Odpověď hned: CVE-2026-87886 je aktivně zneužívaná zranitelnost doplňků Acronis Backup pro cPanel & WHM a Plesk. Ověřte přítomnost a verzi doplňku na každém serveru, nainstalujte opravenou verzi a samostatně prověřte, zda před aktualizací nedošlo ke zvýšení oprávnění nebo změně záloh.
Co se stalo 16. září 2026
Americká agentura CISA zařadila 16. září 2026 zranitelnost CVE-2026-87886 do katalogu Known Exploited Vulnerabilities. Důvodem byly důkazy o jejím aktivním zneužívání. Chyba se týká doplňků Acronis Backup používaných na linuxových serverech spravovaných prostřednictvím cPanel & WHM nebo Plesku.
CISA zveřejnila informaci v upozornění z 16. září 2026. Podle zprávy BleepingComputer z 15. září 2026 má zranitelnost hodnocení High a skóre CVSS 7,8. Acronis označil zaznamenané útoky za omezené a cílené; BleepingComputer doplňuje, že výrobce vychází z hlášení jednoho „potenciálně zasaženého“ zákazníka a indikátory kompromitace zatím nezveřejnil. CISA chybu v katalogu vede jako nesprávně nastavená výchozí oprávnění (Incorrect Default Permissions).
Veřejné informace neuvádějí počet napadených serverů ani konkrétní zasažené organizace. Nelze proto odhadovat rozsah útoků podle toho, zda jste se setkali s veřejně popsaným incidentem.
Kterých serverů se zranitelnost týká
CVE-2026-87886 se nevztahuje automaticky na každý server s cPanelem, Pleskem ani na všechny produkty Acronis. Rozhodující je, zda je na konkrétním linuxovém serveru nainstalovaný příslušný zálohovací doplněk a v jaké verzi.
Podle zveřejněných informací obsahují opravu tyto verze:
| Prostředí | Zranitelné buildy | Verze obsahující opravu |
|---|---|---|
| Acronis Backup plugin pro cPanel & WHM | starší než 1.9.3.1021 | 1.9.3 HF3 |
| Acronis Backup extension pro Plesk | starší než 1.8.11.638 | 1.8.11 |
Kontrolujte každý server samostatně. Verze zjištěná na jednom cPanel serveru nic nevypovídá o dalších uzlech ani o samostatných instalacích Plesku.
Pokud doplněk na serveru není, samotná přítomnost cPanelu nebo Plesku neznamená, že se na něj tato konkrétní zranitelnost vztahuje.
Proč nestačí říct „zálohování funguje“
CVE-2026-87886 umožňuje místnímu uživateli s nízkými oprávněními zvýšit oprávnění na serveru. Z citovaných popisů nevyplývá, že by tato chyba sama umožňovala anonymní vzdálené přihlášení. Útočník musí nejprve získat místní přístup pod méně privilegovaným účtem.
To ale není malý problém. Po zvýšení oprávnění může být ohrožen celý server, nejen jedna zálohovací úloha. Prověřit je proto potřeba také účty, SSH klíče, pravidla pro sudo, systémové služby a konfiguraci záloh.
Úspěšně dokončená záloha nepotvrzuje, že:
- server před aktualizací nebyl napaden;
- někdo nezměnil uživatelské účty nebo oprávnění;
- zůstalo stejné cílové úložiště a retenční pravidla;
- přístupové údaje k zálohám nebyly zpřístupněny;
- lze data ze zálohy skutečně obnovit.
Aktualizace uzavírá známou zranitelnost. Neodstraňuje automaticky změny provedené před její instalací a není důkazem, že ke zneužití nedošlo.
Co udělat hned
Postup rozdělte na dvě oddělené práce: instalaci opravy a kontrolu možné kompromitace. Výsledek „aktualizováno“ neznamená „server byl prověřen“.
1. Najděte všechny instalace doplňku
Projděte všechny linuxové servery s cPanel & WHM a Pleskem. Neomezujte kontrolu na hlavní produkční server. Doplněk může běžet také na starším uzlu, záložním serveru nebo systému spravovaném externím dodavatelem.
U každého serveru zapište:
- název nebo jednoznačný identifikátor serveru;
- použitý administrační panel;
- přítomnost doplňku Acronis Backup;
- zjištěnou verzi doplňku;
- datum a čas kontroly;
- osobu, která stav ověřila.
2. Zachyťte stav před změnou
Před aktualizací uchovejte údaje potřebné pro pozdější časovou osu. Patří sem alespoň verze doplňku, dostupné systémové záznamy a seznam správcovských účtů.
Nespoléhejte jen na obrazovku administračního panelu. Výsledkem má být dohledatelný záznam, ke kterému se lze při bezpečnostní kontrole vrátit.
3. Nainstalujte opravenou verzi
Pro cPanel & WHM je jako opravená uvedena verze 1.9.3 HF3, pro Plesk verze 1.8.11. Po aktualizaci znovu načtěte skutečně nainstalovanou verzi.
Samotná zpráva instalačního nástroje o úspěchu nestačí. Ověřte stav komponenty přímo na každém kontrolovaném serveru a zaznamenejte čas instalace.
4. Uchovejte dostupné logy
Zajistěte relevantní záznamy dříve, než je přepíše nebo odstraní jejich rotace. Podle distribuce a konfigurace může jít například o systemd journal, /var/log/auth.log, /var/log/secure, záznamy administračního panelu a logy doplňku Acronis.
U každého zdroje zaznamenejte:
- odkdy a dokdy záznamy sahají;
- zda je čas na serveru správně synchronizovaný;
- zda v období nejsou mezery;
- zda byly logy uloženy mimo kontrolovaný server.
Chybějící log není důkazem napadení. Současně ale znemožňuje spolehlivě potvrdit, co se v nepokrytém období dělo.
5. Určete kontrolované období
Bezpečnostní kontrola má pokrývat dobu od posledního prokazatelně bezpečného stavu do instalace opravy. Pokud takový okamžik neumíte určit, napište to do závěru jako omezení šetření.
Nevytvářejte libovolné krátké období jen proto, že starší záznamy nejsou dostupné. Rozsah dostupných dat a skutečný rozsah jistoty jsou dvě různé věci.
Co prověřit po instalaci opravy
Kontrola nemá skončit větou „v logu jsme nic nenašli“. Musí být zřejmé, které zdroje správce prověřil, jaké období pokrývaly a co ověřit nešlo.
Zkontrolujte zejména:
- nově založené, odemčené nebo změněné lokální účty;
- změny členství v privilegovaných skupinách;
- úpravy
sudoersa dalších pravidel pro zvýšení oprávnění; - nové nebo změněné SSH klíče;
- neobvyklá přihlášení a použití privilegovaných příkazů;
- nové úlohy v cronu;
- nové nebo upravené služby a časovače systemd;
- změny konfigurace cPanelu, Plesku a doplňku Acronis;
- změny cílového úložiště a retenčních pravidel;
- změny přístupových údajů používaných pro zálohování.
Najdete-li nečekaný správcovský účet, nový SSH klíč nebo neznámou službu, nepovažujte případ za uzavřený pouhým odstraněním položky. Je potřeba zjistit, kdy změna vznikla, z jakého účtu a zda stejný přístup nebyl použit i jinde.
Pokud nálezy ukazují na probíhající útok, postupujte podle připraveného incidentního plánu. Praktický přehled prvních kroků najdete v článku Ransomware ve firmě: prvních 24 hodin.
Ověřte také použitelnost záloh
Existence záložních souborů ještě neznamená, že obnova funguje. Vyberte konkrétní bod obnovy a proveďte zkušební obnovu do odděleného prostředí, ve kterém nehrozí přepsání produkčních dat.
Test má doložit:
- ze kterého data a úlohy byla záloha vybrána;
- kam byla obnovena;
- zda bylo možné data otevřít;
- zda odpovídají očekávanému bodu obnovy;
- zda test nevyužíval přístupové údaje, jejichž důvěryhodnost je sporná.
Podrobný postup popisujeme v článku Test obnovy zálohy: jak ho udělat a zdokumentovat. Smyslem není pouze získat zelený výsledek úlohy, ale prokázat, že jsou data čitelná a použitelná.
Jaký výstup chtít od správce
Od interního správce nebo externího dodavatele si vyžádejte konkrétní předávací záznam. Měl by obsahovat:
- seznam všech prověřených serverů;
- informaci, zda na nich byl doplněk nainstalovaný;
- verzi před opravou a po ní;
- datum a čas instalace opravy;
- seznam zkontrolovaných logů a jejich časové pokrytí;
- výsledek kontroly účtů, oprávnění a mechanismů trvalého přístupu;
- výsledek kontroly konfigurace záloh;
- výsledek zkušební obnovy;
- nalezené odchylky a způsob jejich dalšího řešení;
- skutečnosti, které nebylo možné zpětně ověřit.
Formulace „bez nálezu“ má smysl pouze společně s rozsahem kontroly. Pokud logy pokrývají poslední tři dny, závěr nemůže potvrzovat stav serveru před tímto obdobím.
Kdy zapojit správu IT
Odbornou pomoc řešte bez odkladu, pokud nedokážete dohledat všechny instalace doplňku, neznáte nainstalovaný build, chybějí historické logy nebo jste našli nečekané účty, oprávnění či změny zálohovacích úloh.
Pokud tuto kontrolu nemáte komu svěřit, v ITHOPE řešíme aktualizaci serveru, prověření možného průniku i test obnovy jako samostatně doložené práce. Co má taková spolupráce zahrnovat, popisujeme v přehledu Co obnáší měsíční správa IT.
Požadujte tři oddělené výsledky:
- zranitelná komponenta byla aktualizována a nová verze byla ověřena;
- dostupné stopy byly prověřeny v přesně uvedeném období;
- vybraná záloha prošla skutečným testem obnovy.
Teprve jejich kombinace odpovídá na otázky, zda je známá chyba opravena, co lze říct o předchozím stavu serveru a zda se na zálohu můžete při obnově spolehnout.
Časté otázky
Je zranitelný každý server s cPanelem nebo Pleskem?
Ne. Zranitelnost se týká příslušného doplňku Acronis Backup. Na každém serveru proto ověřte jeho přítomnost i konkrétní verzi.
Které verze obsahují opravu?
Podle zprávy BleepingComputer obsahuje opravu Acronis Backup plugin pro cPanel & WHM 1.9.3 HF3 a rozšíření pro Plesk 1.8.11.
Stačí nainstalovat aktualizaci?
Ne. Aktualizace opraví zranitelnou komponentu, ale neprokáže, že před jejím nasazením nedošlo ke zneužití nebo změně systému.
Znamená katalog CISA, že se chyba skutečně zneužívá?
Ano. CISA uvedla, že CVE-2026-87886 zařadila do katalogu Known Exploited Vulnerabilities na základě důkazů o aktivním zneužívání.
Co když logy z období před aktualizací chybějí?
Přesně zaznamenejte, které období není pokryté. Bez příslušných záznamů nelze spolehlivě potvrdit, že server před opravou napaden nebyl. Další postup musí zohlednit tuto nejistotu, důležitost serveru a citlivost záloh.