Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * gekennzeichnet). Kaufst du über einen dieser Links, erhalte ich eine kleine Provision — für dich ändert sich der Preis nicht.
Shared Hosting funktioniert nach einem einfachen Versprechen: Viele Kunden teilen sich einen Server, und keiner kommt an die Daten der anderen. Eine frisch gepatchte Lücke in cPanel & WHM hat genau dieses Versprechen für einen Moment kassiert.
Denn CVE-2026-65643 braucht keinen Hackerangriff von außen. Sie braucht nur eines: ein ganz normales, bezahltes Hosting-Konto auf demselben Server.
WO DER FEHLER STECKT
Der Fehler sitzt in einer Funktion, die jeder kennt und kaum jemand für gefährlich hält: dem Parken von Domains. Damit lässt du eine zusätzliche Domain auf eine bestehende Webseite zeigen — Standardkost, in jedem Hosting-Paket enthalten.
Wer dieses Recht hat, kann laut Advisory über die Funktion beliebige Dateien an beliebiger Stelle auf dem darunterliegenden Server anlegen. Und wer Dateien überall anlegen darf, kommt auf einem Linux-System sehr schnell an Stellen, an denen der Systembenutzer root sie später ausführt. Am Ende der Kette steht Codeausführung mit vollen Rechten — also die Kontrolle über den kompletten Server samt allen anderen Kundenkonten darauf.
Öffentlich beschrieben wurde die Schwachstelle am 27. August 2026 in einem Advisory von cPanel. Betroffen sind alle unterstützten Versionen von cPanel & WHM.
WARUM DAS SO UNANGENEHM IST
Viele kritische Lücken setzen voraus, dass ein Angreifer erst irgendwo hineinkommt. Hier ist die Eintrittskarte ein Produkt: Ein billiges Webhosting-Paket kostet wenige Euro im Monat. Genauso reicht ein gekapertes Kundenkonto — und davon gibt es durch geklaute Passwörter reichlich.
Dazu kommt: cPanel ist auf unzähligen Servern weltweit das Standard-Panel. Ein einzelner erfolgreicher Angriff trifft nicht eine Webseite, sondern alle Seiten auf der Maschine.
Zur Einordnung, ohne Panikmache: cPanel hat sich nicht dazu geäußert, ob die Lücke bereits ausgenutzt wurde. In der KEV-Liste der US-Behörde CISA, die aktiv missbrauchte Schwachstellen sammelt, stand sie zum Stand des Advisories nicht.
SO PRÜFST DU DEINEN HOSTER — IN 5 MINUTEN
Als Kunde eines Shared-Hosting-Pakets kannst du den Patch nicht selbst einspielen. Aber du kannst nachhalten, ob dein Anbieter es getan hat:
- In WHM oder cPanel unten rechts die angezeigte Versionsnummer ablesen.
- Beim Support kurz und konkret nachfragen: „Ist der cPanel-Patch zu CVE-2026-65643 vom 27. August eingespielt?“ Wer das nicht innerhalb eines Werktages beantworten kann, sagt damit schon einiges.
- Prüfen, ob automatische cPanel-Updates aktiv sind — bei seriösen Anbietern sind sie das.
- Danach unabhängig davon: Passwörter im Hosting-Konto erneuern und Zwei-Faktor aktivieren, falls verfügbar.
EXTRA-TIPP: WANN DER UMSTIEG SINN ERGIBT
Wenn dich der Gedanke stört, dass fremde Kunden auf derselben Maschine sitzen, ist ein eigener kleiner Server die naheliegende Antwort. Ein günstiger virtueller Server bei Hetzner Cloud* kostet oft weniger als ein mittleres Hosting-Paket, und du hast keine Nachbarn mehr, deren Rechte dir gefährlich werden können. Der Preis dafür ist Eigenverantwortung: Updates, Firewall und Backups liegen dann bei dir.
FAZIT: Der Patch ist da, die Ausnutzung braucht ein Konto auf dem Server. Trotzdem gehört diese Lücke in die Kategorie, bei der man einmal kurz beim Hoster nachhakt — statt zu hoffen.