Acronis Backup CVE-2026-87886 wird ausgenutzt

Kurzantwort: CVE-2026-87886 ist eine aktiv ausgenutzte Schwachstelle in den Acronis-Backup-Erweiterungen für cPanel & WHM und Plesk. Prüfen Sie auf jedem Server, ob die Erweiterung installiert ist und welche Version verwendet wird, installieren Sie die korrigierte Version und untersuchen Sie separat, ob es vor der Aktualisierung zu einer Rechteausweitung oder zu Änderungen an den Backups gekommen ist.

Was am 16. September 2026 geschah

Die US-amerikanische Behörde CISA nahm die Schwachstelle CVE-2026-87886 am 16. September 2026 in ihren Katalog Known Exploited Vulnerabilities auf. Grund dafür waren Belege für eine aktive Ausnutzung. Der Fehler betrifft Acronis-Backup-Erweiterungen, die auf Linux-Servern mit cPanel & WHM oder Plesk eingesetzt werden.

CISA veröffentlichte die Information in einer Warnmeldung vom 16. September 2026. Laut einem Bericht von BleepingComputer vom 15. September 2026 ist die Schwachstelle als High eingestuft und weist einen CVSS-Wert von 7,8 auf. Acronis bezeichnete die beobachteten Angriffe als begrenzt und gezielt. BleepingComputer ergänzt, dass sich der Hersteller auf die Meldung eines „potenziell betroffenen“ Kunden stützt und bislang keine Kompromittierungsindikatoren veröffentlicht hat. CISA führt die Schwachstelle im Katalog als fehlerhaft konfigurierte Standardberechtigungen (Incorrect Default Permissions).

Die öffentlich verfügbaren Informationen nennen weder die Zahl der angegriffenen Server noch konkrete betroffene Organisationen. Das Ausmaß der Angriffe lässt sich daher nicht danach beurteilen, ob Ihnen ein öffentlich beschriebener Vorfall bekannt ist.

Welche Server von der Schwachstelle betroffen sind

CVE-2026-87886 betrifft nicht automatisch jeden Server mit cPanel oder Plesk und auch nicht alle Produkte von Acronis. Entscheidend ist, ob die betreffende Backup-Erweiterung auf dem jeweiligen Linux-Server installiert ist und welche Version verwendet wird.

Den veröffentlichten Informationen zufolge enthalten folgende Versionen die Korrektur:

Umgebung	Betroffene Builds	Version mit Korrektur
Acronis-Backup-Plug-in für cPanel & WHM	älter als 1.9.3.1021	1.9.3 HF3
Acronis-Backup-Erweiterung für Plesk	älter als 1.8.11.638	1.8.11

Prüfen Sie jeden Server einzeln. Die auf einem cPanel-Server ermittelte Version sagt nichts über weitere Knoten oder eigenständige Plesk-Installationen aus.

Ist die Erweiterung nicht auf dem Server installiert, bedeutet das bloße Vorhandensein von cPanel oder Plesk nicht, dass dieser Server von der konkreten Schwachstelle betroffen ist.

Warum „Das Backup funktioniert“ nicht genügt

CVE-2026-87886 ermöglicht es einem lokalen Benutzer mit geringen Berechtigungen, seine Rechte auf dem Server auszuweiten. Aus den angeführten Beschreibungen geht nicht hervor, dass die Schwachstelle allein eine anonyme Anmeldung aus der Ferne ermöglichen würde. Ein Angreifer muss zunächst lokalen Zugriff über ein weniger privilegiertes Konto erlangen.

Das ist dennoch kein geringfügiges Problem. Nach einer Rechteausweitung kann der gesamte Server gefährdet sein, nicht nur ein einzelner Backup-Auftrag. Deshalb müssen auch Benutzerkonten, SSH-Schlüssel, sudo-Regeln, Systemdienste und die Backup-Konfiguration überprüft werden.

Ein erfolgreich abgeschlossenes Backup bestätigt nicht, dass:

• der Server vor der Aktualisierung nicht angegriffen wurde;
• niemand Benutzerkonten oder Berechtigungen verändert hat;
• Zielspeicher und Aufbewahrungsregeln unverändert geblieben sind;
• Zugangsdaten für die Backups nicht offengelegt wurden;
• die Daten tatsächlich aus dem Backup wiederhergestellt werden können.

Die Aktualisierung schließt die bekannte Schwachstelle. Sie beseitigt jedoch nicht automatisch Änderungen, die vor ihrer Installation vorgenommen wurden, und beweist nicht, dass die Schwachstelle ungenutzt blieb.

Was Sie sofort tun sollten

Teilen Sie das Vorgehen in zwei getrennte Aufgaben auf: die Installation der Korrektur und die Untersuchung einer möglichen Kompromittierung. Das Ergebnis „aktualisiert“ bedeutet nicht, dass der Server überprüft wurde.

1. Alle Installationen der Erweiterung finden

Prüfen Sie alle Linux-Server mit cPanel & WHM oder Plesk. Beschränken Sie die Kontrolle nicht auf den primären Produktionsserver. Die Erweiterung kann auch auf einem älteren Knoten, einem Backup-Server oder einem von einem externen Dienstleister verwalteten System ausgeführt werden.

Dokumentieren Sie für jeden Server:

• den Namen oder eine eindeutige Kennung des Servers;
• das verwendete Administrationspanel;
• ob die Acronis-Backup-Erweiterung installiert ist;
• die ermittelte Version der Erweiterung;
• Datum und Uhrzeit der Prüfung;
• die Person, die den Zustand überprüft hat.

2. Den Zustand vor der Änderung erfassen

Sichern Sie vor der Aktualisierung die Angaben, die später für die Rekonstruktion des zeitlichen Ablaufs benötigt werden. Dazu gehören mindestens die Version der Erweiterung, die verfügbaren Systemprotokolle und eine Liste der Administratorkonten.

Verlassen Sie sich nicht allein auf die Anzeige im Administrationspanel. Das Ergebnis sollte eine nachvollziehbare Aufzeichnung sein, auf die bei einer Sicherheitsprüfung zurückgegriffen werden kann.

3. Die korrigierte Version installieren

Für cPanel & WHM wird Version 1.9.3 HF3 als korrigierte Version angegeben, für Plesk Version 1.8.11. Ermitteln Sie nach der Aktualisierung erneut die tatsächlich installierte Version.

Die Erfolgsmeldung des Installationsprogramms allein genügt nicht. Überprüfen Sie den Zustand der Komponente direkt auf jedem kontrollierten Server und dokumentieren Sie den Installationszeitpunkt.

4. Verfügbare Protokolle sichern

Sichern Sie relevante Protokolle, bevor sie durch die Protokollrotation überschrieben oder gelöscht werden. Je nach Distribution und Konfiguration können dazu beispielsweise das systemd-Journal, /var/log/auth.log, /var/log/secure, Protokolle des Administrationspanels und Protokolle der Acronis-Erweiterung gehören.

Dokumentieren Sie für jede Quelle:

• welchen Zeitraum die Protokolle abdecken;
• ob die Uhrzeit auf dem Server korrekt synchronisiert ist;
• ob es innerhalb des Zeitraums Lücken gibt;
• ob die Protokolle außerhalb des untersuchten Servers gespeichert wurden.

Ein fehlendes Protokoll ist kein Beweis für einen Angriff. Es verhindert jedoch zugleich eine zuverlässige Feststellung dessen, was im nicht abgedeckten Zeitraum geschehen ist.

5. Den Untersuchungszeitraum festlegen

Die Sicherheitsprüfung sollte den Zeitraum vom letzten nachweislich sicheren Zustand bis zur Installation der Korrektur abdecken. Lässt sich ein solcher Zeitpunkt nicht bestimmen, muss dies im Abschlussbericht als Einschränkung der Untersuchung festgehalten werden.

Legen Sie keinen beliebig kurzen Zeitraum fest, nur weil ältere Protokolle nicht verfügbar sind. Der Umfang der verfügbaren Daten und der tatsächliche Umfang der Gewissheit sind zwei verschiedene Dinge.

Was nach der Installation der Korrektur zu prüfen ist

Die Prüfung darf nicht mit dem Satz „In den Protokollen haben wir nichts gefunden“ enden. Es muss klar erkennbar sein, welche Quellen der Administrator untersucht hat, welche Zeiträume sie abdeckten und was nicht überprüft werden konnte.

Prüfen Sie insbesondere:

• neu angelegte, entsperrte oder geänderte lokale Konten;
• Änderungen an Mitgliedschaften in privilegierten Gruppen;
• Änderungen an sudoers und anderen Regeln zur Rechteausweitung;
• neue oder geänderte SSH-Schlüssel;
• ungewöhnliche Anmeldungen und die Verwendung privilegierter Befehle;
• neue Cron-Jobs;
• neue oder geänderte systemd-Dienste und -Timer;
• Änderungen an der Konfiguration von cPanel, Plesk und der Acronis-Erweiterung;
• Änderungen am Zielspeicher und an den Aufbewahrungsregeln;
• Änderungen an den für Backups verwendeten Zugangsdaten.

Wenn Sie ein unerwartetes Administratorkonto, einen neuen SSH-Schlüssel oder einen unbekannten Dienst finden, betrachten Sie den Vorfall nicht allein durch das Löschen des betreffenden Eintrags als abgeschlossen. Es muss geklärt werden, wann und über welches Konto die Änderung vorgenommen wurde und ob derselbe Zugang auch an anderer Stelle verwendet wurde.

Deuten die Ergebnisse auf einen laufenden Angriff hin, gehen Sie nach Ihrem vorbereiteten Notfallplan vor. Eine praktische Übersicht der ersten Schritte finden Sie im Artikel Ransomware im Unternehmen: die ersten 24 Stunden.

Auch die Verwendbarkeit der Backups prüfen

Das Vorhandensein von Backup-Dateien bedeutet noch nicht, dass die Wiederherstellung funktioniert. Wählen Sie einen konkreten Wiederherstellungspunkt aus und führen Sie eine Testwiederherstellung in einer getrennten Umgebung durch, in der keine Produktionsdaten überschrieben werden können.

Der Test sollte dokumentieren:

• aus welchem Datum und Auftrag das Backup ausgewählt wurde;
• wohin es wiederhergestellt wurde;
• ob sich die Daten öffnen ließen;
• ob sie dem erwarteten Wiederherstellungspunkt entsprechen;
• ob für den Test Zugangsdaten verwendet wurden, deren Vertrauenswürdigkeit fraglich ist.

Eine ausführliche Anleitung finden Sie im Artikel Backup-Wiederherstellung testen: Durchführung und Dokumentation. Ziel ist nicht nur ein grüner Status für den Auftrag, sondern der Nachweis, dass die Daten lesbar und verwendbar sind.

Welche Unterlagen Sie vom Administrator verlangen sollten

Fordern Sie von Ihrem internen Administrator oder externen Dienstleister ein konkretes Übergabeprotokoll an. Es sollte Folgendes enthalten:

• eine Liste aller überprüften Server;
• die Angabe, ob die Erweiterung auf ihnen installiert war;
• die Version vor und nach der Korrektur;
• Datum und Uhrzeit der Installation der Korrektur;
• eine Liste der geprüften Protokolle und der von ihnen abgedeckten Zeiträume;
• das Ergebnis der Prüfung von Konten, Berechtigungen und Mechanismen für dauerhaften Zugriff;
• das Ergebnis der Prüfung der Backup-Konfiguration;
• das Ergebnis der Testwiederherstellung;
• festgestellte Abweichungen und deren weitere Behandlung;
• Sachverhalte, die nachträglich nicht überprüft werden konnten.

Die Formulierung „ohne Befund“ ist nur zusammen mit dem Umfang der Prüfung aussagekräftig. Wenn die Protokolle lediglich die letzten drei Tage abdecken, kann der Abschlussbericht den Zustand des Servers vor diesem Zeitraum nicht bestätigen.

Wann Sie professionelle IT-Administration hinzuziehen sollten

Holen Sie unverzüglich fachkundige Unterstützung, wenn Sie nicht alle Installationen der Erweiterung ermitteln können, den installierten Build nicht kennen, historische Protokolle fehlen oder Sie unerwartete Konten, Berechtigungen oder Änderungen an Backup-Aufträgen gefunden haben.

Wenn Sie niemanden mit dieser Prüfung beauftragen können, übernimmt ITHOPE die Serveraktualisierung, die Untersuchung eines möglichen Eindringens und den Wiederherstellungstest als getrennte, jeweils dokumentierte Arbeiten. Was eine solche Zusammenarbeit umfassen sollte, erläutern wir in der Übersicht Was eine monatliche IT-Betreuung umfasst.

Verlangen Sie drei getrennte Ergebnisse:

1. Die anfällige Komponente wurde aktualisiert und die neue Version überprüft.
2. Die verfügbaren Spuren wurden für einen genau angegebenen Zeitraum untersucht.
3. Ein ausgewähltes Backup hat einen tatsächlichen Wiederherstellungstest bestanden.

Erst die Kombination dieser Ergebnisse beantwortet die Fragen, ob die bekannte Schwachstelle behoben ist, welche Aussagen über den früheren Zustand des Servers möglich sind und ob Sie sich bei einer Wiederherstellung auf das Backup verlassen können.

Häufig gestellte Fragen

Ist jeder Server mit cPanel oder Plesk gefährdet?

Nein. Die Schwachstelle betrifft die jeweilige Acronis-Backup-Erweiterung. Prüfen Sie deshalb auf jedem Server, ob sie installiert ist und welche konkrete Version verwendet wird.

Welche Versionen enthalten die Korrektur?

Laut dem Bericht von BleepingComputer enthalten das Acronis-Backup-Plug-in für cPanel & WHM in Version 1.9.3 HF3 und die Erweiterung für Plesk in Version 1.8.11 die Korrektur.

Reicht es aus, die Aktualisierung zu installieren?

Nein. Die Aktualisierung korrigiert die anfällige Komponente, beweist aber nicht, dass die Schwachstelle vor ihrer Installation nicht ausgenutzt oder das System nicht verändert wurde.

Bedeutet die Aufnahme in den CISA-Katalog, dass die Schwachstelle tatsächlich ausgenutzt wird?

Ja. CISA erklärte, CVE-2026-87886 aufgrund von Belegen für eine aktive Ausnutzung in den Katalog Known Exploited Vulnerabilities aufgenommen zu haben.

Was ist zu tun, wenn Protokolle aus der Zeit vor der Aktualisierung fehlen?

Dokumentieren Sie genau, welcher Zeitraum nicht abgedeckt ist. Ohne die entsprechenden Aufzeichnungen lässt sich nicht zuverlässig bestätigen, dass der Server vor der Korrektur nicht angegriffen wurde. Das weitere Vorgehen muss diese Unsicherheit sowie die Bedeutung des Servers und die Vertraulichkeit der Backups berücksichtigen.

Wo Sie uns finden

ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.

Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).