Kritiek lek in Acronis-backupplugin voor cPanel actief misbruikt, CISA-deadline is vandaag

Acronis heeft een beveiligingslek in zijn back-upplugin voor cPanel en WHM gedicht dat al wordt misbruikt bij gerichte aanvallen. Het gaat om CVE-2026-87886, een kwetsbaarheid met een CVSS-score van 7,8 die is ontstaan door onveilig ingestelde bestandsrechten. Dat meldt The Hacker News, en het Amerikaanse cyberagentschap CISA bevestigt de actieve misbruik door de kwetsbaarheid op te nemen in zijn catalogus van bekend misbruikte kwetsbaarheden, kortweg de KEV-catalogus.

Waar gaat het mis

De kwetsbaarheid zit in de Acronis Backup-plugin voor cPanel en WHM op Linux, in alle versies vóór build 1.9.3.1021. Acronis heeft het lek verholpen in hotfix 1.9.3 HF3. Ook de vergelijkbare Acronis Backup-extensie voor Plesk op Linux is kwetsbaar, in versies vóór build 1.8.11.638, al zijn daar volgens de berichtgeving vooralsnog geen tekenen van actief misbruik gezien.

Door de onveilige bestandsrechten kan een aanvaller die al een laag geprivilegieerd account op de server heeft, zijn rechten verhogen tot een hoger niveau. Daarmee komt in potentie de hele server binnen bereik: een aanvaller kan bij gevoelige gegevens van andere klanten op dezelfde hostingomgeving of het systeem verstoren. Voor de aanval is geen interactie van een gebruiker nodig, alleen een bestaand toegangspunt op de server.

CISA eist patch vóór vandaag

CISA voegde CVE-2026-87886 op 16 september toe aan de KEV-catalogus. Voor Amerikaanse federale overheidsinstanties (FCEB) geldt daardoor een verplichte patchdeadline van 19 september 2026, vandaag dus. Die deadline geldt formeel alleen voor Amerikaanse overheidsdiensten, maar een plek in de KEV-catalogus is voor beveiligingsonderzoekers wereldwijd een duidelijk signaal: dit lek wordt niet incidenteel, maar doelgericht ingezet bij aanvallen.

Waarom dit relevant is voor gedeelde hosting

Acronis-backupsoftware wordt veel gebruikt door hostingproviders die cPanel of WHM draaien, een veelgebruikte beheeromgeving voor gedeelde hosting. Juist op dat soort gedeelde servers, waar meerdere klanten naast elkaar draaien, is een kwetsbaarheid als deze extra vervelend. Krijgt een aanvaller eenmaal een voet tussen de deur bij één account, dan kan een lek in de backupplugin de deur openzetten naar de rest van de server.

We schreven eerder al over een vergelijkbaar risico bij een kritiek lek in LiteSpeed Enterprise, waarmee een gewone hostingklant rootrechten op een gedeelde server kon krijgen. Dit soort lekken in de fundering van hostingomgevingen komt vaker voor dan de meeste websitebeheerders beseffen, juist omdat de software op de achtergrond draait en zelden actief in de gaten wordt gehouden door de eindgebruiker.

Wat je nu kunt doen

Als je hostingpartij of serverbeheerder Acronis Backup gebruikt op een cPanel- of WHM-omgeving, is het zaak om te controleren of de hotfix 1.9.3 HF3 al is toegepast. Beheer je een Plesk-server met de Acronis-extensie, controleer dan of die op minimaal build 1.8.11.638 draait. Voor de meeste ondernemers met een website op gedeelde hosting geldt dat dit soort patches door de hostingpartij wordt uitgerold, maar het is geen kwaad idee om je hostingprovider hier actief naar te vragen, zeker als je gevoelige klantgegevens verwerkt.

Dit soort incidenten laat weer zien hoe belangrijk het is dat niet alleen je website, maar ook de laag daaronder, van thema tot plugins tot de hostingomgeving zelf, up-to-date blijft. Bij website-onderhoud en beheer van Infotrends houden we dit soort kwetsbaarheden voor je in de gaten en zorgen we dat updates op tijd worden doorgevoerd, zodat een lek in software van derden niet onnodig lang openstaat. Meer beveiligingsnieuws en achtergrond lees je op onze nieuwspagina.

Bronnen: The Hacker News en SecurityWeek.