Acronis corrige CVE-2026-87886 já explorada; CISA dá 72h
Falha de escalonamento de privilégios no plugin de backup da Acronis para cPanel e Plesk já foi usada em ataques limitados e virou obrigação de patch para o governo americano.
A Acronis lançou uma correção emergencial para a CVE-2026-87886, uma vulnerabilidade de escalonamento local de privilégios em seus plugins de backup para cPanel & WHM e para o painel Plesk em Linux, após detectar exploração em ataques direcionados. A CISA, agência de cibersegurança do governo americano, incluiu a falha em seu catálogo de vulnerabilidades ativamente exploradas (KEV) em 16 de setembro, com prazo de remediação até 19 de setembro para agências federais civis: 72 horas.
A falha vale 7,8 na escala CVSS. A origem é banal na aparência e devastadora na prática: permissões de arquivo mal configuradas no diretório onde o plugin de backup opera. Um usuário local com privilégios baixos, uma conta comum em um servidor compartilhado, consegue subir para root e passar a mandar em toda a máquina. Não precisa de interação da vítima, não dispara alerta óbvio, não deixa rastro fora de logs de sistema. As versões corrigidas do plugin para cPanel são 1.9.3 HF3 e posteriores à 1.9.3.1021; o addon para Plesk também recebeu patch, embora a Acronis diga não ter observado exploração no Plesk.
Por que este bug importa mais do que a nota CVSS sugere
A gravidade real vem do modelo de negócio da hospedagem compartilhada. Um único servidor cPanel hospeda de dezenas a algumas centenas de clientes, cada um com sua conta Linux isolada. Backups rodam com permissões elevadas porque precisam ler dados de todos. Quando o plugin que orquestra esses backups deixa uma janela aberta para elevação, qualquer inquilino do prédio ganha a chave mestra: pode ler o banco de dados do vizinho, plantar shells nas outras contas, comprometer o certificado TLS do servidor inteiro. Não é uma brecha em uma empresa. É uma brecha em uma camada de mercado.
A CISA foi explícita ao alegar exploração no mundo real. Segundo a agência, o KEV só entra quando há evidência concreta de uso em ataques, não em prova de conceito. A Acronis, por sua vez, confirmou que a exploração observada é limitada e direcionada, sem sinal de campanha em massa. Isso costuma indicar operador com objetivo específico, reconhecimento de alvos, e não corretor de acesso vendendo em fórum.
Onde a exposição realmente está
O ferramental cPanel é a espinha dorsal do mercado global de hospedagem compartilhada, dos revendedores independentes aos operadores de médio porte. Nos Estados Unidos, provedores como GoDaddy e Bluehost mantêm parques enormes de servidores cPanel. Na Índia, hubs de hospedagem de Bengaluru e Mumbai atendem clientes globais com margens finas e ciclos de patch nem sempre agressivos. Na Europa, prestadores alemães e franceses do segmento SMB dependem do combo cPanel mais Acronis para atender pequenos escritórios de advocacia, contabilidade e consultórios médicos que caem sob GDPR. Cada um desses mercados herda o risco desta CVE.
O cenário brasileiro repete a topologia, com resellers atendendo escritórios de contabilidade, cartórios digitais e prestadores de serviços que rodam WordPress e sistemas ERP legados no mesmo servidor. Para o CISO, o problema não é o servidor da própria empresa, é o servidor do fornecedor terceirizado que hospeda a integração de pagamentos ou o portal de fornecedores.
O que fazer nas próximas 48 horas
A janela até 19 de setembro é apertada por design. A CISA aciona prazos curtos quando quer sinalizar urgência ao setor privado sem publicar um alerta separado. Um operador de hospedagem que aplique o patch fora do prazo herda um argumento contratual constrangedor caso um cliente venha a exigir explicação, e agrega risco regulatório em jurisdições com notificação obrigatória de incidente. Segundo a Acronis, o hotfix pode ser aplicado sem downtime relevante na maioria das configurações.
Os times de detecção têm um roteiro claro: buscar tentativas de escrita em diretórios do plugin por usuários sem privilégio, comparar assinaturas de binários instalados contra as versões corrigidas, e revisar logs de execução de tarefas agendadas do sistema. A ausência de exploração pública em massa dá espaço para conter agora. Aguardar o exploit sair de circuitos privados costuma custar caro.
Um detalhe cronológico merece leitura mais atenta. A Acronis observou primeiro os ataques direcionados; a inclusão no KEV veio na sequência, o que sugere coordenação entre o fabricante e a CISA sobre timing de divulgação. Esse padrão vem se repetindo em falhas recentes de plataformas de gerenciamento e backup, um sinal de que a agência americana está reduzindo o espaço entre a descoberta discreta e a obrigação pública. Para o gestor de segurança, isso muda a expectativa sobre janelas de patch: o prazo de 72 horas deixou de ser exceção reservada a falhas críticas em software federal e passou a valer também para fornecedores privados amplamente instalados no mercado.