérielles sous un même système d’exploitation. Chaque locataire dispose déjà d’une session cPanel valide et légitime. L’attaquant n’a donc pas besoin de compromettre un compte préalable : il lui suffit d’utiliser un compte existant - même avec des droits limités au démarrage - pour exécuter du code arbitraire en tant que root.

Une fois l’escalade réussie, l’attaquant peut :

• Exfiltrer l’ensemble des données clients hébergées sur le serveur
• Installer des backdoors persistantes pour un accès futur
• Procéder à un mouvement latéral vers d’autres serveurs du même réseau
• Modifier les configurations DNS ou SSL pour intercepter le trafic d’autres sites

La surface d’attaque est considérable : cPanel équipe des millions de serveurs d’hébergement partagé à travers le monde, et le plugin LiteSpeed User-End a été largement adopté pour ses fonctionnalités de mise en cache, particulièrement valorisées pour les sites sous WordPress, Magento ou les applications PHP performantes. La surveillance des anomalies réseau reste le premier rempart pour détecter les mouvements latéraux post-exploitation.

Chronologie et réponse de LiteSpeed : de la correction à la révision

La timeline de cet incident illustre les défis de la gestion de crise en sécurité informatique. Voici les jalons essentiels :

La version initiale de l’avis de sécurité indiquait clairement que le plugin WHM LiteSpeed n’était pas affecté. Cependant, les investigations complémentaires publiées le même jour ont révisé cette position : une revue de sécurité plus large a mis en lumière des vulnérabilités potentielles additionnelles dans les deux plugins. LiteSpeed a travaillé en coordination avec l’équipe cPanel/WebPros pour corriger proactivement ces vecteurs d’attaque supplémentaires. Aucune exploitation active n’a été signalée pour ces failles subsidiaires, mais la prudence demeure de mise.

L’urgence avec laquelle cPanel a décidé de forcer la désinstallation du plugin sur l’ensemble de son parc cinq heures avant la fenêtre de maintenance prévue illustre l’intensité du risque. En temps normal, une telle décision - qui impacte des milliers de clients simultanément - ne serait prise qu’en dernier recours. Le fait que l’éditeur ait franchi ce cap confirme que des exploits fonctionnels circulaient déjà dans la nature au moment de la publication du correctif.

Détecter une tentative d’exploitation : les IOC à surveiller

Pour les administrateurs de serveurs concernés, la détection des tentatives d’exploitation repose sur l’analyse des logs cPanel. Le commandement suivant, recommandé par LiteSpeed dans son advisory, permet d’identifier les appels suspects à l’endpoint vulnérable :

grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null

Note technique : ce grep recherche les chaînes correspondant exactement au nom de fonction vulnérable. Toute correspondance dans les logs indique une tentative d’exploitation avérée. Pour améliorer la détection, consultez notre guide sur l’optimisation de la collecte de logs qui détaille les bonnes pratiques de centralisation et d’analyse en temps réel.

Protocole de réponse immédiat en cas de détection positive :

1. Considérer immédiatement l’hôte comme compromis - ne pas attendre de preuves supplémentaires
2. Renouveler tous les identifiants : mots de passe root, clés SSH, tokens API, mots de passe de bases de données
3. Auditer les tâches cron pour y déceler des exécutions non autorisées programmées
4. Inspecter les fichiers authorized_keys dans les répertoires home pour détecter des accès SSH persistants ajoutés par l’attaquant
5. Vérifier les connexions réseau établies et les processus unknowns exécutés au moment de la compromission

Contexte de menace : un mois de mai 2026 particulièrement virulent pour cPanel

L’exploitation de CVE-2026-48172 ne constitue pas un incident isolé. Elle s’inscrit dans une séquence de vulnérabilités critiques affectant l’écosystème cPanel au cours du mois de mai 2026. En 22 jours, pas moins de huit avis de sécurité ont été publiés pour le seul écosystème cPanel, incluant des failles d’authentification, des bypass pré-authentification et des élévations de privilèges.

Le cas le plus notable après CVE-2026-48172 reste CVE-2026-41940, une vulnérabilité de contournement d’authentification pré-négociation (pre-auth bypass) obtenant un score CVSS de 9.8. Cette faille permet à un attaquant distant d’accéder à des fonctions administratives sans même disposer d’identifiants valides. Lesfailles d’authentification de type bypass comme celle-ci illustrent la criticité des mécanismes de validation dès la phase de négociation réseau. La conjonction de ces deux vulnérabilités - l’une permettant l’accès initial non authentifié, l’autre l’élévation jusqu’au root - compose un scénario d’attaque particulièrement préoccupant pour les administrateurs non encore à jour de leurs correctifs.

Tableau comparatif des vulnérabilités critiques cPanel de mai 2026

Procédure de correction et mitigation : étapes recommandées

Face à cette menace, deux stratégies complémentaires coexistent selon le contexte opérationnel de chaque organisation.

Mise à jour vers les versions sécuriséés

La solution recommandée par LiteSpeed consiste à migrer immédiatement vers les versions patchées :

• LiteSpeed WHM Plugin : version 5.3.1.0 minimum
• cPanel Plugin LiteSpeed : version 2.4.7 minimum

Pour forcer une mise à jour complète du système cPanel avec ces correctifs, exécutez en tant que root :

/scripts/upcp --force

Cette commande déclenche le processus de mise à jour standard de cPanel, qui intègre désormais les correctifs pour le plugin LiteSpeed. Le temps de traitement varie selon le nombre de sites hébergés et la charge serveur.

Désinstallation d’urgence si la mise à jour est impossible

Dans les cas où la mise à jour immédiate n’est pas praticable - par exemple sur des environnements de production à forte criticité où toute interruption de service doit être planifiée - LiteSpeed propose une alternative radicale : la désinstallation pure et simple du plugin vulnérable.

/usr/local/lsws/admin/misc/lscmctl cpanelplugin --uninstall

Cette commande supprime le plugin cPanel LiteSpeed de l’environnement. Conséquence directe : les fonctionnalités de cache LiteSpeed ne seront plus disponibles pour les sites hébergés, ce qui peut impacter les performances, particulièrement sur les CMS sensibles à la latence disque comme WordPress ou PrestaShop. Cette mesure temporaire permet néanmoins de sécuriser le serveur pendant que la procédure de mise à jour est planifiée.

Recommandations complémentaires pour les hébergeurs

• Isoler les comptes mutualisés suspects dès la première détection d’IOC
• Notifier proactivivement les clients sur les environnements partagés potentiellement compromis
• Activer le monitoring continu des logs sur l’ensemble du parc pendant les 30 prochains jours
• Considérer une revue de sécurité tierce pour les environnements traitant des données personnelles sensibles, en conformité avec les obligations RGPD

Analyse de la surface d’exposition pour le marché français

Le marché français de l’hébergement web repose massivement sur des solutions mutualisées utilisant cPanel ou des variantes (cPanel/WHM, DirectAdmin, Plesk). Selon les statistiques de l’AFNIC, plus de 2,8 millions de noms de domaine sont hébergés sur le territoire français, dont une proportion significative réside sur des serveurs mutualisés utilisant LiteSpeed comme accélérateur HTTP.

Les principaux acteurs français - OVHcloud, o2switch, Amen, LWS - proposent pour certains des configurations LiteSpeed sur leurs offres d’hébergement premium. La chaîne de responsabilité entre l’hébergeur (qui déploie le plugin) et le client final (qui utilise le service) complique la gestion de ce type de vulnérabilité. En pratique, c’est généralement à l’hébergeur de déployer les correctifs côté infrastructure, sauf configuration personnalisée par le client.

Conclusion et posture recommandée

La vulnérabilité CVE-2026-48172 représente l’un des cas les plus critiques de l’année 2026 en matière de sécurité des serveurs d’hébergement partagé. Son score CVSS maximal, son exploitation active confirmée et sa triviale complexité d’exploitation en font une priorité absolue pour toute organisation exploitant des infrastructures cPanel avec le plugin LiteSpeed.

La lesson à retenir pour les administrateurs systèmes et les responsables sécurité : face à une vulnérabilité zero-day de score 10.0 avec exploitation active, le temps de réponse doit se compter en heures, pas en jours. Les procédures de mise à jour normales, avec leurs fenêtres de maintenance planifiées, ne sont pas compatibles avec ce niveau de menace. La désinstallation d’urgence du plugin vulnérable constitue une option légitime pour todo list tout environnement où le risque de compromission immédiate dépasse le coût d’une désactivation temporaire des fonctionnalités de cache.

Les mois à venir diront si la multiplication des vulnérabilités critiques dans l’écosystème cPanel au printemps 2026 signe un changement de paradigme dans le ciblage des hébergeurs par les groupes d’attaque, ou si cette concentration reste un эпизод isolé. Dans tous les cas, la discipline de mise à jour systématique et le monitoring actif des indicateurs de compromission demeurent les meilleures protections contre des failles de cette ampleur.

Points d’action immédiats : vérifiez vos logs avec la commande grep fournie, planifiez la mise à jour vers les versions 5.3.1.0/2.4.7 dans les 24 heures, et documentez toute anomalie détectée pour alimenter votre registre d’incidents de sécurité.