Le 16 septembre 2026, CISA a inscrit au KEV une escalade de privilèges locale (CVE-2026-87886) causée par des permissions par défaut trop larges dans les plugins de sauvegarde Acronis pour cPanel & WHM, Plesk et DirectAdmin. Mettez à jour vers les builds corrigés, l’échéance fédérale du 19 septembre étant déjà dépassée.
Corrigée en mai 2026, l’injection SQL pré-authentification CVE-2026-48842 du plugin virtuser_query de Roundcube Webmail est désormais exploitée en conditions réelles, selon le Centre canadien pour la cybersécurité. Les administrateurs doivent passer en version 1.6.16 ou 1.7.1, ou désactiver le plugin virtuser_query sans attendre.
Le 8 septembre 2026, cPanel a révélé une injection SQL dans EmailTrack qui permet à tout titulaire d’un compte mail d’écrire des fichiers arbitraires puis d’exécuter du code en root. Toutes les versions supportées sont touchées : sur un hébergement mutualisé, chaque compte client devient une porte d’entrée vers le serveur entier.
