Mise à jour de sécurité Plesk importante (CVE-2026-58046)

Shared FAQ page chrome (breadcrumb, dates, read time, «Continuer la lecture», enquiry block, category labels): see INDEX-AND-CHROME.md. Translate once.

Body

Plesk a publié une mise à jour de sécurité importante corrigeant CVE-2026-58046, une faille d'injection SQL authentifiée dans l'API XML-RPC de Plesk. Tous les serveurs Plesk doivent être mis à jour en version 18.0.79.4 ou ultérieure.

Vue d'ensemble

Une faille de sécurité identifiée sous CVE-2026-58046 a été découverte dans l'API XML-RPC de Plesk.

Elle permet à un utilisateur authentifié disposant de privilèges limités, client ou revendeur, de mener une attaque par injection SQL aveugle contre la base de données Plesk.

Une exploitation réussie pourrait donner accès à des informations sensibles de la base, dont les identifiants administrateur, et conduire à la compromission complète du serveur.

Versions de Plesk concernées

Toutes les versions de Plesk antérieures à 18.0.79.4 sont concernées.

La faille est corrigée dans :

Plesk Obsidian 18.0.79 Update 4 ou ultérieur

Mettre à jour Plesk

1. Mettez à jour depuis Tools & Settings > Updates and Upgrades, puis vérifiez sous Tools & Settings > Server Components que la version est 18.0.79.4 ou ultérieure.

La version de Plesk installée doit être 18.0.79.4 ou ultérieure.

Mesure de contournement temporaire

La mesure suivante ne doit servir que si une mise à jour immédiate est impossible.

Plesk Obsidian 18.x

Connectez-vous au serveur en SSH et ajoutez la configuration suivante au fichier panel.ini de Plesk :

[api]
deprecationError = on

Sur les serveurs Linux, le fichier se trouve normalement ici :

/usr/local/psa/admin/conf/panel.ini

Ce réglage impose une validation stricte de la version du protocole API et bloque les versions obsolètes du protocole XML API qui peuvent contourner la validation des entrées.

Plesk Onyx 17.x et antérieurs

Restreignez l'accès à l'XML API aux adresses IP de confiance en ajoutant la configuration suivante :

[api]
allowedIPs = 203.0.113.2,192.0.2.2

Remplacez les adresses d'exemple par les adresses IP de confiance qui ont besoin de l'accès API.

Notez que restreindre l'XML API de Plesk peut aussi affecter l'accès à l'API REST.

Recommandation EuroVPS

Les clients qui souhaitent de l'aide pour vérifier leur version de Plesk, installer la mise à jour ou appliquer la mesure temporaire peuvent contacter l'équipe support EuroVPS.