Acronis segnala una vulnerabilità di escalation dei privilegi sfruttata nel plugin di backup per cPanel

Acronis ha reso nota una vulnerabilità ad alta gravità nelle integrazioni di backup per Linux destinate a cPanel & WHM e Plesk, avvertendo che gli aggressori potrebbero aver già sfruttato il componente cPanel in attività mirate.

Identificata come CVE-2026-87886, la vulnerabilità consente a un aggressore con privilegi ridotti e accesso a un server vulnerabile di ottenere privilegi più elevati. Ha un punteggio CVSS di 7,8 e non richiede l’intervento di un altro utente.

Acronis ha segnalato il problema il 15 settembre 2026, dopo un precedente advisory più breve. Sono disponibili correzioni per entrambe le integrazioni interessate.

Il rapporto sullo sfruttamento è grave, ma circoscritto

Acronis afferma di aver osservato uno sfruttamento limitato del plugin Acronis Backup per cPanel & WHM. Tuttavia, le evidenze rese pubbliche restano circoscritte.

L’azienda ha dichiarato a BleepingComputer che la valutazione si basava su una segnalazione di un cliente ritenuto potenzialmente interessato. Acronis non ha indicato quando si sarebbe verificato l’incidente sospetto né ha descritto le azioni dell’aggressore sul server.

Non sono stati pubblicati artefatti tecnici che confermino come sia stata attivata la vulnerabilità. Inoltre, non sono disponibili indirizzi IP, hash di file, nomi di file, pattern di processi, comandi o altri indicatori di compromissione associati all’attività.

I responsabili della difesa dispongono quindi di un avviso sullo sfruttamento, ma non di una firma affidabile per individuarlo. Le informazioni disponibili non consentono inoltre di stabilire se siano state prese di mira più organizzazioni o se l’attività segnalata abbia portato a una compromissione confermata.

Lo sfruttamento è stato associato nello specifico al plugin per cPanel & WHM. Acronis non ha segnalato attacchi in-the-wild contro l’estensione per Plesk, anche se il prodotto è vulnerabile allo stesso problema identificato e deve essere aggiornato.

Cosa consente di fare a un aggressore la CVE-2026-87886

La CVE-2026-87886 è una vulnerabilità locale di escalation dei privilegi che interessa i server Linux su cui sono in esecuzione le integrazioni Acronis per i pannelli di controllo.

L’aggressore deve disporre già di un certo livello di accesso all’host interessato. Potrebbe trattarsi di un account con privilegi ridotti o di un’altra forma di esecuzione locale, ma Acronis non ha descritto il prerequisito preciso né pubblicato un proof of concept.

La vulnerabilità non viene quindi presentata come un accesso diretto e non autenticato a un server esposto su Internet. Può invece trasformare un accesso limitato in una posizione più potente dopo che l’aggressore ha raggiunto il sistema.

Lo sfruttamento riuscito può consentire all’aggressore di leggere o modificare informazioni sensibili e interferire con le operazioni del server. Non è stato divulgato il livello esatto dei privilegi ottenuti dopo lo sfruttamento; pertanto, sulla base delle informazioni disponibili, non è possibile confermare se la vulnerabilità garantisca sempre l’accesso completo a root.

Il rischio è particolarmente rilevante negli ambienti di hosting. cPanel & WHM e Plesk consentono di amministrare graficamente siti web, database, caselle di posta, file e account di hosting. Acronis integra in questi ambienti le funzioni di backup e ripristino.

Di conseguenza, un aggressore che aumenti i propri privilegi su un server di hosting potrebbe potenzialmente compromettere più di una funzione amministrativa. L’impatto effettivo dipenderebbe dai permessi ottenuti, dalla configurazione del server e dalle risorse ospitate su quella macchina.

Acronis sta trattenendo i dettagli tecnici più approfonditi mentre i clienti distribuiscono le correzioni. Al momento non sono noti il componente vulnerabile, la condizione che attiva la vulnerabilità, la procedura di sfruttamento né le tracce forensi previste.

Build vulnerabili e release corrette

La vulnerabilità interessa integrazioni Acronis separate per le due piattaforme di gestione degli ambienti di hosting.

Prodotto Acronis	Build vulnerabili	Release corretta
Plugin Acronis Backup per cPanel & WHM	Build precedenti a 1.9.3.1021	1.9.3 HF3
Estensione Acronis Backup per Plesk	Build precedenti a 1.8.11.638	1.8.11

Gli amministratori devono verificare il numero di build installato, senza basarsi soltanto su un’etichetta di versione abbreviata. Per il plugin cPanel, la build distribuita non deve essere inferiore a 1.9.3.1021. Per l’estensione Plesk, non deve essere inferiore a 1.8.11.638.

La denominazione di cPanel può richiedere particolare attenzione, perché la release corretta è indicata come 1.9.3 HF3, mentre l’esposizione è definita dal numero completo della build. Dopo l’installazione, le organizzazioni devono verificare sia la release visualizzata sia la build sottostante.

Acronis non ha fornito una soluzione alternativa o una modifica compensativa in grado di rimuovere la vulnerabilità senza aggiornare il prodotto. L’applicazione della patch è quindi la principale misura correttiva.

I provider di hosting devono valutare sia l’esposizione sia gli accessi

Le organizzazioni che utilizzano una delle due integrazioni devono installare immediatamente la versione corretta e verificare poi che l’aggiornamento sia stato completato su ogni host Linux interessato.

Questa verifica è importante negli ambienti in cui i plugin possono essere distribuiti tramite pannelli di controllo, template, sistemi di automazione o immagini server differenti. Un aggiornamento riuscito su un nodo di gestione non dimostra che tutti i server di hosting siano protetti.

I responsabili della difesa devono innanzitutto inventariare i sistemi che eseguono:

• il plugin Acronis Backup per cPanel & WHM;
• l’estensione Acronis Backup per Plesk;
• le build vulnerabili indicate nella tabella delle versioni;
• immagini o template di server obsoleti che potrebbero ridistribuire una build esposta.

Devono quindi determinare quali utenti, applicazioni e servizi disponessero di accesso con privilegi ridotti a quegli host. Poiché si tratta di una vulnerabilità locale di escalation, le evidenze di un accesso iniziale possono essere importanti quanto quelle dello stesso aumento dei privilegi.

I provider di hosting devono inoltre valutare se i sistemi potenzialmente esposti gestiscono più siti web o account dei clienti. Un singolo server vulnerabile potrebbe avere un impatto operativo più ampio rispetto a un endpoint assegnato a un solo dipendente, anche se non è stata documentata alcuna compromissione specifica tra account diversi.

Quando possibile, i sistemi vulnerabili devono essere sottoposti a intervento prioritario in base all’esposizione su Internet, al numero di account ospitati, all’importanza amministrativa e alle evidenze di accessi sospetti.

Il rilevamento deve basarsi su telemetria estesa degli host

L’assenza di indicatori forniti dal vendor rende insufficiente una ricerca convenzionale degli indicatori. I team di sicurezza devono cercare evidenze comportamentali lungo tutto il periodo interessato, anche se la data dello sfruttamento segnalato non è nota.

Le aree di analisi utili includono:

• eventi di autenticazione riusciti o non riusciti inattesi;
• variazioni dei privilegi che coinvolgono account a bassa affidabilità;
• utenti amministrativi nuovi o modificati;
• esecuzione insolita di comandi da parte di processi correlati al pannello di controllo o al backup;
• processi avviati con identità utente inattese;
• modifiche inspiegabili a file protetti, permessi, impostazioni di avvio o attività pianificate;
• accessi anomali a dati di siti web, caselle di posta, database, account o backup;
• interruzioni dei servizi o azioni amministrative prive di una corrispondente registrazione delle modifiche;
• sessioni sospette nel pannello di controllo e operazioni di backup o ripristino.

I team devono correlare i log del pannello di controllo con la telemetria Linux relativa ad autenticazione, processi, integrità dei file ed eventi amministrativi. Limitarsi a esaminare l’interfaccia Acronis potrebbe far perdere attività eseguite direttamente sull’host sottostante dopo l’aumento dei privilegi.

Se vengono rilevati comportamenti sospetti, gli incaricati della risposta devono preservare i log e le evidenze forensi prima di apportare modifiche estese per la pulizia. Devono inoltre ruotare le credenziali e i segreti accessibili dal server interessato, in base ai privilegi e ai dati esposti durante l’incidente sospetto.

Non sono note aggiunte della CVE-2026-87886 al catalogo CISA Known Exploited Vulnerabilities né scadenze federali per la correzione. Dalle informazioni divulgate non risultano vulnerabilità Acronis recenti precedentemente aggiunte al catalogo KEV; pertanto, questo incidente non può essere collocato in modo affidabile all’interno di un quadro KEV più ampio.

Per ora, le azioni da intraprendere sono chiare: identificare le build vulnerabili, distribuire le release corrette, verificare l’installazione e analizzare gli host Linux interessati senza attendere indicatori più dettagliati.