Die drei neuen Schwachstellen im Überblick
Zwei der drei Lücken erreichen einen CVSS-Wert von 8.8 – im roten „High"-Bereich, knapp unter kritisch. Sie ermöglichen unter realen Bedingungen Remote Code Execution und Privilege Escalation.
Fehlende Pfad-Validierung in feature::LOADFEATUREFILE adminbin – relative Pfade machen beliebige Dateien world-readable.
Unautorisiertes Auslesen sensibler Dateien (Configs, Tokens, Schlüssel).
create_user-API validiert den plugin-Parameter unzureichend – Angreifer können beliebigen Perl-Code einschleusen.
Vollständige Code-Ausführung auf dem Hosting-System sobald ein Account-Zugang existiert.
Unsichere Symlink-Behandlung erlaubt chmod auf beliebige Dateien.
Rechteausweitung bis Root, Denial-of-Service, Kompromittierung anderer Mandanten.
Score-Skala nach CVSS: 9–10 kritisch, 7–8.9 hoch, 4–6.9 mittel.
So läuft die Angriffskette ab
Besonders gefährlich ist CVE-2026-29202: Sobald ein Angreifer Zugriff auf irgendeinen Account besitzt – über kompromittierte Zugangsdaten, schwache Passwörter oder ein vorgelagertes Phishing – kann daraus binnen Minuten vollständige Code-Ausführung auf dem Hosting-System werden.
Bots scannen das Internet automatisiert nach offenen WHM-Ports (2086/2087) und Shared-Hosting-Panels.
Schwache Passwörter, geleakte Zugangsdaten oder Phishing verschaffen einen Standard-Account.
Über die ungeschützte create_user-API wird Perl-Code in den plugin-Parameter eingeschleust.
Code-Ausführung kombiniert mit chmod-Symlink-Trick führt zu Root und Mandanten-Übernahme.
cPanel-Server stehen seit der Auth-Bypass-Lücke CVE-2026-41940 weltweit unter Dauerbeschuss. Bots scannen Hostingprovider, Reseller-Systeme, WHM-Portale und MSP-Infrastruktur automatisiert – auch „kleine" CVEs werden in Stunden operationalisiert.
Welche Versionen sind betroffen?
cPanel hat Patches für sämtliche unterstützten Branches veröffentlicht – von der aktuellen 11.136-Linie bis zurück zu 11.86. Für CentOS 6 / CloudLinux 6 gibt es zusätzlich den Direkt-Build v110.0.114, WP Squared erhält 11.136.1.10.
Mit der Maus über einen Branch fahren zeigt den Mindest-Build, ab dem alle drei CVEs gepatcht sind. End-of-Life-Versionen sind besonders kritisch.
Sofortmaßnahmen für Administratoren
cPanel empfiehlt das forcierte Update mit /scripts/upcp --force. Wer Auto-Updates deaktiviert hat, muss jetzt manuell nachziehen.
2086/2087 nur über VPN/IP-Allowlist erreichbar machen, Bruteforce-Schutz aktivieren.
Letzte Anmeldungen, neue API-Tokens und ungewöhnliche Quell-IPs verifizieren.
Neu angelegte cPanel-Accounts, Plugins und Perl-Skripte gegen den Soll-Stand prüfen.
In /home, /usr/local/cpanel und /var/cpanel auf abweichende chmod-Werte und Symlinks scannen.
Alle aktiven WHM-/cPanel-Sessions beenden, Passwörter und API-Tokens rotieren.
/usr/local/cpanel/logs/access_log und login_log auf verdächtige create_user-Aufrufe filtern.
Nach dem Patch zusätzlich gezielt nach IOCs suchen – ungewöhnliche Plugin-Namen, neue Cron-Jobs, fremde SSH-Keys, ausgehende Verbindungen zu unbekannten C2-Domains.
Besonders gefährdet: Shared Hosting
Shared-Hosting-Umgebungen sind aktuell eines der attraktivsten Ziele überhaupt. Ein erfolgreicher Angriff auf einen einzigen cPanel-Server kompromittiert nicht nur eine Website – sondern potenziell hunderte Kundensysteme, Mailserver, Datenbanken, Backups und DNS-Konfigurationen.
Gerade kleinere Hostinganbieter unterschätzen häufig fehlendes Monitoring, fehlende Mandanten-Segmentierung, unsichere Plugins, alte Perl-Komponenten und schwache Account-Isolation.
Wasacon-Perspektive
Viele Unternehmen denken: „Unsere Website liegt bei einem deutschen Hoster – also ist alles sicher." Das ist ein gefährlicher Irrtum. Ein Serverstandort in Deutschland schützt nicht vor RCE, kompromittierten Panels, Session-Hijacking, Privilege Escalation, Malware, Ransomware oder Datenabfluss. Sicherheit hängt ab von Patch-Management, Monitoring, Härtung, Zugriffskontrolle, Netzwerksegmentierung, EDR/XDR, Backup-Strategien und Incident-Response. Wer cPanel oder WHM betreibt, sollte 2026 nicht mehr in Tagen denken – sondern in Stunden.
FAQ
Hosting-Server absichern lassen
Wasacon prüft cPanel-/WHM-Server, härtet die Konfiguration und integriert sie in unsere EDR/XDR- und Monitoring-Stacks – speziell für KMU und Hostinganbieter im Kreis Heinsberg.
