Acronis Backup-Schwachstelle in cPanel und Plesk möglicherweise aktiv ausgenutzt

CVE-2026-87886 ist eine schwerwiegende Privilege-Escalation-Schwachstelle in den Acronis Backup-Integrationen für cPanel & WHM und Plesk. Ein Angreifer, der bereits über eingeschränkten lokalen Zugriff auf einen verwundbaren Linux-Server verfügt, kann die Schwachstelle möglicherweise nutzen, um höhere Berechtigungen zu erhalten.

Die Schwachstelle wurde mit CVSS 7,8 (High) bewertet. Für die betroffenen Acronis-Integrationen stehen Sicherheitsupdates zur Verfügung.

Vservs empfiehlt Hosting-Providern und Serveradministratoren, die Acronis Backup mit cPanel oder Plesk einsetzen, die installierten Buildnummern zu kontrollieren und verfügbare Sicherheitsupdates unverzüglich zu installieren.

Was ist CVE-2026-87886?

CVE-2026-87886 ist eine lokale Privilege-Escalation-Schwachstelle in Acronis Backup-Integrationen für Hosting-Control-Panels.

Betroffen sind:

• Acronis Backup Plugin für cPanel & WHM;
• Acronis Backup Extension für Plesk.

Es handelt sich nicht um einen unauthentifizierten Remote-Angriff direkt aus dem Internet. Ein Angreifer benötigt zunächst eingeschränkten lokalen Zugriff auf den Linux-Server.

Ist diese Voraussetzung erfüllt, kann CVE-2026-87886 zur Ausweitung der vorhandenen Berechtigungen verwendet werden.

Welche Versionen sind betroffen?

Für das Acronis Backup Plugin für cPanel & WHM sind Builds vor:

1.9.3.1021

betroffen.

Für die Acronis Backup Extension für Plesk sind Builds vor:

1.8.11.638

betroffen.

Administratoren sollten die exakte Buildnummer kontrollieren und nicht ausschließlich die Hauptversionsnummer berücksichtigen.

Was kann ein Angreifer erreichen?

Bei erfolgreicher Ausnutzung kann ein Benutzer mit eingeschränkten Serverrechten seine Berechtigungen erweitern.

Mögliche Folgen sind:

• Zugriff auf sensible Serverdaten;
• Änderung von Dateien, auf die der Benutzer normalerweise keinen Zugriff hat;
• Manipulation der Serverkonfiguration;
• Beeinträchtigung von Diensten auf dem Server;
• weitere Kompromittierung des Linux-Systems;
• Einrichtung zusätzlicher Persistenzmechanismen mit erhöhten Rechten.

Wird CVE-2026-87886 aktiv ausgenutzt?

Für CVE-2026-87886 gibt es Hinweise auf eine mögliche begrenzte und gezielte Ausnutzung im Zusammenhang mit der Acronis Backup-Integration für cPanel & WHM.

Die derzeit verfügbaren Informationen reichen jedoch nicht aus, um von einer großflächigen Angriffskampagne zu sprechen.

Vservs empfiehlt deshalb eine zurückhaltende Bewertung der Exploit-Situation. Aufgrund der möglichen Privilege Escalation sollten betroffene Systeme unabhängig davon mit hoher Priorität aktualisiert werden.

Was sollten cPanel-Administratoren tun?

• Kontrollieren, ob das Acronis Backup Plugin installiert ist.
• Die exakte Buildnummer überprüfen.
• Builds vor 1.9.3.1021 sofort aktualisieren.
• Accounts mit Shell- oder anderem lokalen Serverzugriff überprüfen.
• Verdächtige Prozesse und unerwartete Rechteausweitungen untersuchen.
• Kürzlich vorgenommene Änderungen auf Systemebene kontrollieren.

Was sollten Plesk-Administratoren tun?

• Kontrollieren, ob die Acronis Backup Extension installiert ist.
• Die exakte Buildnummer überprüfen.
• Builds vor 1.8.11.638 sofort aktualisieren.
• Lokale Benutzer und kürzlich vorgenommene Systemänderungen kontrollieren.
• Unerklärliche Prozesse mit erhöhten Berechtigungen untersuchen.

Kontrolle auf eine mögliche Kompromittierung

Das Vorhandensein einer verwundbaren Acronis-Version bedeutet nicht automatisch, dass ein Server kompromittiert wurde.

Administratoren potenziell betroffener Systeme können unter anderem folgende Bereiche kontrollieren:

• unbekannte Prozesse mit erhöhten Berechtigungen;
• unerwartete Root-Prozesse;
• neue oder veränderte SSH-Keys;
• verdächtige Änderungen unter /etc;
• unbekannte Cronjobs;
• neue oder veränderte systemd-Services;
• unerwartete Änderungen an Systembenutzern;
• Dateien, die unerwartet mit Root-Eigentümerschaft erstellt oder verändert wurden.

Werden Hinweise auf eine erfolgreiche Privilege Escalation gefunden, sollte der Server als potenziell kompromittiert behandelt werden. Die Installation des Sicherheitsupdates allein ist dann nicht ausreichend, da ein Angreifer bereits zusätzliche Persistenzmechanismen eingerichtet haben könnte.

Vservs Managed Hosting

Bei Vservs Managed VPS gehören Betriebssystem-Sicherheit, Server-Updates, Hardening und Monitoring zur technischen Verwaltung des Servers.

CVE-2026-87886 zeigt, dass auch Backupsoftware und Integrationen mit Hosting-Control-Panels Teil der Sicherheitskette sind und zeitnah aktualisiert werden müssen.

Quellen

• Acronis Security Advisory Database
• Acronis – Security Update für das Backup Plugin für cPanel & WHM
• Acronis – Security Update für die Backup Extension für Plesk