Acronis hat Patches für eine Schwachstelle im Backup-Plugin für cPanel & WHM bereitgestellt, die nach Angaben des Unternehmens bereits aktiv angegriffen wird. Die Aktualisierungen erschienen am Dienstag und werden vom Hersteller als dringend eingestuft.
Die Schwachstelle trägt die Kennung CVE-2026-87886 und erhielt einen CVSS-Wert von 7.8. Es handelt sich um unsichere Dateiberechtigungen, die eine lokale Rechteausweitung ermöglichen. Angreifer können darüber erhöhte Privilegien auf dem betroffenen System erlangen.
Betroffen sind zwei Produkte: das Backup-Plugin für cPanel & WHM und die Backup-Erweiterung für Plesk. Angriffe wurden bislang ausschließlich gegen das Plugin registriert, nicht gegen die Plesk-Erweiterung. „Die Ausnutzung dieser Schwachstelle wurde in freier Wildbahn in begrenzten, gezielten Angriffen gegen Installationen des Acronis Backup-Plugins für cPanel & WHM festgestellt“, heißt es im Sicherheitshinweis des Herstellers.
Nach Acronis-Angaben sind alle Linux-Versionen des Backup-Plugins für cPanel & WHM vor Build 1.9.3.1021 verwundbar. Bei der Backup-Erweiterung für Plesk betrifft dies alle Versionen vor Build 1.8.11.638. Administratoren, die ältere Builds im Einsatz haben, sollten diese laut Hersteller umgehend auf die korrigierten Fassungen anheben.
Das Acronis Backup-Plugin für cPanel & WHM bietet Sicherung und Wiederherstellung auf Datenträgerebene in Umgebungen mit Hosting-Steuerkonsole. Solche Installationen finden sich typischerweise auf Servern von Hosting-Anbietern, auf denen zahlreiche Kundenumgebungen parallel betrieben werden — ein Umstand, der eine lokale Rechteausweitung besonders heikel macht.
Technische Details zur Lücke hat Acronis nicht veröffentlicht. Weder zur Art der fehlerhaften Berechtigungen noch zu den beobachteten Angriffen, deren Urhebern oder dem Umfang der Ausnutzung machte das Unternehmen Angaben. Der Sicherheitshinweis beschränkt sich auf die Feststellung, dass Angriffe stattgefunden haben, und auf die Aufforderung, Installationen unverzüglich zu aktualisieren.
Da es sich um eine lokale Rechteausweitung handelt, setzt ein Angriff voraus, dass bereits ein Zugang zum betroffenen System besteht — ein Szenario, das in Shared-Hosting-Umgebungen mit vielen Konten auf einem Server realistisch ist. Der Hinweis auf „begrenzte, gezielte Angriffe“ deutet nach Darstellung von Acronis nicht auf eine breit angelegte Kampagne hin.
Die Meldung reiht sich in eine Serie von Schwachstellen ein, die Hosting-Steuerkonsolen und deren Zusatzkomponenten betreffen: Erst kürzlich war eine kritische Lücke in cPanel & WHM selbst über Monate hinweg als Zero-Day ausgenutzt worden.