{"id":50650,"date":"2026-08-31T11:37:15","date_gmt":"2026-08-31T09:37:15","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=50650"},"modified":"2026-08-31T11:37:15","modified_gmt":"2026-08-31T09:37:15","slug":"cpanel-whm-root-sicherheitsluecke-patch-50650","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/cpanel-whm-root-sicherheitsluecke-patch-50650\/","title":{"rendered":"Root-Sicherheitsl\u00fccke bedroht cPanel\/WHM"},"content":{"rendered":"

Eine kritische Sicherheitsl\u00fccke in den Webhosting-Control-Panels cPanel<\/a> und WHM erlaubt es authentifizierten Angreifern, Schadcode mit Root-Rechten auszuf\u00fchren. Adminstratoren sollten umgehend handeln, denn die Schwachstelle hat das Potenzial, Server vollst\u00e4ndig zu kompromittieren. Reparierte Versionen stehen bereits zur Verf\u00fcgung.<\/p>\n

Gef\u00e4hrliche L\u00fccke in der Domain-Verwaltung<\/h2>\n

Die Schwachstelle mit der Kennung CVE-2026-65643 wurde von den Entwicklern von cPanel selbst \u00f6ffentlich gemacht. Sie betrifft die Funktionalit\u00e4t zum Parken von Domains sowie zur Verwaltung von Addon-Domains. Ein Angreifer, der sich bereits auf dem System authentifizieren und auf diese spezifische Verwaltungsfunktion zugreifen kann, ist in der Lage, beliebige Dateien auf den Server hochzuladen.<\/p>\n

Dieser Upload ist der entscheidende Schritt in der Angriffskette. Anschlie\u00dfend kann der Angreifer die hochgeladenen Dateien nutzen, um Code mit den h\u00f6chsten Systemrechten \u2013 sogenannten Root-Rechten \u2013 auszuf\u00fchren. Sobald Root-Rechte erlangt wurden, hat der Angreifer die vollst\u00e4ndige Kontrolle \u00fcber den Server: Er kann Daten einsehen und manipulieren, andere Nutzerkonten \u00fcbernehmen, die Konfiguration \u00e4ndern oder den Server f\u00fcr weiterf\u00fchrende Angriffe innerhalb des Netzwerks missbrauchen.<\/p>\n

Wann handelt es sich um einen authentifizierten Angreifer?<\/h3>\n

Diese Frage stellt sich vielen Admins, die die Bedrohungslage f\u00fcr ihre Systeme einsch\u00e4tzen wollen. Ein authentifizierter Angreifer ist nicht zwangsl\u00e4ufig ein b\u00f6swilliger Mitarbeiter. Es kann sich auch um einen Kunden oder einen externen Nutzer handeln, der \u00fcber ein legitimes Konto in der cPanel\/WHM-Umgebung verf\u00fcgt. Wenn dieses Konto kompromittiert wurde \u2013 etwa durch Phishing oder schwache Passw\u00f6rter \u2013, kann der Angreifer \u00fcber dieses Konto die L\u00fccke ausnutzen. Die Verwaltung von Parked- und Addon-Domains ist in vielen Hosting-Umgebungen eine Standardfunktion, auf die zahlreiche Nutzer zugreifen k\u00f6nnen. Somit steigt die Angriffsfl\u00e4che erheblich.<\/p>\n

Betroffene Versionen und der Sicherheitspatch<\/h2>\n

Untersuchungen der Entwickler haben ergeben, dass s\u00e4mtliche derzeit im Support befindlichen Versionen von cPanel und WHM von dieser Sicherheitsl\u00fccke betroffen sind. Es gibt keine Version, die von Natur aus immun w\u00e4re. Admins m\u00fcssen daher aktiv werden und ein Update einspielen.<\/p>\n

Folgende Versionen schlie\u00dfen die Sicherheitsl\u00fccke und gelten als sicher:<\/p>\n

    \n
  • 11.110.0.141<\/li>\n
  • 11.134.0.53<\/li>\n
  • 11.136.0.37<\/li>\n
  • 11.138.0.2<\/li>\n
  • WP2: 11.138.1.7<\/li>\n<\/ul>\n

    Der Hersteller hat keine CVSS-Einstufung (Common Vulnerability Scoring System) ver\u00f6ffentlicht, die den Schweregrad der L\u00fccke quantifiziert. Aufgrund der Tatsache, dass ein erfolgreicher Angriff zur vollst\u00e4ndigen Kompromittierung des Systems mit Root-Rechten f\u00fchrt, ist jedoch von einer kritischen oder hohen Einstufung auszugehen. Das Risiko wird zus\u00e4tzlich dadurch erh\u00f6ht, dass die Software eine dominante Rolle im Webhosting-Markt einnimmt. Angreifer zielen h\u00e4ufig auf weit verbreitete Systeme ab, um eine maximale Wirkung zu erzielen.<\/p>\n

    Erkennen von kompromittierten Systemen<\/h3>\n

    Eine der dr\u00e4ngendsten Fragen f\u00fcr Admins ist, ob ein System bereits angegriffen wurde. Bislang gibt es keine ver\u00f6ffentlichten Informationen oder Indikatoren (Indicators of Compromise, IoCs), anhand derer ein erfolgreicher Angriff erkannt werden kann. Auch liegt kein Nachweis vor, dass die L\u00fccke in freier Wildbahn bereits ausgenutzt wird. Dennoch ist Eile geboten: Die Verz\u00f6gerung eines Updates k\u00f6nnte Systeme unn\u00f6tig lange einer potenziell kritischen Gefahr aussetzen.<\/p>\n

    Admins sollten zudem ihre Systeme auf ungew\u00f6hnliche Dateien in den Verzeichnissen der Parked- und Addon-Domains \u00fcberpr\u00fcfen. Auch eine \u00dcberwachung der Systemlogs auf unautorisierte Aktivit\u00e4ten oder ungew\u00f6hnliche Prozesse mit Root-Rechten kann Hinweise auf eine m\u00f6gliche Kompromittierung liefern. Da der Angriff jedoch keinen spezifischen Footprint hinterl\u00e4sst, der \u00f6ffentlich bekannt ist, bleibt die Wachsamkeit das wichtigste Werkzeug.<\/p>\n

    Kontext und historische Einordnung<\/h2>\n

    Dies ist nicht der erste Vorfall dieser Art. Bereits im Juni 2026 sorgten Root-Angriffe auf cPanel-Instanzen f\u00fcr Schlagzeilen. Damals war eine Sicherheitsl\u00fccke im LiteSpeed-Plugin als Einfallstor genutzt worden. Die wiederholten Vorf\u00e4lle zeigen, dass die cPanel\/WHM-Plattform ein lohnendes Ziel f\u00fcr Angreifer darstellt und dass die Sicherheit von Drittanbieter-Plugins sowie der Kernsoftware gleicherma\u00dfen kritisch ist.<\/p>\n

    Die aktuelle L\u00fccke unterscheidet sich jedoch von fr\u00fcheren Vorf\u00e4llen: Sie liegt direkt in der Kernfunktionalit\u00e4t der Domain-Verwaltung und erfordert keine zus\u00e4tzlichen Plugins. Das macht sie besonders gef\u00e4hrlich, da sie eine Standardfunktion betrifft, die auf nahezu jeder Installation vorhanden ist.<\/p>\n

    F\u00fcr die Zukunft sollten Admins ihre Sicherheitsstrategie \u00fcberdenken. Die Authentifizierung allein reicht nicht aus, um Systeme zu sch\u00fctzen. Multi-Faktor-Authentifizierung (MFA) f\u00fcr alle Nutzerkonten, eine strenge \u00dcberwachung der Dateiuploads und die Anwendung des Prinzips der geringsten Privilegien (Least Privilege Principle) k\u00f6nnen das Risiko solcher Angriffe reduzieren. Bis ein vollst\u00e4ndiger Patch eingespielt ist, sollten die betroffenen Verwaltungsfunktionen tempor\u00e4r deaktiviert oder der Zugriff darauf stark eingeschr\u00e4nkt werden \u2013 auch wenn dies die Funktionalit\u00e4t f\u00fcr legitime Nutzer beeintr\u00e4chtigt. Das Update auf eine der genannten gepatchten Versionen bleibt jedoch die einzig wirklich abschlie\u00dfende Ma\u00dfnahme und sollte mit h\u00f6chster Priorit\u00e4t behandelt werden.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Eine kritische Sicherheitsl\u00fccke in den Webhosting-Control-Panels cPanel und WHM erlaubt es authentifizierten Angreifern, Schadcode mit Root-Rechten auszuf\u00fchren. Adminstratoren sollten umgehend handeln, denn die Schwachstelle hat das Potenzial, Server vollst\u00e4ndig zu kompromittieren. Reparierte Versionen stehen bereits zur Verf\u00fcgung. Gef\u00e4hrliche L\u00fccke in der Domain-Verwaltung Die Schwachstelle mit der Kennung CVE-2026-65643 wurde von den Entwicklern von cPanel selbst […]<\/p>\n","protected":false},"author":5,"featured_media":53931,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50650.png","fifu_image_alt":"Root-Sicherheitsl\u00fccke bedroht cPanel\/WHM","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-50650","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50650.png","fifu_image_alt":"Root-Sicherheitsl\u00fccke bedroht cPanel\/WHM","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50650","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=50650"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50650\/revisions"}],"predecessor-version":[{"id":50654,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50650\/revisions\/50654"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53931"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=50650"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=50650"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=50650"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}