Kritische Plesk Backup Manager-Schwachstellen können zur vollständigen Serverübernahme führen
Im Plesk Backup Manager wurden zwei neue Sicherheitslücken entdeckt, die im schlimmsten Fall dazu führen können, dass ein Angreifer die vollständige Kontrolle über einen Linux-Server als Root erlangt. Die Schwachstellen werden als CVE-2026-68487 und CVE-2026-68488 geführt und betreffen Plesk Obsidian für Linux.
Administratoren von Plesk-Servern sollten die installierte Version umgehend überprüfen und die verfügbaren Sicherheitsupdates installieren. Besonders auf Servern mit mehreren Kunden oder Subscriptions ist die potenzielle Auswirkung erheblich.
Welche Plesk Backup Manager-Versionen sind betroffen?
Laut den von Plesk veröffentlichten Sicherheitshinweisen sind folgende Versionen betroffen:
- Plesk Obsidian 18.0.80.6 und älter
- Plesk Obsidian 18.0.79.10 und älter
Die Schwachstellen wurden in folgenden Versionen behoben:
- Plesk Obsidian 18.0.80.7
- Plesk Obsidian 18.0.79.11
- Neuere Plesk-Versionen und Builds, die diese Sicherheitskorrekturen enthalten
Plesk für Windows ist nach Angaben des Herstellers von diesen beiden Schwachstellen nicht betroffen.
CVE-2026-68487: Dateien mit Root-Rechten schreiben
CVE-2026-68487 betrifft die Verarbeitung von Backups durch den Plesk Backup Manager. Unter bestimmten Umständen kann ein authentifizierter Kunde während der Verarbeitung oder Wiederherstellung eines Backups eine Path-Traversal-Schwachstelle ausnutzen.
Dadurch kann ein Angreifer möglicherweise Dateien außerhalb seiner eigenen Hosting-Umgebung schreiben. Besonders kritisch ist, dass diese Dateien mit Root-Rechten erstellt werden können. Ein gewöhnlicher Hosting-Account könnte damit potenziell als Ausgangspunkt für die vollständige Übernahme des zugrunde liegenden Linux-Systems verwendet werden.
Auf Servern mit mehreren Kunden ist dies besonders relevant. Die Sicherheitsgrenze zwischen einer einzelnen Plesk-Subscription und dem Betriebssystem sollte normalerweise verhindern, dass ein Kunde andere Bereiche des Servers beeinflussen kann. Wenn Dateien außerhalb der eigenen Umgebung mit Root-Rechten manipuliert werden können, handelt es sich um eine Privilege-Escalation mit Auswirkungen auf den gesamten Server.
CVE-2026-68488: Privilege Escalation durch Symlink Race
Die zweite Schwachstelle, CVE-2026-68488, betrifft ebenfalls Wiederherstellungsvorgänge über den Plesk Backup Manager. Ursache ist eine Race Condition im Zusammenhang mit symbolischen Links, sogenannten Symlinks.
Ein Kunde mit regulärem Zugriff auf das Plesk Panel und FTP kann unter bestimmten Umständen während einer Wiederherstellung einen Symlink manipulieren. Dadurch kann der Besitzer von Dateien oder Verzeichnissen außerhalb der eigenen Subscription verändert werden.
Plesk gibt an, dass eine erfolgreiche Ausnutzung letztlich zu vollständigem Root-Zugriff führen kann. Sobald ein Angreifer Root-Rechte besitzt, ist er nicht mehr auf eine einzelne Website oder einen Hosting-Account beschränkt und kann potenziell den gesamten Server kontrollieren.
Warum sind diese Schwachstellen so kritisch?
Beide Schwachstellen können die Sicherheitsgrenze durchbrechen, die normalerweise zwischen einem Hosting-Kunden und dem zugrunde liegenden Betriebssystem besteht. Sie sind deshalb insbesondere für Shared- und Multi-Tenant-Plesk-Umgebungen relevant, auf denen mehrere Websites, Subscriptions oder Kunden gehostet werden.
Root ist die höchste Berechtigungsstufe auf einem Linux-Server. Bei erfolgreicher Ausnutzung könnte ein Angreifer beispielsweise Systemdateien verändern, dauerhaften Zugriff einrichten, zusätzliche Schadsoftware installieren oder versuchen, auf Daten anderer Hosting-Umgebungen zuzugreifen.
Die Installation der Sicherheitsupdates sollte deshalb mit hoher Priorität erfolgen, auch wenn aktuell keine Hinweise auf eine Kompromittierung des Servers vorliegen.
Werden CVE-2026-68487 und CVE-2026-68488 aktiv ausgenutzt?
Zum Zeitpunkt der Veröffentlichung melden die offiziellen Sicherheitshinweise von Plesk keine bestätigte aktive Ausnutzung von CVE-2026-68487 oder CVE-2026-68488 in freier Wildbahn.
Dies bedeutet jedoch nicht, dass verwundbare Server ohne Update sicher weiterbetrieben werden können. Die technischen Auswirkungen sind erheblich und Sicherheitsupdates stehen zur Verfügung. Sobald Details zu einer Schwachstelle öffentlich bekannt sind, können Angreifer außerdem versuchen, eigene Exploits zu entwickeln.
Was sollten Plesk-Administratoren tun?
Administratoren sollten zunächst überprüfen, welche Version von Plesk Obsidian auf dem Server installiert ist, und anschließend alle verfügbaren Sicherheitsupdates installieren.
- Server auf dem 18.0.80-Zweig sollten mindestens Plesk Obsidian 18.0.80.7 verwenden.
- Server auf dem 18.0.79-Zweig sollten mindestens Plesk Obsidian 18.0.79.11 verwenden.
- Nach Möglichkeit sollte der aktuellste verfügbare und unterstützte Plesk-Build installiert werden.
- Überprüfen Sie, welche Kunden Zugriff auf Backup- und Restore-Funktionen besitzen.
- Kontrollieren Sie kürzlich durchgeführte Wiederherstellungen, wenn der Server längere Zeit mit einer verwundbaren Version betrieben wurde.
Allein die Installation des Updates reicht nicht aus, wenn Hinweise darauf bestehen, dass eine Schwachstelle bereits vor dem Update ausgenutzt wurde. In diesem Fall sollte der Server zusätzlich auf eine mögliche Kompromittierung untersucht werden.
Überprüfung auf eine mögliche Kompromittierung
Plesk hat zusammen mit diesen Sicherheitshinweisen keine spezifischen Indicators of Compromise veröffentlicht. Administratoren können jedoch gezielt nach ungewöhnlichen Aktivitäten und Änderungen suchen.
- Überprüfen Sie kürzlich durchgeführte Plesk Backup Manager- und Restore-Aktivitäten.
- Kontrollieren Sie die Logs unter
/var/log/plesk/PMM/auf unerwartete oder unbekannte Wiederherstellungen. - Suchen Sie nach kürzlich erstellten oder geänderten Dateien mit Root-Eigentümerschaft an ungewöhnlichen Speicherorten.
- Überprüfen Sie die SSH-
authorized_keysvon Root und anderen administrativen Accounts auf unbekannte Schlüssel. - Kontrollieren Sie Root-Crontabs und System-Cron-Verzeichnisse auf unbekannte Aufgaben.
- Überprüfen Sie unbekannte oder kürzlich hinzugefügte systemd-Dienste.
- Bei konkreten Hinweisen auf eine Kompromittierung sollten zusätzlich unerwartete SUID- und SGID-Dateien untersucht werden.
Werden verdächtige Änderungen festgestellt, sollte die Untersuchung nicht auf die betroffene Plesk-Subscription beschränkt werden. Da beide Schwachstellen potenziell eine Privilege Escalation bis zu Root ermöglichen, muss in diesem Fall der gesamte Server als möglicherweise kompromittiert betrachtet werden.
Vservs Managed Hosting
Bei Vservs Managed Hosting werden relevante Serverupdates, Sicherheitsmeldungen und Serverkonfigurationen proaktiv überwacht. Kritische Schwachstellen in Hosting-Software wie Plesk können dadurch schnell bewertet und bei Bedarf behoben werden.
Weitere Informationen zu vollständig verwalteten Serverumgebungen finden Sie auf unserer Seite über Managed VPS Hosting.