Acronis alerte sur une faille d’élévation de privilèges exploitée dans le plugin de sauvegarde cPanel

Acronis a révélé l’existence d’une vulnérabilité critique dans ses intégrations de sauvegarde Linux pour cPanel & WHM et Plesk, avertissant que des attaquants pourraient déjà avoir exploité le composant cPanel dans le cadre d’une campagne ciblée.

Référencée sous CVE-2026-87886, cette faille permet à un attaquant disposant de faibles privilèges et ayant accès à un serveur vulnérable d’obtenir des privilèges plus élevés. Elle affiche un score CVSS de 7,8 et ne nécessite aucune action de la part d’un autre utilisateur.

Acronis a signalé le problème le 15 septembre 2026, après la publication d’un premier avis plus court. Des correctifs sont disponibles pour les deux intégrations concernées.

Le signalement d’une exploitation est sérieux, mais limité

Acronis indique avoir observé une exploitation limitée du plugin Acronis Backup pour cPanel & WHM. Les éléments rendus publics restent toutefois très restreints.

L’entreprise a indiqué à BleepingComputer que son évaluation reposait sur un seul signalement provenant d’un client considéré comme potentiellement affecté. Acronis n’a pas précisé quand l’incident présumé s’était produit ni décrit les actions menées par l’attaquant sur le serveur.

Aucun artefact technique n’a été publié pour confirmer la manière dont la vulnérabilité a été déclenchée. Aucune adresse IP, empreinte de fichier, nom de fichier, séquence de processus, commande ou autre indicateur de compromission associé à cette activité n’a non plus été communiqué.

Les défenseurs disposent donc d’un avertissement concernant une exploitation, mais d’aucune signature fiable permettant de la détecter. Les informations disponibles ne permettent pas non plus de déterminer si plusieurs organisations ont été ciblées ni si l’activité signalée a entraîné une compromission confirmée.

L’exploitation a été associée spécifiquement au plugin cPanel & WHM. Acronis n’a pas signalé d’attaques menées à grande échelle contre l’extension Plesk, même si ce produit est vulnérable au même problème et doit également être mis à jour.

Ce que CVE-2026-87886 permet à un attaquant de faire

CVE-2026-87886 est une vulnérabilité locale d’élévation de privilèges qui affecte les serveurs Linux exécutant les intégrations Acronis pour panneaux de contrôle.

L’attaquant doit déjà disposer d’un certain niveau d’accès à l’hôte concerné. Il peut s’agir d’un compte disposant de faibles privilèges ou d’une autre forme d’exécution locale, mais Acronis n’a pas décrit la condition préalable exacte ni publié de preuve de concept.

La faille n’est donc pas présentée comme une voie d’accès directe et non authentifiée à un serveur exposé sur Internet. Elle peut en revanche transformer un accès limité en position plus privilégiée une fois que l’attaquant a atteint le système.

Une exploitation réussie peut permettre à l’attaquant de lire ou de modifier des informations sensibles et de perturber le fonctionnement du serveur. Le niveau exact des privilèges obtenus après l’exploitation n’ayant pas été communiqué, les informations disponibles ne permettent pas de confirmer que la faille accorde systématiquement un accès root complet.

Le risque est particulièrement important dans les environnements d’hébergement. cPanel & WHM et Plesk permettent d’administrer graphiquement les sites web, les bases de données, les boîtes aux lettres, les fichiers et les comptes d’hébergement. Acronis y intègre des fonctions de sauvegarde et de restauration.

Par conséquent, un attaquant qui élève ses privilèges sur un serveur d’hébergement pourrait potentiellement affecter plusieurs fonctions d’administration. L’impact réel dépendrait des autorisations obtenues, de la configuration du serveur et des ressources hébergées sur cette machine.

Acronis ne communique pas davantage de détails techniques pendant que ses clients déploient les correctifs. Le composant vulnérable, la condition de déclenchement, la procédure d’exploitation et les traces forensiques attendues ne sont pas connus à ce stade.

Versions vulnérables et versions corrigées

La vulnérabilité affecte deux intégrations Acronis distinctes, conçues pour les plateformes de gestion d’hébergement concernées.

Produit Acronis	Versions vulnérables	Version corrigée
Plugin Acronis Backup pour cPanel & WHM	Versions antérieures à 1.9.3.1021	1.9.3 HF3
Extension Acronis Backup pour Plesk	Versions antérieures à 1.8.11.638	1.8.11

Les administrateurs doivent vérifier le numéro de build installé plutôt que de se fier uniquement à une version abrégée. Pour le plugin cPanel, le build déployé ne doit pas être inférieur à 1.9.3.1021. Pour l’extension Plesk, il ne doit pas être inférieur à 1.8.11.638.

La nomenclature cPanel mérite une attention particulière, car la version corrigée est identifiée comme 1.9.3 HF3, tandis que l’exposition est déterminée par le numéro de build complet. Après l’installation, les organisations doivent vérifier à la fois la version affichée et le build sous-jacent.

Acronis n’a fourni aucune mesure de contournement ni modification compensatoire permettant de supprimer la vulnérabilité sans effectuer de mise à jour. L’application du correctif constitue donc la principale mesure de remédiation.

Les hébergeurs doivent évaluer leur exposition et les accès concernés

Les organisations qui utilisent l’une ou l’autre de ces intégrations doivent installer immédiatement la version corrigée, puis vérifier que la mise à jour a bien été effectuée sur chaque hôte Linux concerné.

Cette vérification est importante dans les environnements où les plugins peuvent être déployés au moyen de panneaux de contrôle, de modèles, de systèmes d’automatisation ou d’images serveur différents. Une mise à jour réussie sur un nœud d’administration ne prouve pas que tous les serveurs d’hébergement sont protégés.

Les défenseurs doivent commencer par inventorier les systèmes qui exécutent :

• le plugin Acronis Backup pour cPanel & WHM ;
• l’extension Acronis Backup pour Plesk ;
• les versions vulnérables indiquées dans le tableau des versions ;
• les anciennes images ou anciens modèles de serveur susceptibles de redéployer une version vulnérable.

Ils doivent ensuite déterminer quels utilisateurs, applications et services disposaient d’un accès avec de faibles privilèges à ces hôtes. Puisqu’il s’agit d’une faille d’escalade locale, les indices d’un accès initial peuvent être aussi importants que ceux attestant l’escalade elle-même.

Les hébergeurs doivent également déterminer si les systèmes potentiellement exposés gèrent plusieurs sites web ou comptes clients. Un seul serveur vulnérable pourrait avoir un impact opérationnel plus large qu’un poste attribué à un seul employé, même si aucune compromission intercomptes précise n’a été documentée.

Lorsque cela est possible, les systèmes vulnérables doivent être traités en priorité selon leur exposition à Internet, le nombre de comptes hébergés, leur importance administrative et les signes d’un accès suspect.

La détection doit s’appuyer sur une télémétrie étendue des hôtes

L’absence d’indicateurs fournis par l’éditeur rend insuffisante une recherche classique fondée sur les indicateurs de compromission. Les équipes de sécurité doivent rechercher des éléments comportementaux sur la période concernée, même si la date de l’exploitation signalée n’est pas connue.

Les points à examiner comprennent notamment :

• les événements d’authentification réussis ou échoués inattendus ;
• les changements de privilèges impliquant des comptes à faible niveau de confiance ;
• la création ou la modification de comptes administrateurs ;
• l’exécution inhabituelle de commandes par des processus liés au panneau de contrôle ou à la sauvegarde ;
• les processus lancés sous des identités utilisateur inattendues ;
• les modifications inexpliquées de fichiers protégés, d’autorisations, de paramètres de démarrage ou de tâches planifiées ;
• les accès anormaux aux données de sites web, de boîtes aux lettres, de bases de données, de comptes ou de sauvegardes ;
• les interruptions de service ou les actions administratives sans demande de changement correspondante ;
• les sessions suspectes sur le panneau de contrôle et les opérations de sauvegarde ou de restauration.

Les équipes doivent corréler les journaux du panneau de contrôle avec les données de télémétrie relatives à l’authentification Linux, aux processus, à l’intégrité des fichiers et aux événements administratifs. Examiner uniquement l’interface Acronis pourrait laisser échapper une activité menée directement sur l’hôte sous-jacent après l’élévation des privilèges.

En cas de comportement suspect, les intervenants doivent préserver les journaux et les éléments forensiques avant d’effectuer des opérations de nettoyage importantes. Ils doivent également renouveler les identifiants et les secrets accessibles depuis le serveur concerné, en fonction des privilèges et des données exposés lors de l’incident présumé.

Aucune date d’ajout de CVE-2026-87886 au catalogue CISA Known Exploited Vulnerabilities ni aucun délai de remédiation fédéral n’est connu. Les informations communiquées ne font pas état de vulnérabilités récentes d’Acronis précédemment ajoutées au catalogue KEV ; il n’est donc pas possible de rattacher de manière fiable cet incident à une tendance plus large concernant KEV.

Pour l’instant, la marche à suivre est claire : identifier les versions vulnérables, déployer les versions corrigées, vérifier l’installation et examiner les hôtes Linux concernés sans attendre la publication d’indicateurs plus détaillés.