CVE-2026-48172: Root-Übernahme im LiteSpeed cPanel Plugin
Ein kleines Zusatzplugin. Auf tausenden cPanel-Servern installiert. Und plötzlich reicht es aus, um komplette Linux-Server zu übernehmen. Sicherheitsforscher melden aktive Angriffe „in the wild" – die maximale CVSS-Bewertung spricht eine deutliche Sprache.
Es ist genau die Art von Sicherheitslücke, vor der Hosting-Anbieter seit Jahren Angst haben: Ein kleines Zusatzplugin. Kaum beachtet. Auf tausenden cPanel-Servern installiert. Und plötzlich reicht genau dieses Plugin aus, um komplette Linux-Server zu übernehmen.
Mit CVE-2026-48172 steht aktuell eine der gefährlichsten Hosting-Schwachstellen des Jahres im Fokus. Betroffen ist das LiteSpeed User-End cPanel Plugin – eine Erweiterung, die in vielen Hosting-Umgebungen aktiv war, ohne dass Administratoren ihr besondere Aufmerksamkeit schenkten.
Vollständige Systemübernahme möglich – CVSS 10.0, aktiv ausgenutzt, automatische Plugin-Entfernung durch cPanel als Notbremse.
Was ist CVE-2026-48172?
CVE-2026-48172 ist eine kritische Schwachstelle (CVSS 10.0) im LiteSpeed User-End cPanel Plugin in Versionen vor 2.4.5. Eine fehlerhafte Privilegienzuweisung (CWE-266) rund um Redis-Funktionen erlaubt Angreifern eine Privilege Escalation bis zu Root-Rechten. Die Lücke wird aktiv ausgenutzt; cPanel entfernt das verwundbare Plugin teilweise automatisch.
Die Lücke in Zahlen
Was Angreifer mit Root-Rechten tun können
Sobald Root-Zugriff erreicht wird, gehört dem Angreifer praktisch der komplette Server – inklusive aller Kunden im Shared-Hosting-Setup.
Webseiten manipulieren
Defacement, SEO-Spam, Malware-Einspeisung in jede gehostete Domain.
Kundendatenbanken kopieren
Massenexfiltration aller MySQL-/MariaDB-Datenbanken auf dem Host.
SSH-Keys auslesen
Zugriff auf private Schlüssel und damit auf weitere verbundene Systeme.
Webshells & Malware nachladen
Persistente Hintertüren, Cryptominer und Ransomware-Loader installieren.
Backups sabotieren
Lokale Backups löschen oder verschlüsseln, bevor Erpressung beginnt.
E-Mail-Server missbrauchen
Spam-, Phishing- und BEC-Kampagnen über sauber gelistete IP-Adressen.
Besonders kritisch ist die Shared-Hosting-Problematik: Ein einziger kompromittierter Benutzeraccount kann ausreichen, um potenziell den gesamten Host und damit alle Kunden zu übernehmen.
Warum die Lage eskaliert
Normalerweise erscheinen CVEs – und Tage oder Wochen später folgen erste Exploits. Hier war es anders: Mehrere Quellen berichten, dass die Schwachstelle bereits aktiv ausgenutzt wurde, noch bevor viele Administratoren überhaupt wussten, dass das Plugin existiert.
cPanel selbst reagierte ungewöhnlich drastisch: Das Unternehmen begann damit, das betroffene Plugin während nächtlicher Updates automatisch zu entfernen oder zu deaktivieren.
Wenn Hersteller anfangen, Plugins ungefragt aus Systemen zu werfen, weiß man, wie ernst die Lage intern eingeschätzt wird.
Technischer Hintergrund
Nach bisherigen Erkenntnissen hängt die Schwachstelle mit einer fehlerhaften Privilegienzuweisung rund um Redis-Funktionen im Plugin zusammen. Mehrere Sicherheitsdatenbanken nennen CWE-266 – Incorrect Privilege Assignment als Ursache.
In den Logs taucht dabei häufig folgender API-Aufruf auf:
Betroffene & sichere Versionen
Das LiteSpeed WHM Plugin selbst ist nicht betroffen. LiteSpeed veröffentlichte mehrere Updates und führte zusätzliche Sicherheitsprüfungen durch.
Sofortmaßnahmen für Administratoren
Plugin-Version prüfen
Sofort kontrollieren, ob das LiteSpeed User-End cPanel Plugin installiert und in welcher Version es aktiv ist.
Auf 2.4.5+ aktualisieren oder entfernen
Alles unter 2.4.5 gilt als kritisch verwundbar. Wer das Plugin nicht zwingend braucht: deinstallieren.
Logs auf redisAble prüfen
Mit grep nach dem API-Aufruf cpanel_jsonapi_func=redisAble in den cPanel-Logs suchen und Treffer-IPs analysieren.
SSH-Keys & Passwörter rotieren
Bei möglichem Root-Zugriff muss von vollständiger Kompromittierung ausgegangen werden – alle Zugänge erneuern.
Webshells aufspüren
/tmp, /var/tmp, Upload-Verzeichnisse und versteckte PHP-Dateien auf verschleierten Code prüfen.
Backups verifizieren
Nicht nur ob Backups existieren – sondern ob sie sauber und unverändert sind. Offline-Backup einplanen.
Das größere Problem hinter dieser Lücke
CVE-2026-48172 zeigt erneut ein massives Problem moderner IT-Infrastrukturen: Die gefährlichsten Angriffsflächen sind oft nicht die offensichtlichen Systeme. Sondern Plugins, Erweiterungen, Zusatzmodule und kleine Automatisierungsfunktionen.
Genau dort fehlt häufig Asset-Management, Patch-Überwachung, Sicherheitsmonitoring und Verantwortlichkeit. Viele Unternehmen wissen nicht einmal vollständig, welche Komponenten produktiv laufen – Angreifer wissen das inzwischen ganz genau.
Wasacon-Perspektive
Für KMU im Kreis Heinsberg, die eigene Webseiten, Shops oder Mailsysteme bei Shared-Hosting-Anbietern liegen haben, gilt: Fragen Sie Ihren Hoster aktiv, ob das LiteSpeed User-End Plugin auf den Servern aktiv war und ob auf 2.4.5+ gepatcht wurde. Ein kurzer Anruf reicht.
Wer eigene Server betreibt, sollte das Plugin sofort prüfen, Logs auswerten und sauberes EDR/XDR-Monitoring einsetzen, das verdächtige Root-Prozesse, neue Cronjobs und Webshell-typische Dateischreiber erkennt – bevor aus einer einzelnen kompromittierten Site eine Massenkompromittierung wird.
Häufige Fragen (FAQ)
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Mehr aus dem Server- & Hosting-Sicherheits-Cluster
Weitere kritische Schwachstellen rund um cPanel, Linux-Server und Hosting-Infrastruktur, die als Einfallstor für vollständige Übernahmen dienen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
