Kritische cPanel-Lücke: Login ohne Passwort möglich
Eine neue Schwachstelle in cPanel & WHM erlaubt Angreifern den Zugriff ohne Authentifizierung. Erste Hoster haben die Control-Panel-Ports bereits komplett geblockt.
💣 Was genau passiert ist
Eine neue kritische Sicherheitslücke in cPanel & WHM sorgt aktuell für Alarmstimmung in der gesamten Hosting-Welt. Das ist kein gewöhnlicher Bug – es ist ein direkter Einstiegspunkt.
- ▸Fehler in der Authentifizierungslogik – die Anmeldung kann umgangen werden
- ▸Angreifer können sich als legitimer Benutzer ausgeben
- ▸Voller Zugriff auf E-Mails, Webseiten, Datenbanken und Backups
- ▸Alle aktuell unterstützten cPanel-Versionen sind betroffen
👉 Ein Notfall-Patch ist verfügbar – wer ihn nicht innerhalb von Stunden ausrollt, ist Ziel.
🚨 Erste Hoster ziehen die Notbremse – Ports komplett dicht
Wie kritisch die Lücke wirklich ist, zeigt die Reaktion großer Hosting-Provider: Sie haben präventiv den kompletten Zugriff auf die Standard-cPanel-Ports per Firewall geblockt – bis ein vollständiger Patch ausgerollt ist.
TCP 2083 — cPanel (SSL)
TCP 2087 — WHM (SSL)
Folge: Webmail, Webdisk und SSL-Verbindungen waren mehrere Stunden offline. Bewusst in Kauf genommen – weil die Alternative ein flächendeckender Server-Verlust gewesen wäre.
⚠️ Warum Massenausnutzung realistisch ist
Diese Schwachstelle hat alle Eigenschaften, die Angreifer lieben:
Kein Brute-Force nötig
Kein Passwort erforderlich
Vollständig automatisierbar
cPanel ist eines der weltweit am häufigsten eingesetzten Hosting-Panels. Tausende Unternehmen nutzen es täglich – oft ohne zusätzliche Security-Layer und direkt aus dem Internet erreichbar. Genau das macht die Lücke zum Massenziel.
🧠 Typischer Angriffsablauf
Vom ersten Scan bis zum vollständig kompromittierten Server vergehen oft nur Minuten:
1. Scan
Angreifer scannt öffentlich erreichbare cPanel-Instanzen auf den Standard-Ports 2083 / 2087.
2. Exploit
Auth-Bypass wird ausgelöst – die Login-Logik akzeptiert die Anfrage als gültig.
3. Login
Direkter Zugang zu cPanel oder WHM ohne ein einziges Passwort.
4. Persistenz
Neue Admin-Accounts, Webshells, manipulierte Cronjobs werden angelegt.
5. Lateral
Übergriff auf E-Mail-Konten, Datenbanken, Backups, Kunden-Webseiten.
💥 Was passiert, wenn ein Angreifer drin ist
Webseiten werden manipuliert oder defaced
Kunden- und Zahlungsdaten werden abgegriffen
Mailserver werden für Phishing übernommen
Backups werden gelöscht oder verschlüsselt
Worst Case: kompletter Infrastruktur-Verlust.
🔍 Wer ist betroffen
Shared Hosting Anbieter
Dichteste Konzentration – ein Treffer kompromittiert hunderte Kunden.
Agenturen mit eigenen Webservern
Selbst gehostetes WHM/cPanel ohne IP-Beschränkung.
KMU mit eigenen Websites
Standard-Setup, Control-Panel direkt aus dem Internet erreichbar.
Managed Server mit offenem cPanel
Ports 2083/2087 ohne Whitelisting – das Standard-Risikomuster.
👉 Besonders kritisch: Systeme ohne MFA und ohne IP-Whitelisting für die Control-Panel-Ports.
🇩🇪 „Unser Server steht in Deutschland" – ❌ falsch
Genau diese Lücke widerlegt einen der hartnäckigsten Mythen im deutschen Mittelstand.
- ▸Der Standort schützt nicht.
- ▸Die DSGVO schützt nicht vor Hacks.
- ▸Nur echte Security schützt.
💥 Ein unsicheres cPanel in einem Frankfurter Rechenzentrum ist genauso fünf-Minuten-Beute wie eines in Singapur. Der Bot, der die Auth-Bypass-Welle gerade fährt, fragt nicht nach dem Standort – er fragt nach offenem Port 2083.
Security ist kein Standort. Security ist Umsetzung.
🛡️ Was du JETZT tun musst
cPanel sofort patchen
Notfall-Patch ist verfügbar – aktualisiere cPanel & WHM unverzüglich auf die neueste Version.
Externen Zugriff einschränken
TCP 2083 und 2087 hinter Firewall / IP-Whitelisting setzen. Niemand braucht WHM aus dem offenen Internet.
MFA aktivieren
Multi-Faktor-Authentifizierung für jeden Admin- und Reseller-Account erzwingen.
Logs auf ungewöhnliche Logins prüfen
Erfolgreiche Anmeldungen ohne MFA-Prompt, neue Sessions aus unbekannten Ländern, frische Cronjobs.
Admin-Accounts kontrollieren
Jeden cPanel- und WHM-Account auflisten. Unbekannte oder nicht mehr genutzte Accounts sofort deaktivieren.
Webshells & Backdoors suchen
PHP-Dateien mit Eval/Base64 und neu angelegte .htaccess-Regeln gezielt durchsuchen.
🧨 Wasacon Einschätzung
Diese Lücke zeigt erneut: 👉 Der Angriff kommt nicht irgendwann – er ist schon automatisiert unterwegs.
Wer cPanel betreibt und nicht innerhalb von Stunden patcht, IP-Whitelisting setzt und Logs prüft, ist aktuell ein potenzielles Ziel – kein Wenn, sondern ein Wann.
Patch-Tempo entscheidet über Datenverlust.
cPanel im Einsatz? Lass dein Setup prüfen
Bevor jemand anderes es prüft.
Patch-Status & Versionscheck
Port-Exposure-Audit (2083 / 2087)
Log-Analyse auf Auth-Bypass-Spuren
Häufige Fragen (FAQ)
Hosting-Sicherheit für Unternehmen im Kreis Heinsberg
Ob in Heinsberg (52525), Erkelenz (41812), Wegberg, Hückelhoven (41836), Wassenberg oder Geilenkirchen (52511) – Agenturen, Hosting-Reseller und KMU mit eigenen Webservern sind von dieser Lücke direkt betroffen. Auch Betriebe in Aachen, Mönchengladbach (41061), Jülich, Düren, Linnich (52441) und Krefeld sollten ihre cPanel-Installationen jetzt prüfen.
Wasacon unterstützt mit Patch-Status-Audit, Port-Exposure-Check, Log-Analyse und langfristiger Härtung – inklusive MFA, IP-Whitelisting und Server-EDR.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
