Schwachstelle in Acronis Backup wird bei gezielten Angriffen ausgenutzt

Acronis hat eine schwerwiegende Schwachstelle zur Rechteausweitung offengelegt, die seine Backup-Integrationen für cPanel, WebHost Manager und Plesk betrifft. Das Unternehmen gibt an, dass Angreifer die Sicherheitslücke möglicherweise bereits in begrenzten, gezielten Angriffen ausnutzen.

Die Schwachstelle betrifft Linux-Server und ermöglicht es einem Angreifer mit geringen Berechtigungen, zusätzliche Rechte zu erlangen. Acronis hat Sicherheitsupdates veröffentlicht und empfiehlt, diese umgehend zu installieren.

Schwachstelle betrifft beliebte Hosting-Plattformen

Die als CVE-2026-87886 verfolgte Schwachstelle erhielt einen Schweregrad von 7,8 von 10 Punkten.

Sie betrifft Acronis-Backup-Plugins, die mit cPanel und WebHost Manager, allgemein als WHM bekannt, verwendet werden. Das Problem betrifft auch die Backup-Erweiterung des Unternehmens für Plesk.

Webhosting-Anbieter und Serveradministratoren verwenden cPanel, WHM und Plesk, um Websites und Server über grafische Benutzeroberflächen zu verwalten.

Acronis bietet Backup-Integrationen für diese Plattformen an. Die Add-ons verbinden Hosting-Kontrollpanels mit der Infrastruktur des Unternehmens und ermöglichen Administratoren die Verwaltung von Backups, ohne die Benutzeroberfläche zu verlassen.

Benutzer können Websites, Dateien, Datenbanken, E-Mail-Konten und vollständige Hosting-Konten sichern oder wiederherstellen. Daher könnte eine Kompromittierung des Plugins sensible Ressourcen auf dem betroffenen Server offenlegen.

Angreifer können ihre Berechtigungen erhöhen

CVE-2026-87886 ist eine lokale Schwachstelle zur Rechteausweitung. Ein Angreifer muss zunächst Zugriff mit geringen Berechtigungen auf einen anfälligen Linux-Server erlangen, bevor er die Schwachstelle ausnutzen kann.

Eine erfolgreiche Ausnutzung ermöglicht es dem Eindringling, seine Berechtigungen ohne Benutzerinteraktion zu erhöhen. Anschließend könnte der Angreifer auf sensible Informationen zugreifen oder diese verändern.

Höhere Berechtigungen könnten es einem Eindringling außerdem ermöglichen, Serverkonfigurationen zu ändern, Websites zu manipulieren oder Hosting-Dienste zu stören. Acronis hat jedoch nicht offengelegt, was die Angreifer bei den mutmaßlichen Angriffen erreicht haben.

Das Unternehmen hält weitere technische Details zurück, um Administratoren Zeit für die Installation der verfügbaren Patches zu geben. Dieser Ansatz könnte das Risiko verringern, dass weitere Angreifer funktionierende Exploits entwickeln, bevor Organisationen ihre Systeme aktualisieren.

Acronis meldet begrenzte Ausnutzung

Acronis gibt an, eine mögliche Ausnutzung der Schwachstelle in realen Angriffen festgestellt zu haben.

Laut der Sicherheitsempfehlung des Unternehmens handelte es sich um begrenzte und gezielte Angriffe auf Installationen des Acronis-Backup-Plugins für cPanel und WHM.

Das Unternehmen stellte später jedoch klar, dass seine Einschätzung auf einem einzigen Bericht über einen möglicherweise betroffenen Kunden beruhte.

Acronis gab nicht bekannt, wann die mutmaßlichen Aktivitäten stattfanden. Das Unternehmen machte auch keine Angaben zum Angreifer oder zum beabsichtigten Ziel.

Darüber hinaus hat das Unternehmen keine Details zu möglicherweise abgerufenen Daten, veränderten Systemen oder Betriebsstörungen veröffentlicht. Die bestätigten Auswirkungen beschränken sich weiterhin auf die in der Sicherheitsempfehlung beschriebene Rechteausweitung.

Zwei Acronis-Produkte benötigen Updates

Die Schwachstelle in Acronis Backup betrifft zwei Produktlinien.

Builds des Acronis-Backup-Plugins für cPanel und WHM vor 1.9.3.1021 bleiben anfällig. Administratoren sollten diese Installationen auf Version 1.9.3 HF3 aktualisieren.

Builds der Acronis-Backup-Erweiterung für Plesk vor 1.8.11.638 enthalten die Schwachstelle ebenfalls. Version 1.8.11 behebt das Problem.

Alle Administratoren, die die betroffenen Integrationen verwenden, sollten das entsprechende Update sofort installieren. Eine Verzögerung der Patches könnte Server Angriffen durch Benutzer oder Prozesse aussetzen, die bereits über eingeschränkten Zugriff verfügen.

Keine Kompromittierungsindikatoren verfügbar

Acronis hat keine spezifischen Kompromittierungsindikatoren für CVE-2026-87886 veröffentlicht.

Daher können sich Administratoren nicht auf eine einfache Liste bösartiger Dateien, IP-Adressen oder Aktivitätsmuster verlassen, um eine Ausnutzung zu erkennen.

Hosting-Anbieter sollten Authentifizierungsaufzeichnungen und Systemprotokolle auf ungewöhnliche Aktivitäten von Konten mit geringen Berechtigungen überprüfen. Sie sollten außerdem unerwartete Änderungen an Berechtigungen und mit erhöhten Rechten ausgeführte Befehle untersuchen.

Unbekannte Änderungen an Websites, Datenbanken und E-Mail-Konten können ebenfalls auf unbefugten Zugriff hinweisen. Administratoren sollten besonders auf Aktivitäten achten, die vor der Installation der gepatchten Versionen stattgefunden haben.

Die Aktualisierung des Plugins verhindert, dass Angreifer diese spezielle Schwachstelle künftig ausnutzen. Sie entfernt jedoch möglicherweise keine Mechanismen für dauerhaften Zugriff und macht Änderungen, die während einer früheren Kompromittierung vorgenommen wurden, nicht rückgängig.

Hosting-Anbieter sollten Patches sofort installieren

Die Schwachstelle stellt ein zusätzliches Risiko dar, da Hosting-Server häufig zahlreiche Websites und Kundenkonten verwalten.

Ein Angreifer, der erhöhte Berechtigungen erlangt, könnte möglicherweise auf Ressourcen mehrerer Kunden zugreifen. Darüber hinaus könnte der Eindringling den Server nutzen, um Websites zu verändern, Informationen zu stehlen oder Malware zu verbreiten.

Administratoren sollten die Updates installieren, bevor Acronis oder unabhängige Forscher weitere technische Informationen veröffentlichen.

Sie sollten außerdem den Zugriff auf Hosting-Kontrollpanels beschränken und Konten entfernen, die keinen Serverzugriff mehr benötigen. Eine starke Authentifizierung und kontinuierliche Überwachung können das Risiko weiter reduzieren, dass Angreifer den anfänglichen Zugang erlangen, der zur Ausnutzung der Schwachstelle erforderlich ist.

Die begrenzten Informationen über die mutmaßlichen Angriffe erschweren eine Bewertung der vollständigen Auswirkungen. Dennoch macht die Möglichkeit einer aktiven Ausnutzung eine schnelle Installation der Patches unerlässlich.