Kritische Plesk-Schwachstelle kann Hosting-Benutzern Root-Zugriff ermöglichen

Eine schwerwiegende Schwachstelle in den Node.js Toolkit- und Ruby-Erweiterungen für Plesk kann einem Hosting-Benutzer ermöglichen, beliebige Befehle als Root auf dem gesamten Linux-Server auszuführen. Die Schwachstelle wird als CVE-2026-68489 geführt und betrifft eine lokale Privilege Escalation.

Nach Angaben von Plesk kann ein Benutzer mit Zugriff auf einen Plesk-Hosting-Account die verwundbaren Erweiterungen möglicherweise nutzen, um seine eingeschränkten Berechtigungen bis auf Root-Ebene zu erhöhen. Dadurch kann der Angreifer vollständige Kontrolle über den Plesk-Server erhalten.

Besonders schwerwiegend ist dies bei Shared-Hosting- und anderen Multi-Tenant-Plesk-Umgebungen, da ein kompromittierter oder böswilliger Hosting-Account möglicherweise die Grenzen der eigenen Subscription verlassen kann.

Was ist CVE-2026-68489?

CVE-2026-68489 ist eine lokale Privilege-Escalation-Schwachstelle in zwei Plesk-Erweiterungen für Linux:

• Node.js Toolkit;
• Ruby.

Es handelt sich nicht um einen direkten unauthentifizierten Angriff aus dem Internet. Ein Angreifer benötigt zunächst Zugriff auf einen Plesk-Benutzeraccount auf dem Server.

Ist diese Voraussetzung erfüllt, kann die Schwachstelle jedoch einem normalen Plesk-Benutzer ermöglichen, beliebige Befehle mit Root-Rechten auszuführen.

Welche Plesk-Versionen sind verwundbar?

Node.js Toolkit für Plesk Linux:

• verwundbar: Version 2.4.11 und älter;
• abgesichert: Version 2.5.0 und neuer.

Ruby-Erweiterung für Plesk Linux:

• verwundbar: Version 1.6.5 und älter;
• abgesichert: Version 1.6.6 und neuer.

Plesk für Windows ist von CVE-2026-68489 nicht betroffen.

Was kann ein Angreifer erreichen?

Bei erfolgreicher Ausnutzung kann ein Plesk-Benutzer beliebige Befehle als Root ausführen.

Root ist die höchste Berechtigungsstufe auf einem Linux-Server. Nach einer erfolgreichen Ausnutzung können die normalen Sicherheitsgrenzen zwischen einzelnen Plesk-Subscriptions daher nicht mehr als zuverlässig betrachtet werden.

Ein Angreifer könnte dadurch unter anderem:

• auf andere Hosting-Accounts zugreifen;
• Website-Dateien anderer Kunden lesen oder verändern;
• auf Datenbanken, Zugangsdaten und Konfigurationsdateien zugreifen;
• Serverkonfigurationen verändern;
• Systembenutzer oder SSH-Keys hinzufügen;
• Malware oder dauerhafte Backdoors installieren;
• Protokolldaten manipulieren;
• die vollständige Kontrolle über den Plesk-Server übernehmen.

Wird CVE-2026-68489 aktiv ausgenutzt?

Zum Zeitpunkt der Veröffentlichung liegen uns keine zuverlässigen Informationen aus Primärquellen vor, die eine aktive Ausnutzung von CVE-2026-68489 in realen Angriffen bestätigen.

Wir stufen die Schwachstelle deshalb nicht als aktiv ausgenutzten Zero-Day ein.

Die mögliche Auswirkung bleibt dennoch sehr schwerwiegend. Insbesondere Plesk-Server mit mehreren unabhängigen Hosting-Benutzern sollten die betroffenen Erweiterungen mit hoher Priorität aktualisieren.

Was sollten Plesk-Administratoren jetzt tun?

• Als Administrator bei Plesk anmelden.
• Extensions > My Extensions öffnen.
• Die installierte Version des Node.js Toolkit kontrollieren.
• Node.js Toolkit auf Version 2.5.0 oder neuer aktualisieren.
• Die installierte Ruby-Erweiterung kontrollieren.
• Ruby auf Version 1.6.6 oder neuer aktualisieren.
• Nach dem Update kontrollieren, ob tatsächlich die abgesicherten Versionen installiert sind.

Temporäre Schutzmaßnahme, wenn ein Update nicht sofort möglich ist

Plesk beschreibt eine temporäre Schutzmaßnahme für Umgebungen, in denen die Erweiterungen nicht unmittelbar aktualisiert werden können.

Öffnen Sie für jeden aktiven Serviceplan:

Service Plans > betreffender Serviceplan > Permissions

Deaktivieren Sie dort:

• Node.js support management;
• Ruby support management.

Alternativ können Node.js Toolkit und/oder die Ruby-Erweiterung vorübergehend vollständig entfernt werden.

Dies ist lediglich eine temporäre Mitigation. Die Installation der abgesicherten Versionen bleibt die empfohlene Lösung. Anwendungen, die von einer entfernten Erweiterung abhängig sind, funktionieren anschließend möglicherweise nicht mehr.

Kontrolle auf eine mögliche Kompromittierung

Eine verwundbare Erweiterung bedeutet nicht automatisch, dass der Server kompromittiert wurde.

Auf Servern, auf denen nicht vertrauenswürdige oder kompromittierte Plesk-Benutzer Zugriff hatten, sollten Administratoren jedoch zusätzliche Kontrollen durchführen.

• Unbekannte Prozesse kontrollieren, die als Root ausgeführt werden.
• Neue oder veränderte Dateien unter /root überprüfen.
• SSH-authorized_keys von Root und anderen Administratoraccounts kontrollieren.
• Nach unbekannten Systembenutzern suchen.
• Unerwartete Änderungen unter /etc kontrollieren.
• Unbekannte Cronjobs und systemd-Services überprüfen.
• Aktuelle Authentifizierungs- und Berechtigungsprotokolle untersuchen.
• Kontrollieren, ob Dateien außerhalb einer Plesk-Subscription unerwartet verändert wurden.

Gibt es Hinweise darauf, dass ein Hosting-Benutzer tatsächlich Root-Rechte erlangt hat, reicht das Aktualisieren der Plesk-Erweiterungen nicht aus. Der gesamte Server sollte dann als potenziell kompromittiert betrachtet und entsprechend untersucht werden.

Vservs Managed Hosting

Bei Vservs Managed Hosting übernehmen wir unter anderem Serververwaltung, Sicherheitsupdates, Hardening und Monitoring von verwalteten Linux-Serverumgebungen.

Schwachstellen wie CVE-2026-68489 zeigen, warum nicht nur das Betriebssystem und Plesk selbst aktuell gehalten werden müssen. Auch einzelne Control-Panel-Erweiterungen können Sicherheitslücken enthalten, die letztendlich den gesamten Server gefährden.

Quellen

• Plesk – CVE-2026-68489 Security Advisory