Acronis behebt CVE-2026-87886; CISA gibt 72h Frist
Schwachstelle im Acronis Backup-Plugin gefährdet Systeme; Patch erforderlich für US-Regierung.
Acronis hat einen Notfall-Patch für die CVE-2026-87886 veröffentlicht, eine lokale Erhöhung der Privilegien in seinen Backup-Plugins für cPanel & WHM sowie für das Plesk-Panel unter Linux, nachdem Angriffe festgestellt wurden. Die CISA, die amerikanische Cybersicherheitsagentur, hat die Schwachstelle am 16. September in ihr Katalog aktiver Exploits (KEV) aufgenommen und eine Frist bis zum 19. September für zivile Bundesbehörden gesetzt: 72 Stunden.
Die Schwachstelle hat einen Wert von 7,8 auf der CVSS-Skala. Die Ursache ist auf den ersten Blick banal, hat jedoch verheerende Auswirkungen: schlecht konfigurierte Datei-Berechtigungen im Verzeichnis, in dem das Backup-Plugin arbeitet. Ein lokaler Benutzer mit niedrigen Privilegien, ein reguläres Konto auf einem Shared Server, kann zu root aufsteigen und die gesamte Maschine kontrollieren. Es sind keine Maßnahmen des Opfers erforderlich, es gibt keinen offensichtlichen Alarm und keine Spuren außer in den Systemprotokollen. Die korrigierten Versionen des Plugins für cPanel sind 1.9.3 HF3 und höher als 1.9.3.1021; das Add-On für Plesk hat ebenfalls einen Patch erhalten, obwohl Acronis angibt, keine Ausbeutung in Plesk beobachtet zu haben.
Warum dieser Bug wichtiger ist als die CVSS-Bewertung
Die tatsächliche Schwere ergibt sich aus dem Geschäftsmodell des Shared Hostings. Ein einzelner cPanel-Server hostet zwischen Dutzenden und mehreren Hundert Kunden, jeder mit seinem eigenen isolierten Linux-Konto. Backups laufen mit erhöhten Rechten, da sie Daten von allen lesen müssen. Wenn das Plugin, das diese Backups koordiniert, ein Fenster zur Erhöhung lässt, hat jeder Mieter des Gebäudes den Schlüssel zur Haupttür: Er kann die Datenbank des Nachbarn lesen, Shells auf anderen Konten platzieren und das vollständige TLS-Zertifikat des Servers kompromittieren. Es ist nicht eine Schwachstelle in einem Unternehmen. Es ist eine Schwachstelle in einer Marktstruktur.
Die CISA war ausdrücklich in ihrer Behauptung über reale Ausbeutung. Laut der Agentur wird KEV nur einbezogen, wenn es konkrete Beweise für den Einsatz in Angriffen gibt, nicht in Form von Konzeptnachweisen. Acronis hat seinerseits bestätigt, dass die beobachtete Ausbeutung begrenzt und gezielt ist, ohne Anzeichen einer Massenkampagne. Dies deutet häufig auf einen Betreiber mit spezifischem Ziel hin, der die Ziele erkennt und nicht auf einen Zugangskorrektor, der im Forum verkauft.
Wo die tatsächliche Exposition liegt
Das cPanel-Werkzeug ist das Rückgrat des globalen Marktes für Shared Hosting, von unabhängigen Resellern bis hin zu mittelgroßen Betreibern. In den Vereinigten Staaten verwalten Anbieter wie GoDaddy und Bluehost riesige Parks von cPanel-Servern. In Indien bedienen Hosting-Hubs in Bengaluru und Mumbai globale Kunden mit geringen Margen und nicht immer aggressiven Patchzyklen. In Europa sind deutsche und französische Anbieter im SMB-Segment auf die Kombination cPanel plus Acronis angewiesen, um kleine Anwaltskanzleien, Buchhaltungsfirmen und Arztpraxen, die unter GDPR fallen, zu bedienen. Jeder dieser Märkte erbt das Risiko dieser CVE.
Das brasilianische Szenario wiederholt die Topologie, wobei Reseller Buchhaltungsbüros, digitale Notariate und Dienstleister bedienen, die WordPress und veraltete ERP-Systeme auf demselben Server betreiben. Für den CISO besteht das Problem nicht im eigenen Server des Unternehmens, sondern im Server des Drittanbieters, der die Zahlungsintegration oder das Lieferantenportal hostet.
Was in den nächsten 48 Stunden zu tun ist
Das Zeitfenster bis zum 19. September ist absichtlich eng. Die CISA setzt kurze Fristen, wenn sie Dringlichkeit im privaten Sektor signalisieren möchte, ohne einen separaten Alarm herauszugeben. Ein Hosting-Betreiber, der den Patch außerhalb der Frist anwendet, erbt ein peinliches vertragliches Argument, falls ein Kunde eine Erklärung erfordert, und erhöht das regulatorische Risiko in Jurisdiktionen mit obligatorischer Vorfallmeldung. Laut Acronis kann der Hotfix in den meisten Konfigurationen ohne erhebliche Ausfallzeiten angewendet werden.
Die Detection-Teams haben einen klaren Fahrplan: Sie sollten nach Schreibversuchen in Verzeichnissen des Plugins durch Benutzer ohne Berechtigung suchen, die Signaturen installierter Binärdateien mit den korrigierten Versionen vergleichen und die Protokolle geplanter Aufgaben im System überprüfen. Die Abwesenheit öffentlicher Massenexploit gibt Raum für Kontrollen jetzt. Das Warten, bis der Exploit aus privaten Kreisen herauskommt, kann teuer werden.
Ein chronologisches Detail verdient eine genauere Betrachtung. Acronis beobachtete zuerst die gezielten Angriffe; die Aufnahme in den KEV kam danach, was auf eine Koordination zwischen dem Hersteller und der CISA über das Timing der Bekanntgabe hindeutet. Dieses Muster wiederholt sich in aktuellen Schwächen von Verwaltungs- und Backup-Plattformen und ist ein Zeichen dafür, dass die amerikanische Agentur den Abstand zwischen diskreter Entdeckung und öffentlicher Verpflichtung verringert. Für den Sicherheitsverantwortlichen ändert dies die Erwartungen an Patchfenster: Die Frist von 72 Stunden ist nicht länger eine Ausnahme, die kritischen Schwächen in Bundessoftware vorbehalten ist, sondern gilt auch für privat weit verbreitete Anbieter im Markt.