Acronis warnt vor ausgenutzter Privilegien-Schwachstelle in Backup-Plugins

Acronis hat davor gewarnt, dass eine Sicherheitslücke mit hohem Schweregrad im Backup-Plugin für cPanel und Web Host Manager (WHM) aktiv in begrenzten, gezielten Angriffen ausgenutzt wird. Die Schwachstelle wird als CVE-2026-87886 geführt und hat einen CVSS-Score von 7,8, was auf einen hohen Schweregrad hindeutet. cPanel ist eines der am weitesten verbreiteten Webhosting-Kontrollpanels und bietet Website-Betreibern und Hosting-Anbietern eine browserbasierte Oberfläche zur Verwaltung von Websites, E-Mail-Konten und Dateien. WHM ist die Serververwaltungsseite derselben Software, die von Hosting-Unternehmen und Resellern genutzt wird, um mehrere cPanel-Konten auf einem Server zu verwalten. Ein Backup-Plugin ist ein Zusatzmodul, das den Prozess des Kopierens von Website-Dateien, Datenbanken und anderen Serverdaten automatisiert, damit sie nach einem Vorfall wiederhergestellt werden können. Da es tiefen Zugriff auf Serverressourcen hat, kann eine Schwachstelle darin gefährlich sein.

Laut Acronis handelt es sich bei der Schwachstelle um eine lokale Rechteausweitung, die durch unsichere Dateiberechtigungen verursacht wird. Praktisch gesprochen ist eine lokale Rechteausweitung eine Schwäche, die es einem Nutzer mit eingeschränktem Zugriff auf einem Linux-Server ermöglicht, höhere, mächtigere Berechtigungen zu erlangen, als ihm zustehen. Wenn Dateiberechtigungen zu locker gesetzt sind, kann ein Nutzer mit geringen Rechten möglicherweise Dateien lesen, ändern oder ersetzen, die einem privilegierteren Konto gehören. Wenn die Schwachstelle erfolgreich ausgenutzt wird, könnte ein Angreifer unbefugte Befehle oder beliebigen Code ausführen, was die Vertraulichkeit und Integrität der Hosting-Anwendung beeinträchtigen könnte.

Die betroffenen Produkte sind das Acronis Backup-Plugin für cPanel und WHM unter Linux vor Build 1.9.3.1021, das in Version 1.9.3 HF3 behoben ist, und die Acronis Backup-Erweiterung für Plesk unter Linux vor Build 1.8.11.638. Plesk ist ein weiteres beliebtes Kontrollpanel, das von Hosting-Anbietern und Website-Betreibern zur Verwaltung von Webservern verwendet wird. Acronis hat eine separate Sicherheitsmitteilung für das Update 1.9.3 HF3 veröffentlicht und erklärt, dass das Update Korrekturen für eine Sicherheitslücke mit hohem Schweregrad enthält und von allen Nutzern sofort installiert werden sollte. Das Unternehmen bestätigte außerdem, dass die Ausnutzung dieser Schwachstelle in freier Wildbahn in begrenzten, gezielten Angriffen festgestellt wurde.

Der Quellbericht enthält keine Details darüber, wie die Schwachstelle ausgenutzt wird, wer hinter den Angriffen steckt oder welche endgültigen Ziele verfolgt werden. Es ist auch unklar, wann die bösartige Aktivität erstmals entdeckt wurde oder wie lange die Schwachstelle vor der Warnung ausgenutzt worden sein könnte. The Hacker News, die über die Sicherheitsmitteilung berichtete, gab an, Acronis um eine Stellungnahme gebeten zu haben, und werde die Geschichte aktualisieren, falls das Unternehmen antwortet. Bis weitere Informationen verfügbar sind, sollten Hosting-Anbieter und Website-Betreiber dies als aktiv ausgenutzte Schwachstelle behandeln und schnell handeln.

Backup-Plugins sind ein üblicher Bestandteil von Hosting-Umgebungen, weil sie Sicherungskopien automatisieren, aber sie laufen auch mit hohen Privilegien, damit sie auf jede Datei und Datenbank auf einem Server zugreifen können. Eine unsichere Dateiberechtigung in einem solchen Plugin kann es einem lokalen Nutzer, beispielsweise jemandem mit einem eingeschränkten Hosting-Konto auf einem Shared Server, ermöglichen, die Dateien des Plugins selbst zu ändern und dann dessen Zugriff auf hoher Ebene zu nutzen, um die Kontrolle zu übernehmen oder andere Konten zu beeinträchtigen. Deshalb ist eine Schwachstelle zur Rechteausweitung in einem Backup-Tool besonders ernst für Shared-Hosting-Umgebungen, in denen viele Kunden darauf angewiesen sind, dass derselbe Server voneinander isoliert bleibt.

Für Website-Betreiber und Hosting-Unternehmen konzentriert sich das praktische Risiko auf Server, auf denen das Acronis Backup-Plugin oder die Erweiterung installiert ist. Auf einem typischen Webhosting-Server können viele Kundenkonten mit eingeschränkten Privilegien existieren, und eine lokale Rechteausweitungs-Schwachstelle kann es einem kompromittierten oder bösartigen Konto ermöglichen, aus seinen Grenzen auszubrechen und andere Websites oder den gesamten Server zu beeinträchtigen. Das macht das Patchen dringend, selbst wenn Sie nicht glauben, dass Ihr eigenes Konto Ziel war. Wenn Sie cPanel, WHM oder Plesk betreiben und Acronis Backup verwenden, installieren Sie jetzt den korrigierten Build. Wenn Ihre Website von einem Anbieter gehostet wird, bitten Sie den Anbieter, zu bestätigen, dass der Patch angewendet wurde.

Acronis-Kunden wird empfohlen, die neuesten Updates so schnell wie möglich anzuwenden. Da die Schwachstelle bereits ausgenutzt wird, lässt eine Verzögerung des Updates eine bekannte Lücke offen, die Angreifer nutzen könnten. Kontrollpanel-Plugins aktuell zu halten, ist eine der wirksamsten Methoden zum Schutz einer Hosting-Umgebung, da diese Tools oft tiefen Zugriff auf Serverressourcen haben. Für Website-Betreiber, die server-seitige Plugins und Updates lieber nicht selbst verwalten möchten, können Managed-Hosting-Dienste diese operative Arbeit übernehmen; AEU Hosting bietet beispielsweise Managed WordPress Hosting, das durchgängig abgesichert ist.