Kritische cPanel-Lücke: Hacker übernehmen Server – Behörden im Visier
Rund 4.000 cPanel/WHM-Server in Deutschland werden aktuell aktiv angegriffen. Behörden, Hoster und MSPs im Visier – jede ungepatchte Instanz ist Beute.
Hinweis: Diese Einschätzung basiert auf öffentlich verfügbaren Sicherheitsanalysen vom Mai 2026. Ob ein konkretes System betroffen oder bereits aktiv angegriffen wurde, muss individuell geprüft werden.
Was ist passiert?
Die weit verbreitete Hosting-Software cPanel steht erneut im Fokus: Sicherheitsforscher haben eine kritische Schwachstelle entdeckt, mit der Angreifer Server vollständig kompromittieren können. Aktuelle Berichte aus Anfang Mai 2026 zeigen, dass die Lücke gezielt gegen Behörden-Netzwerke und Managed Service Provider (MSPs) ausgenutzt wird.
Besonders brisant: Die Lücke kann unter bestimmten Voraussetzungen ohne gültige Zugangsdaten ausgenutzt werden – ein klassischer Remote-Angriff auf das Management-Interface. Sicherheitsbeobachter sehen aktuell rund 4.000 verwundbare cPanel/WHM-Instanzen allein in Deutschland, die bereits aktiv angegriffen werden – mit klarem Schwerpunkt auf dem WHM-Management-Interface (Port 2087).
„Ein erfolgreicher Angriff bedeutet: vollständige Kontrolle über den Server – Webseiten, Mail-Systeme, Datenbanken, Backups."
Lagebild Deutschland: ~4.000 Server unter Beschuss
Das ist kein theoretisches Risiko mehr. Aktuelle Telemetrie aus deutschen Netzbereichen zeigt eine laufende Massen-Kampagne gegen cPanel/WHM-Systeme. Hoster, Behörden, MSPs, Mittelstand – alle mit offenem WHM sind Ziel. Und die Angreifer scannen automatisiert rund um die Uhr.
~4.000
attackierte cPanel/WHM-Instanzen in Deutschland
Port 2087
Hauptangriffsvektor (WHM-Management-Interface)
24/7
automatisierte Scan- und Exploit-Wellen
⚠ Wenn dein WHM aus dem Internet erreichbar ist und du heute nicht patchst, ist die Frage nicht ob, sondern wann du in dieser Statistik landest.
Wie gefährlich ist das wirklich?
Extrem. Wer cPanel-Zugriff hat, sitzt nicht vor deiner Infrastruktur – sondern mittendrin. Ein erfolgreicher Angriff ermöglicht:
Webseiten-Übernahme
Defacement, Schadcode-Injektion, SEO-Spam und Umleitung kompletter Domains.
Mail-Manipulation
Übernahme von E-Mail-Konten, BEC-Angriffe, Versand aus deiner Domäne (DKIM/SPF korrekt!).
Kundendaten-Abzug
Datenbanken werden ausgelesen – DSGVO-Meldepflicht innerhalb von 72 Stunden.
Ransomware-Verteilung
Verschlüsselung aller Mandanten auf einem Shared-Host gleichzeitig.
Backup-Sabotage
Lokale Backups werden gelöscht oder manipuliert – Wiederherstellung unmöglich.
Persistenz & Backdoors
Zugriff bleibt auch nach Update und Passwort-Reset bestehen.
Behörden & MSPs im Visier
Aktuelle Berichte zeigen: Die Lücke wird bereits aktiv gegen staatliche und kommunale Server sowie gegen Managed Service Provider ausgenutzt. Auch in Bundesländern wie Sachsen sind Hosting-Strukturen mit cPanel im Einsatz – etwa bei kommunalen Eigenbetrieben, Schulträgern und Wirtschaftsförderern.
DSGVO-Haftungsrisiko
Datenleck → Meldung an LfD innerhalb 72h, Bußgeld bis 4 % Jahresumsatz, Schadensersatzklagen.
Multiplikator-Effekt MSP
Ein kompromittierter MSP-Server bedeutet potenziell Zugriff auf hunderte Kundensysteme.
Wer als Behörde oder Dienstleister cPanel/WHM betreibt, sollte aktuell jeden externen Management-Zugang als potenziell verbrannt behandeln.
Wer ist betroffen?
- ▶Shared-Hosting-Anbieter mit cPanel/WHM auf einer gemeinsamen Server-Plattform.
- ▶Agenturen mit Kundenprojekten, die Reseller-Accounts oder eigene VPS mit cPanel verwalten.
- ▶Unternehmen mit eigenen Servern, die WHM für die Verwaltung mehrerer Domains und Mandanten nutzen.
- ▶On-Prem-Hosting-Umgebungen in Behörden, Stadtwerken und kommunalen IT-Dienstleistern.
- ▶MSPs / Managed Service Provider – aktuell besonders im Visier.
💡 Besonders kritisch: Viele cPanel/WHM-Systeme sind direkt aus dem Internet erreichbar – Port 2083 (cPanel) und 2087 (WHM) sind häufig offen.
Angriffsszenario (realistisch)
Ein Angreifer scannt automatisiert das Internet nach verwundbaren cPanel-Instanzen. Sobald ein Ziel gefunden ist:
- 1
Scan
Massen-Scan auf offene Ports 2083/2087, Fingerprinting der cPanel-Version.
- 2
Exploit
Ausnutzen der Schwachstelle – Zugriff ohne (gültige) Zugangsdaten.
- 3
Persistenz
Anlegen versteckter Accounts, Cron-Jobs, Webshells, SSH-Keys.
- 4
Exfiltration / Verschlüsselung
Datenbanken & Mails abziehen oder Ransomware ausrollen.
👉 Dauer: teilweise unter 5 Minuten.
Was du JETZT tun musst
Update sofort einspielen
Aktuelle cPanel/WHM-Version installieren – ohne Verzögerung, ohne Wartungsfenster-Diskussion.
Admin-Interface einschränken
Ports 2087 (WHM) und 2083 (cPanel) raus aus dem öffentlichen Netz – Firewall & IP-Whitelisting, Zugriff nur per VPN. Port 2087 ist aktuell der Haupt-Einfallsvektor in Deutschland.
WAF / Reverse Proxy
Cloudflare/Imperva oder eigene WAF vor das Management-Interface schalten.
Logs prüfen
Zugriffe auf cPanel/WHM, neue Accounts, geänderte Cron-Jobs seit ~26.04.2026 prüfen.
Kompromittierungs-Check
Webshells, SSH-Keys, ungewöhnliche Prozesse, ausgehende Verbindungen scannen.
Credentials rotieren
Alle Admin-, Reseller-, FTP- und Mail-Passwörter erneuern, MFA erzwingen.
Warum das wieder passiert
„Unser Server steht in Deutschland – das passt schon."
👉 Falsch. Der Standort schützt dich nicht – nur deine Sicherheitsarchitektur.
Wenn dein System keine dieser Bausteine hat, bist du ein offenes Ziel:
- ▶Keine EDR/XDR-Lösung auf Server-Ebene
- ▶Keine Angriffserkennung (SIEM, Verhaltensanalyse)
- ▶Keine Netzwerk-Segmentierung zwischen Web, Mail, Datenbank
- ▶Keine automatisierten Patch-Prozesse
Wer auf reine Perimeter-Sicherheit setzt, braucht zusätzlich Zero-Trust-Ansätze und aktive EDR/XDR-Lösungen.
Wasacon Empfehlung (Real Talk)
„Wer cPanel produktiv betreibt, betreibt eine Multi-Mandanten-Plattform – und braucht entsprechende Sicherheit."
EDR/XDR auf Server-Ebene
Aktive Angriffserkennung am Endpoint, Verhaltensanalyse statt nur Signaturen.
Threat Monitoring 24/7
Auffällige Logins, neue Cron-Jobs, ausgehende Verbindungen werden sofort erkannt.
Zero-Trust Zugriffskonzepte
Management nur per VPN, MFA Pflicht, IP-Whitelisting, kein offenes Admin-Interface.
Automatisierte Patch-Prozesse
cPanel-Updates werden geplant, getestet und überwacht – nicht irgendwann später.
Du weißt nicht, ob dein Server betroffen ist?
Wir prüfen deine Systeme innerhalb von 24 Stunden – ehrliche Einschätzung, klare Sofortmaßnahmen, keine FUD-Verkaufsshow.
Häufige Fragen
Mehr aus der Schwachstellen- & Patch-Themenwelt
Aktuelle CVEs, Hosting- und Perimeter-Themen aus dem Wasacon-Blog.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
