Eine kritische Sicherheitslücke in den Webhosting-Control-Panels cPanel und WHM erlaubt es authentifizierten Angreifern, Schadcode mit Root-Rechten auszuführen. Adminstratoren sollten umgehend handeln, denn die Schwachstelle hat das Potenzial, Server vollständig zu kompromittieren. Reparierte Versionen stehen bereits zur Verfügung.
Gefährliche Lücke in der Domain-Verwaltung
Die Schwachstelle mit der Kennung CVE-2026-65643 wurde von den Entwicklern von cPanel selbst öffentlich gemacht. Sie betrifft die Funktionalität zum Parken von Domains sowie zur Verwaltung von Addon-Domains. Ein Angreifer, der sich bereits auf dem System authentifizieren und auf diese spezifische Verwaltungsfunktion zugreifen kann, ist in der Lage, beliebige Dateien auf den Server hochzuladen.
Dieser Upload ist der entscheidende Schritt in der Angriffskette. Anschließend kann der Angreifer die hochgeladenen Dateien nutzen, um Code mit den höchsten Systemrechten – sogenannten Root-Rechten – auszuführen. Sobald Root-Rechte erlangt wurden, hat der Angreifer die vollständige Kontrolle über den Server: Er kann Daten einsehen und manipulieren, andere Nutzerkonten übernehmen, die Konfiguration ändern oder den Server für weiterführende Angriffe innerhalb des Netzwerks missbrauchen.
Wann handelt es sich um einen authentifizierten Angreifer?
Diese Frage stellt sich vielen Admins, die die Bedrohungslage für ihre Systeme einschätzen wollen. Ein authentifizierter Angreifer ist nicht zwangsläufig ein böswilliger Mitarbeiter. Es kann sich auch um einen Kunden oder einen externen Nutzer handeln, der über ein legitimes Konto in der cPanel/WHM-Umgebung verfügt. Wenn dieses Konto kompromittiert wurde – etwa durch Phishing oder schwache Passwörter –, kann der Angreifer über dieses Konto die Lücke ausnutzen. Die Verwaltung von Parked- und Addon-Domains ist in vielen Hosting-Umgebungen eine Standardfunktion, auf die zahlreiche Nutzer zugreifen können. Somit steigt die Angriffsfläche erheblich.
Betroffene Versionen und der Sicherheitspatch
Untersuchungen der Entwickler haben ergeben, dass sämtliche derzeit im Support befindlichen Versionen von cPanel und WHM von dieser Sicherheitslücke betroffen sind. Es gibt keine Version, die von Natur aus immun wäre. Admins müssen daher aktiv werden und ein Update einspielen.
Folgende Versionen schließen die Sicherheitslücke und gelten als sicher:
- 11.110.0.141
- 11.134.0.53
- 11.136.0.37
- 11.138.0.2
- WP2: 11.138.1.7
Der Hersteller hat keine CVSS-Einstufung (Common Vulnerability Scoring System) veröffentlicht, die den Schweregrad der Lücke quantifiziert. Aufgrund der Tatsache, dass ein erfolgreicher Angriff zur vollständigen Kompromittierung des Systems mit Root-Rechten führt, ist jedoch von einer kritischen oder hohen Einstufung auszugehen. Das Risiko wird zusätzlich dadurch erhöht, dass die Software eine dominante Rolle im Webhosting-Markt einnimmt. Angreifer zielen häufig auf weit verbreitete Systeme ab, um eine maximale Wirkung zu erzielen.
Erkennen von kompromittierten Systemen
Eine der drängendsten Fragen für Admins ist, ob ein System bereits angegriffen wurde. Bislang gibt es keine veröffentlichten Informationen oder Indikatoren (Indicators of Compromise, IoCs), anhand derer ein erfolgreicher Angriff erkannt werden kann. Auch liegt kein Nachweis vor, dass die Lücke in freier Wildbahn bereits ausgenutzt wird. Dennoch ist Eile geboten: Die Verzögerung eines Updates könnte Systeme unnötig lange einer potenziell kritischen Gefahr aussetzen.
Admins sollten zudem ihre Systeme auf ungewöhnliche Dateien in den Verzeichnissen der Parked- und Addon-Domains überprüfen. Auch eine Überwachung der Systemlogs auf unautorisierte Aktivitäten oder ungewöhnliche Prozesse mit Root-Rechten kann Hinweise auf eine mögliche Kompromittierung liefern. Da der Angriff jedoch keinen spezifischen Footprint hinterlässt, der öffentlich bekannt ist, bleibt die Wachsamkeit das wichtigste Werkzeug.
Kontext und historische Einordnung
Dies ist nicht der erste Vorfall dieser Art. Bereits im Juni 2026 sorgten Root-Angriffe auf cPanel-Instanzen für Schlagzeilen. Damals war eine Sicherheitslücke im LiteSpeed-Plugin als Einfallstor genutzt worden. Die wiederholten Vorfälle zeigen, dass die cPanel/WHM-Plattform ein lohnendes Ziel für Angreifer darstellt und dass die Sicherheit von Drittanbieter-Plugins sowie der Kernsoftware gleichermaßen kritisch ist.
Die aktuelle Lücke unterscheidet sich jedoch von früheren Vorfällen: Sie liegt direkt in der Kernfunktionalität der Domain-Verwaltung und erfordert keine zusätzlichen Plugins. Das macht sie besonders gefährlich, da sie eine Standardfunktion betrifft, die auf nahezu jeder Installation vorhanden ist.
Für die Zukunft sollten Admins ihre Sicherheitsstrategie überdenken. Die Authentifizierung allein reicht nicht aus, um Systeme zu schützen. Multi-Faktor-Authentifizierung (MFA) für alle Nutzerkonten, eine strenge Überwachung der Dateiuploads und die Anwendung des Prinzips der geringsten Privilegien (Least Privilege Principle) können das Risiko solcher Angriffe reduzieren. Bis ein vollständiger Patch eingespielt ist, sollten die betroffenen Verwaltungsfunktionen temporär deaktiviert oder der Zugriff darauf stark eingeschränkt werden – auch wenn dies die Funktionalität für legitime Nutzer beeinträchtigt. Das Update auf eine der genannten gepatchten Versionen bleibt jedoch die einzig wirklich abschließende Maßnahme und sollte mit höchster Priorität behandelt werden.
