Ausgerechnet das Werkzeug, das im Notfall retten soll, wird gerade zur Einstiegstür. Acronis warnt: Eine Lücke in den Backup-Erweiterungen für cPanel, WHM und Plesk wird von Angreifern aktiv ausgenutzt. Und die Frist der US-Behörde CISA läuft schon am 19. September ab.
WAS GENAU KAPUTT IST
Die Lücke trägt die Kennung CVE-2026-87886 und hat einen erstaunlich banalen Kern: unsichere Dateirechte. Ein Angreifer, der bereits ein Konto auf dem Server hat — also zum Beispiel ein einzelner Webhosting-Kunde — kann darüber seine Rechte ausweiten. Ohne dass ein Administrator irgendwo klicken muss.
Die CVSS-Wertung liegt bei 7,8. Das klingt nach Mittelfeld, ist es aber in diesem Fall nicht: Der CVSS-Vektor weist die Ausnutzung als niedrig-komplex aus. Im Klartext heißt das: Es braucht keine Sonderbedingungen, keinen Zufall, kein Glück. Wer den Zugang hat, kommt durch.
GEFAHR! Die Angriffe laufen bereits
Acronis schreibt in seinem Sicherheitshinweis (SEC-10986, veröffentlicht am Dienstag), dass die Ausnutzung in freier Wildbahn beobachtet wurde — in begrenzten, gezielten Angriffen gegen Installationen des Acronis Backup Plugin für cPanel & WHM. Für die Plesk-Erweiterung gibt es bislang keine Hinweise auf aktive Angriffe, verwundbar ist sie trotzdem.
Am 16. September hat die US-Cybersicherheitsbehörde CISA die Lücke in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Die Frist für US-Bundesbehörden endet am 19. September — ein sehr kurzer Zeitraum, der zeigt, wie ernst die Einstufung ist.
Ehrlich bleiben muss man an einer Stelle: Acronis hat bisher nicht offengelegt, was die Angreifer nach der Rechteausweitung auf den Servern tun. Wer dir etwas anderes erzählt, spekuliert.
WER ÜBERHAUPT BETROFFEN IST
Die Acronis-Zusätze verbinden cPanel & WHM beziehungsweise Plesk mit der Acronis-Cloud. Über sie sichern Administratoren Webseiten, Datenbanken und Postfächer und spielen sie zurück. Beliebt ist das vor allem bei Webhostern und Managed-Service-Anbietern, weil sie Backup und Sicherheit unter eigener Marke anbieten können.
Für dich bedeutet das: Betroffen sind nicht nur große Rechenzentren. Auch der kleine Reseller, bei dem dein Vereinsprojekt liegt, kann diese Kombination im Einsatz haben — oft, ohne dass es im Kundenbereich sichtbar ist.
SO RETTEST DU DEINEN SERVER — in 5 MINUTEN
Acronis hat die Sicherheitsupdates bereits in der Vorwoche verteilt. Zu installieren sind:
- Acronis Backup Plugin für cPanel & WHM: Version 1.9.3 HF3
- Acronis Backup Extension für Plesk: Version 1.8.11
Die Reihenfolge fürs Wochenende:
- Bestandsaufnahme: Läuft die Erweiterung überhaupt? In WHM unter den Acronis-Einträgen nachsehen, bei Plesk in der Erweiterungsverwaltung.
- Patchen: Erst die Systeme mit vielen fremden Nutzerkonten — genau dort sitzt der Angreifertyp, für den diese Lücke gemacht ist.
- Nachsehen: Neue Konten mit hohen Rechten, veränderte Cron-Einträge, ungewöhnliche Anmeldungen in den Systemprotokollen.
- Bei Auffälligkeiten: Zugangsdaten und API-Schlüssel neu setzen. Ein Patch entfernt keinen Angreifer, der schon drin ist.
FAZIT: Backup-Software ist Angriffsfläche
Der Fall reiht sich in ein Muster ein, das wir in diesem Jahr mehrfach gesehen haben: Sicherungswerkzeuge haben von Natur aus tiefe Rechte im System — und sind damit ein lohnendes Ziel. Wer Backup-Software betreibt, sollte sie genauso konsequent aktuell halten wie den Webserver selbst. Und den Rückspieltest nicht vergessen: Eine Sicherung, die nie zurückgespielt wurde, ist nur eine Vermutung.