Multiples vulnérabilités affectant Plesk
Plusieurs vulnérabilités ont été découvertes dans Plesk. Elles permettraient à un acteur malveillant d'écrire des fichiers arbitraires avec les privilèges root et d'élever ses privilèges jusqu'au niveau root.
Description
Contexte technique et détails de la vulnérabilité
Plesk est un panneau de contrôle d'hébergement largement utilisé pour l'administration des serveurs web, des domaines, des bases de données et de la messagerie. Cette solution est affectée par plusieurs vulnérabilités libellées comme suit : CVE-2026-68488 : vulnérabilité résultant d'une situation de concurrence de type Time-of-check Time-of-use (TOCTOU), conduisant à un suivi non sécurisé des liens symboliques. Son exploitation permettrait à un attaquant authentifié d'élever ses privilèges jusqu'au niveau root en s'appropriant des fichiers ou répertoires arbitraires. Elle est classée critique avec un score de sévérité de 9.9 selon le CVSS v3.1. CVE-2026-68487 : vulnérabilité de traversée de répertoires dans le gestionnaire de sauvegardes de Plesk (Backup Manager). Son exploitation permettrait à un attaquant authentifié d'écrire des fichiers arbitraires avec les privilèges root. Elle est classée critique avec un score de sévérité de 9.9 selon le CVSS v3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Atteinte à l'intégrité des données ;
- Atteinte à la confidentialité des données ;
- Exécution de code arbitraire ;
- Élévation de privilèges.
Systèmes affectés
Produits, composants et versions concernés
- Plesk 18.0.80, versions antérieures à 18.0.80.7 ;
- Plesk 18.0.79, versions antérieures à 18.0.79.11.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour les systèmes concernés vers les versions 18.0.80.7 ou 18.0.79.11.
Sources & Liens externes
Avis constructeurs et bulletins de référence
- https://support.plesk.com/hc/en-us/articles/43248932867351-Vulnerability-in-Plesk-s-Backup-Manager-symlink-race-during-restore-allows-root-privilege-escalation
- https://nvd.nist.gov/vuln/detail/CVE-2026-68488
- https://support.plesk.com/hc/en-us/articles/43248841638551-Vulnerability-in-Plesk-s-Backup-Manager-unsigned-backup-header-allows-path-traversal
- https://nvd.nist.gov/vuln/detail/CVE-2026-68487
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.