Acronis Backup-Plugin für cPanel und WHM: Lücke wird aktiv ausgenutzt

Acronis hat am 15. September 2026 das Sicherheitsadvisory SEC-10986 zu CVE-2026-87886 veröffentlicht. Betroffen ist das Acronis Backup-Plugin für cPanel und WHM unter Linux sowie die Acronis Backup-Erweiterung für Plesk. Der Fehler erlaubt einem Angreifer, der bereits einen lokalen Zugang mit niedrigen Rechten auf dem Server besitzt, seine Berechtigungen auszuweiten. Acronis schreibt im Advisory ausdrücklich, dass eine Ausnutzung in freier Wildbahn in begrenzten, gezielten Angriffen beobachtet wurde. Die CISA hat den Eintrag am 16. September 2026 in den Katalog bekannter ausgenutzter Schwachstellen aufgenommen und für US-Bundesbehörden eine Frist bis zum 19. September 2026 gesetzt.

Handeln muss heute, wer einen eigenen Server mit cPanel und WHM oder mit Plesk betreibt und dort das Acronis Backup-Plugin installiert hat. Das betrifft Hosting-Anbieter, Reseller und Agenturen mit eigener Server-Infrastruktur. Wer lediglich Webspace bei einem Provider mietet und keinen WHM-Zugriff hat, muss selbst nichts patchen, sondern kann höchstens beim Anbieter nachfragen. Wichtig für die Einordnung: Es handelt sich nicht um eine aus dem Internet erreichbare Codeausführung, sondern um eine lokale Rechteausweitung. Genau deshalb ist die Lücke auf Shared-Hosting-Systemen trotzdem ernst, denn dort hat jeder Kunde mit SSH-, Cron- oder PHP-Zugang bereits einen lokalen Zugang mit niedrigen Rechten.

Was ist passiert?

Acronis führt die Schwachstelle im Advisory SEC-10986 unter der Kurzbeschreibung "Local privilege escalation due to insecure file permissions". Technisch ist sie als CWE-276 klassifiziert, also als falsch gesetzte Standardberechtigungen. Das bedeutet: Dateien oder Verzeichnisse, die das Plugin auf dem Server anlegt, sind für Konten zugänglich oder beschreibbar, die darauf keinen Zugriff haben dürften. Da Backup-Komponenten typischerweise mit hohen Rechten laufen, lässt sich ein solcher Schreibzugriff in erhöhte Rechte ummünzen.

Der entscheidende Satz im Advisory betrifft die Bedrohungslage: Die Ausnutzung wurde laut Acronis in freier Wildbahn in begrenzten, gezielten Angriffen gegen Installationen des Backup-Plugins für cPanel und WHM festgestellt. Acronis nennt in dieser Formulierung ausdrücklich die cPanel- und WHM-Variante als Angriffsziel, führt die Plesk-Erweiterung aber als ebenfalls verwundbares Produkt mit eigener Fix-Version auf. Die Veröffentlichung des Advisorys datiert auf den 15. September 2026, 15:30 Uhr UTC.

Details zum Angriffsweg, zur Angreifergruppe oder zum Zeitpunkt der ersten Angriffe nennt Acronis nicht. Auch ein öffentlicher Proof-of-Concept ist zum Redaktionszeitpunkt nicht bekannt. Diese Lücken in der Informationslage sind kein Grund zur Entwarnung, aber sie bedeuten auch, dass sich der konkrete Angriffsablauf derzeit nicht rekonstruieren lässt.

Wer ist betroffen?

Maßgeblich ist die installierte Plugin-Version, nicht die Version von cPanel, WHM oder Plesk selbst. Acronis nennt im Advisory diese beiden Produkte mit den jeweils gepatchten Build-Nummern:

Produkt	Plattform	Verwundbar	Behoben ab Build
Acronis Backup plugin for cPanel & WHM	Linux	alle Builds vor 1.9.3.1021	1.9.3.1021 (ausgeliefert als 1.9.3 HF3)
Acronis Backup extension for Plesk	Linux	alle Builds vor 1.8.11.638	1.8.11.638

Betroffen sind damit vor allem folgende Gruppen:

• Hosting-Anbieter und Reseller, die eigene cPanel- oder WHM-Server betreiben und Acronis als Backup-Lösung eingebunden haben.
• Agenturen und IT-Dienstleister mit einem eigenen Root-Server oder einer eigenen VM samt cPanel, WHM oder Plesk für Kundenprojekte.
• Unternehmen mit selbst betriebenem Webserver, auf dem ein Control Panel plus Acronis Backup-Plugin läuft, etwa für den eigenen Webshop oder das Intranet.
• Plesk-Betreiber, auch wenn die bestätigten Angriffe sich auf die cPanel- und WHM-Variante beziehen. Die Erweiterung hat eine eigene Fix-Version und ist damit ebenfalls verwundbar.

Nicht betroffen und ohne eigenen Handlungsbedarf sind dagegen:

• Reine Webhosting-Kunden ohne WHM- oder Root-Zugriff. Hier liegt die Verantwortung beim Provider.
• Server mit cPanel, WHM oder Plesk, auf denen das Acronis Backup-Plugin gar nicht installiert ist.
• Andere Acronis-Produkte wie Cyber Protect oder die Backup-Agenten für Windows-Server. Das Advisory nennt ausschließlich die beiden Linux-Plugins für Control Panels.
• Windows-Systeme. Beide betroffenen Produkte sind im Advisory ausdrücklich auf die Plattform Linux begrenzt.

Wie kritisch ist das?

Acronis bewertet die Lücke mit CVSS 3.0 Basiswert 7.8 und der Stufe hoch. Der Vektor lautet CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Jeder Teil davon ist für die Einordnung relevant:

• AV:L (local): Der Angreifer braucht bereits einen Zugang auf dem System. Es ist keine Attacke direkt aus dem Internet über einen offenen Port.
• PR:L (low privileges): Ein gewöhnliches, unprivilegiertes Konto genügt als Ausgangspunkt. Auf einem Shared-Hosting-Server ist das jeder Hosting-Account mit Shell- oder Skriptausführung.
• UI:N: Kein Nutzer muss etwas anklicken oder mitwirken.
• C:H/I:H/A:H: Gelingt die Ausnutzung, sind Vertraulichkeit, Integrität und Verfügbarkeit gleichermaßen vollständig betroffen.

Der Angriffspfad ist also sauber benannt eine lokale Rechteausweitung, keine Remote Code Execution und kein unauthentifizierter Datenabfluss. Wer die Meldung intern weitergibt, sollte das klar so formulieren, damit die Priorisierung stimmt. Gleichzeitig darf man den Befund nicht kleinreden: Auf einem Multi-Tenant-Hosting-Server ist die Vorbedingung "lokaler Zugang mit niedrigen Rechten" keine Hürde, sondern der Normalzustand. Ein einzelner kompromittierter Kundenaccount oder eine verwundbare Webanwendung reicht als Sprungbrett, um über diese Lücke den gesamten Server zu übernehmen. Das trifft im schlimmsten Fall alle auf dem Server gehosteten Kunden gleichzeitig, inklusive der dort abgelegten Backups.

Verschärfend kommt hinzu, dass eine Backup-Komponente das Ziel ist. Wer die Kontrolle über die Backup-Kette erlangt, kann nicht nur Daten lesen, sondern auch Wiederherstellungspunkte manipulieren oder löschen. Das ist genau das Muster, das aus Ransomware-Vorfällen bekannt ist. Ob in diesem konkreten Fall Ransomware im Spiel ist, ist offen: Die CISA führt den Eintrag unter "Known Ransomware Campaign Use: Unknown", ein Zusammenhang ist also weder bestätigt noch ausgeschlossen.

Ein Hinweis zur Quellenlage: Die NVD hatte den Eintrag zu CVE-2026-87886 zum Redaktionszeitpunkt am 17. September 2026 noch nicht veröffentlicht, die API liefert für die CVE-ID kein Ergebnis. Die hier genannten Werte zu CVSS, Vektor und Fix-Versionen stammen deshalb direkt aus dem Acronis-Advisory SEC-10986 und aus dem CISA-KEV-Katalog, nicht aus einer NVD-Bewertung.

Was sollten Admins jetzt tun?

• Erst prüfen, ob das Plugin überhaupt läuft. In WHM findet sich die Erweiterung unter den Plugins, in Plesk unter den Extensions. Auf der Shell hilft ein Blick in das Installationsverzeichnis und in die Paketliste, um Version und Build-Nummer zweifelsfrei zu bestimmen.
• Build-Nummer mit der Fix-Version vergleichen. Für cPanel und WHM muss mindestens 1.9.3.1021 installiert sein, also 1.9.3 HF3. Für Plesk mindestens 1.8.11.638. Eine niedrigere Build-Nummer bedeutet verwundbar, auch wenn die Hauptversion identisch aussieht.
• Sofort aktualisieren, nicht auf das nächste Wartungsfenster warten. Acronis stuft das Update als sofort einzuspielen ein, und die CISA-Frist für Bundesbehörden lief bereits am 19. September 2026 ab. Für Server mit fremden Kundenaccounts ist das die höchste Priorität.
• Hochrisikosysteme zuerst. Priorität haben Server, auf denen fremde Nutzer eigenen Code ausführen dürfen, also klassische Shared-Hosting- und Reseller-Systeme mit SSH-, Cron- oder PHP-Zugang. Ein dedizierter Server, auf dem nur Administratoren ein Konto haben, ist deutlich weniger exponiert.
• Nach dem Patch auf Kompromittierung prüfen. Da aktive Ausnutzung bestätigt ist, ersetzt das Update keine Prüfung. Ein Patch schließt die Lücke, entfernt aber keinen bereits vorhandenen Zugang.
• Logquellen auswerten: die Logverzeichnisse des Acronis-Plugins, /var/log/secure beziehungsweise /var/log/auth.log für Anmeldungen und sudo-Aufrufe, das cPanel-Zugriffslog unter /usr/local/cpanel/logs/, dazu die Weblogs der gehosteten Accounts auf Webshell-Zugriffe.
• Auf typische Kompromittierungsindikatoren achten: neu angelegte Konten mit UID 0, unerwartete SUID-Dateien, veränderte oder neu hinzugefügte Cronjobs in /etc/cron.d/ und in den Benutzer-Crontabs, fremde SSH-Schlüssel in authorized_keys, sowie Dateien im Plugin-Verzeichnis mit ungewöhnlichem Besitzer oder Änderungsdatum um den Angriffszeitraum.
• Dateirechte nach dem Update gegenprüfen. Weil die Ursache falsch gesetzte Standardberechtigungen sind, lohnt ein Blick darauf, ob im Plugin-Verzeichnis noch weltweit beschreibbare Dateien liegen. Rechte, die ein Angreifer bereits verändert hat, setzt ein Update nicht zwingend zurück.
• Backups und deren Zugänge kontrollieren. Prüfen, ob Wiederherstellungspunkte vollständig und unverändert sind, ob Aufbewahrungsfristen unbemerkt verkürzt wurden und ob die im Plugin hinterlegten Zugangsdaten zum Backup-Ziel noch vertrauenswürdig sind. Bei begründetem Verdacht diese Zugangsdaten erneuern.
• Bei bestätigtem Vorfall nicht nur bereinigen. Bei einem übernommenen Hosting-Server ist eine Neuinstallation aus sauberen Quellen mit anschließender selektiver Datenrückführung in der Regel der verlässlichere Weg als der Versuch, einzelne Artefakte zu entfernen.

Einordnung für Unternehmen

Für kleine und mittlere Unternehmen ist die praktische Frage meist nicht, ob man selbst patchen muss, sondern wer es tut. Wer die Website bei einem Hoster betreibt, liegt in dessen Verantwortungsbereich. Eine kurze Anfrage an den Anbieter, ob Acronis-Backup-Plugins im Einsatz sind und ob auf SEC-10986 reagiert wurde, ist trotzdem sinnvoll und ist auch für die eigene Dokumentation nach Artikel 32 DSGVO nützlich, weil sie die Prüfung der Auftragsverarbeitung belegt.

Wer dagegen einen eigenen Server mit Control Panel betreibt, oft historisch gewachsen und von einem externen Dienstleister betreut, sollte diesen Fall als Anlass für zwei grundsätzliche Punkte nehmen. Erstens: Control-Panel-Plugins sind eine eigene Softwarelieferkette mit eigenem Patchzyklus. Sie tauchen in klassischen Update-Routinen für Betriebssystempakete häufig nicht auf und brauchen deshalb einen eigenen Eintrag im Inventar. Zweitens: Die Backup-Infrastruktur ist ein bevorzugtes Ziel und darf sicherheitstechnisch nicht schwächer behandelt werden als die Produktivsysteme. Dazu gehören getrennte Zugangsdaten, eine unveränderliche Kopie außerhalb des Servers und regelmäßige Wiederherstellungstests.

Bemerkenswert ist außerdem das Muster: Innerhalb weniger Monate ist dies bereits der dritte Fall, in dem eine Erweiterung im cPanel- und WHM-Umfeld zu erhöhten Rechten auf dem Host führt. Wer solche Systeme betreibt, sollte Advisories der Plugin-Hersteller genauso aktiv verfolgen wie die des Control Panels selbst.

Passende Anleitungen auf S-EDV

• LiteSpeed-Plugin für cPanel: Root-Rechte über CVE-2026-54420: ein sehr ähnlicher Fall von Rechteausweitung über eine Control-Panel-Erweiterung, mit den gleichen Prüfschritten am Server.
• Backup-Restore-Tests als feste Routine etablieren: wie Sie belegen, dass Ihre Wiederherstellungspunkte nach einem Sicherheitsvorfall wirklich nutzbar sind.
• Unveränderliche Backups gegen Ransomware nach der 3-2-1-1-0-Regel: eine Kopie, die auch ein Angreifer mit Root-Rechten auf dem Hostsystem nicht löschen kann.

Quellen

• Acronis Security Advisory SEC-10986 zu CVE-2026-87886, veröffentlicht am 15. September 2026, Primärquelle für CVSS-Wert, Vektor, betroffene Produkte und Fix-Builds.
• CISA Known Exploited Vulnerabilities Catalog, Katalogstand 2026.09.16, Eintrag zu CVE-2026-87886 mit Frist 19. September 2026, abgerufen am 17. September 2026.
• The Hacker News: Acronis cPanel Backup Plugin Vulnerability Exploited in Targeted Attacks, 16. September 2026, mit dem Hinweis auf die Auslieferung als 1.9.3 HF3.
• BleepingComputer: Acronis warns of actively exploited flaw in its cPanel backup plugin, 15. September 2026.