Acronis warnt vor ausgenutzter Schwachstelle zur Rechteausweitung im cPanel-Backup-Plugin

Acronis hat eine schwerwiegende Schwachstelle in seinen Linux-Backup-Integrationen für cPanel & WHM und Plesk offengelegt. Das Unternehmen warnt, dass Angreifer die cPanel-Komponente möglicherweise bereits im Rahmen gezielter Aktivitäten ausgenutzt haben.

Die als CVE-2026-87886 geführte Schwachstelle ermöglicht es einem Angreifer mit niedrigen Berechtigungen und Zugriff auf einen anfälligen Server, höhere Berechtigungen zu erlangen. Sie hat einen CVSS-Score von 7,8 und erfordert keine Aktion eines anderen Benutzers.

Acronis meldete das Problem am 15. September 2026, nachdem zuvor bereits eine kürzere Warnung veröffentlicht worden war. Für beide betroffenen Integrationen stehen Fehlerbehebungen bereit.

Bericht über die Ausnutzung ist ernst, aber wenig umfangreich

Acronis gibt an, eine begrenzte Ausnutzung des Acronis-Backup-Plugins für cPanel & WHM beobachtet zu haben. Die öffentlich offengelegten Belege sind jedoch weiterhin sehr begrenzt.

Das Unternehmen teilte BleepingComputer mit, dass seine Einschätzung auf einem Bericht eines Kunden beruht, der als potenziell betroffen eingestuft wurde. Acronis hat weder angegeben, wann sich der mutmaßliche Vorfall ereignete, noch die Aktivitäten des Angreifers auf dem Server beschrieben.

Es wurden keine technischen Artefakte veröffentlicht, die bestätigen würden, wie die Schwachstelle ausgelöst wurde. Ebenso gibt es keine veröffentlichten IP-Adressen, Dateihashes, Dateinamen, Prozessmuster, Befehle oder andere mit der Aktivität verbundene Indicators of Compromise.

Damit liegt den Verteidigern zwar eine Warnung vor einer Ausnutzung vor, aber keine verlässliche Signatur, mit der sich diese erkennen lässt. Die verfügbaren Informationen belegen außerdem weder, dass mehrere Organisationen angegriffen wurden, noch dass die gemeldete Aktivität zu einer bestätigten Kompromittierung führte.

Die Ausnutzung wurde ausdrücklich mit dem cPanel-&-WHM-Plugin in Verbindung gebracht. Acronis hat keine Angriffe in freier Wildbahn auf die Plesk-Erweiterung gemeldet. Das Produkt ist jedoch von derselben erfassten Schwachstelle betroffen und sollte ebenfalls aktualisiert werden.

Was CVE-2026-87886 einem Angreifer ermöglicht

CVE-2026-87886 ist eine lokale Schwachstelle zur Rechteausweitung, die Linux-Server mit den Acronis-Integrationen für Control Panels betrifft.

Ein Angreifer muss bereits über ein gewisses Maß an Zugriff auf den betroffenen Host verfügen. Dabei kann es sich um ein Konto mit niedrigen Berechtigungen oder eine andere Form lokaler Codeausführung handeln. Acronis hat die genauen Voraussetzungen jedoch nicht beschrieben und keinen Proof of Concept veröffentlicht.

Die Schwachstelle wird daher nicht als direkter, unauthentifizierter Zugangsweg zu einem aus dem Internet erreichbaren Server dargestellt. Stattdessen kann sie eingeschränkten Zugriff in eine privilegiertere Position umwandeln, sobald ein Angreifer das System erreicht hat.

Eine erfolgreiche Ausnutzung kann es dem Angreifer ermöglichen, vertrauliche Informationen zu lesen oder zu verändern und den Serverbetrieb zu beeinträchtigen. Das genaue Berechtigungsniveau, das sich nach der Ausnutzung erlangen lässt, wurde nicht offengelegt. Daher kann anhand der verfügbaren Informationen nicht bestätigt werden, ob die Schwachstelle immer vollständigen Root-Zugriff gewährt.

Das Risiko ist insbesondere in Hosting-Umgebungen relevant. cPanel & WHM und Plesk ermöglichen die grafische Verwaltung von Websites, Datenbanken, Postfächern, Dateien und Hosting-Konten. Acronis integriert Backup- und Wiederherstellungsfunktionen in diese Umgebungen.

Ein Angreifer, der die Berechtigungen auf einem Hosting-Server ausweitet, könnte folglich möglicherweise mehr als eine administrative Funktion beeinträchtigen. Die tatsächlichen Auswirkungen hängen von den anschließend verfügbaren Berechtigungen des Angreifers, der Serverkonfiguration und den auf dem System gehosteten Ressourcen ab.

Acronis hält weitergehende technische Details zurück, während Kunden die Fehlerbehebungen einspielen. Die anfällige Komponente, die auslösende Bedingung, das Ausnutzungsverfahren und die zu erwartenden forensischen Spuren sind derzeit nicht bekannt.

Anfällige Builds und korrigierte Releases

Die Schwachstelle betrifft separate Acronis-Integrationen für die beiden Hosting-Control-Panel-Plattformen.

Acronis-Produkt	Anfällige Builds	Korrigiertes Release
Acronis Backup plugin for cPanel & WHM	Builds vor 1.9.3.1021	1.9.3 HF3
Acronis Backup extension for Plesk	Builds vor 1.8.11.638	1.8.11

Administratoren sollten die installierte Build-Nummer prüfen und sich nicht ausschließlich auf eine verkürzte Versionsangabe verlassen. Beim cPanel-Plugin darf die eingesetzte Build nicht unter 1.9.3.1021 liegen. Bei der Plesk-Erweiterung darf sie nicht unter 1.8.11.638 liegen.

Die cPanel-Benennung erfordert möglicherweise besondere Aufmerksamkeit, da das korrigierte Release als 1.9.3 HF3 bezeichnet wird, während sich die Betroffenheit anhand der vollständigen Build-Nummer bestimmt. Unternehmen sollten nach der Installation sowohl die angezeigte Release-Version als auch die zugrunde liegende Build bestätigen.

Acronis hat keine Konfigurationsumgehung oder kompensierende Änderung bereitgestellt, mit der sich die Schwachstelle ohne Aktualisierung beseitigen lässt. Das Einspielen des Patches ist daher die wichtigste Abhilfemaßnahme.

Hosting-Anbieter müssen sowohl die Betroffenheit als auch die Zugriffe bewerten

Organisationen, die eine der beiden Integrationen einsetzen, sollten umgehend die korrigierte Version installieren und anschließend überprüfen, ob das Update auf jedem relevanten Linux-Host abgeschlossen wurde.

Diese Überprüfung ist in Umgebungen wichtig, in denen Plugins über verschiedene Control Panels, Vorlagen, Automatisierungssysteme oder Server-Images bereitgestellt werden. Ein erfolgreiches Update auf einem Management-Node zeigt nicht, dass jeder Hosting-Server geschützt ist.

Verteidiger sollten zunächst Systeme erfassen, auf denen Folgendes ausgeführt wird:

• Acronis Backup plugin for cPanel & WHM;
• Acronis Backup extension for Plesk;
• in der Versionstabelle aufgeführte anfällige Builds;
• ältere Server-Images oder Vorlagen, mit denen eine anfällige Build erneut bereitgestellt werden könnte.

Anschließend sollten sie ermitteln, welche Benutzer, Anwendungen und Dienste über Zugriffe mit niedrigen Berechtigungen auf diese Hosts verfügten. Da es sich um eine Schwachstelle zur lokalen Rechteausweitung handelt, können Hinweise auf einen ursprünglichen Zugang ebenso aussagekräftig sein wie Belege für die eigentliche Rechteausweitung.

Hosting-Anbieter sollten außerdem prüfen, ob potenziell exponierte Systeme mehrere Kunden-Websites oder -Konten verwalten. Ein einzelner anfälliger Server könnte weitreichendere betriebliche Auswirkungen haben als ein Endgerät, das nur einem Mitarbeiter zugewiesen ist. Ein konkreter kontenübergreifender Angriff wurde jedoch nicht dokumentiert.

Soweit möglich, sollten anfällige Systeme nach Internet-Exponierung, Anzahl der gehosteten Konten, administrativer Bedeutung und Hinweisen auf verdächtige Zugriffe priorisiert werden.

Erkennung muss auf einer umfassenden Host-Telemetrie beruhen

Da der Anbieter keine Indicators bereitgestellt hat, reicht eine herkömmliche Suche nach Indikatoren nicht aus. Sicherheitsteams müssen im betroffenen Zeitraum nach Verhaltenshinweisen suchen, auch wenn das Datum der gemeldeten Ausnutzung nicht bekannt ist.

Zu den sinnvollen Prüfbereichen gehören:

• unerwartete erfolgreiche oder fehlgeschlagene Authentifizierungsereignisse;
• Berechtigungsänderungen bei Konten mit geringem Vertrauensniveau;
• neu angelegte oder veränderte Administratorkonten;
• ungewöhnliche Befehlsausführung durch Control-Panel- oder Backup-bezogene Prozesse;
• Prozesse, die unter unerwarteten Benutzeridentitäten gestartet wurden;
• unerklärliche Änderungen an geschützten Dateien, Berechtigungen, Starteinstellungen oder geplanten Tasks;
• ungewöhnlicher Zugriff auf Website-, Postfach-, Datenbank-, Konto- oder Backup-Daten;
• Dienstunterbrechungen oder administrative Aktionen ohne zugehörigen Änderungsdatensatz;
• verdächtige Control-Panel-Sitzungen sowie Backup- oder Wiederherstellungsvorgänge.

Teams sollten Control-Panel-Logs mit Linux-Telemetrie zu Authentifizierung, Prozessen, Dateiintegrität und administrativen Ereignissen korrelieren. Eine Prüfung ausschließlich der Acronis-Oberfläche kann Aktivitäten übersehen, die nach der Rechteausweitung direkt auf dem zugrunde liegenden Host ausgeführt wurden.

Wenn verdächtiges Verhalten festgestellt wird, sollten die Incident-Responder Logs und forensische Beweismittel sichern, bevor umfassende Bereinigungsmaßnahmen eingeleitet werden. Außerdem sollten sie die auf dem betroffenen Server zugänglichen Zugangsdaten und Secrets rotieren. Dabei sind die während des mutmaßlichen Vorfalls verfügbaren Berechtigungen und offengelegten Daten zu berücksichtigen.

Für CVE-2026-87886 ist weder ein Aufnahmedatum im CISA-Katalog Known Exploited Vulnerabilities noch eine Frist für behördliche Abhilfemaßnahmen bekannt. In den offengelegten Informationen wurden keine zuvor in den KEV-Katalog aufgenommenen Acronis-Schwachstellen genannt. Daher lässt sich dieser Vorfall nicht zuverlässig in ein umfassenderes KEV-Muster einordnen.

Der Handlungspfad ist vorerst eindeutig: anfällige Builds identifizieren, die korrigierten Releases bereitstellen, die Installation überprüfen und betroffene Linux-Hosts untersuchen, ohne auf detailliertere Indicators zu warten.