Wie eine standardmäßige Domain-Parking-Funktion jedem Benutzer Root-Zugriff ermöglichte

Shared Hosting basiert auf dem grundlegenden Versprechen, dass jeder Benutzer in einem sicheren, isolierten Container lebt. Wir gehen davon aus, dass ein Nachbar auf demselben physischen Server nicht in unsere Dateien spähen oder, schlimmer noch, die gesamte Maschine übernehmen kann. Diese Annahme stürzte am 27. August 2026 in sich zusammen, als cPanel eine kritische Schwachstelle in der Art und Weise bestätigte, wie seine Software Domain-Parking und Addon-Domains verarbeitet. Diese Schwachstelle, registriert unter CVE-2026-65643, ist ein architektonisches Paradoxon, bei dem eine routinemäßige Verwaltungsaufgabe zu einem direkten Pfad für Root-Privilegien wird.

Ich habe jahrelang als Systemadministrator gearbeitet, bevor ich in den Sicherheitsjournalismus gewechselt bin. Ich erinnere mich an die spezifische Angst bei der Verwaltung von Tausenden von Konten auf einem einzigen Cluster. Man vertraut darauf, dass das Control Panel die Grenzen durchsetzt. Wenn ein Benutzer aus seinem Home-Verzeichnis heraustreten kann, ist das gesamte Sicherheitsmodell gescheitert. CVE-2026-65643 ist dieses Scheitern in seiner buchstäblichsten Form. Es ermöglicht einem authentifizierten Kontoinhaber, beliebige Dateien auf dem Server zu erstellen. Da der Prozess, der diese Domains verarbeitet, oft mit erhöhten Berechtigungen arbeitet, ist das Ergebnis eine vollständige Code-Ausführung als Root-Benutzer.

Die Architektur eines Shared-Hosting-Zusammenbruchs

Die Schwachstelle existiert in der Logik, die geparkte und Addon-Domains innerhalb von cPanel und WebHost Manager (WHM) verarbeitet. Wenn ein Benutzer eine Domain hinzufügt, muss das System Konfigurationsdateien aktualisieren und Verzeichnisstrukturen erstellen. In diesem speziellen Fall versagt die Validierungslogik dabei, die Erstellung von Dateien in sensiblen Bereichen des Dateisystems zu verhindern. Dies ist kein komplexer Exploit, der fortgeschrittene Techniken zur Speicherbeschädigung erfordert. Es handelt sich um einen Logikfehler, bei dem das System Anweisungen folgt, die es hätte ablehnen müssen.

Aus Risikoperspektive ist dies ein Albtraum für Shared-Hosting-Anbieter. Ein Angreifer benötigt für den Anfang keinen Zero-Day-Exploit oder eine ausgeklügelte Phishing-Kampagne. Er benötigt lediglich ein gültiges, einfaches Hosting-Konto. Sobald er diesen Fuß in der Tür hat, kann er die Addon-Domain-Funktion nutzen, um ein bösartiges Skript in ein Verzeichnis abzulegen, in dem das System es als Root ausführt. Dies gibt ihm die Schlüssel zu jedem anderen Konto auf dem Server, jeder Datenbank und jeder verschlüsselten E-Mail, die auf der Festplatte gespeichert ist.

Bewertung der Angriffsfläche und Support-Zweige

cPanel hat Patches für alle unterstützten Versionen veröffentlicht, aber die Liste der betroffenen Zweige wirft Fragen auf. Das Unternehmen nannte die Versionen 11.110.0.141, 11.134.0.53, 11.136.0.37, 11.138.0.2 und 11.138.1.7 als die minimal sicheren Builds. Patches, die im Juli für andere Fehler veröffentlicht wurden, enthielten jedoch die Zweige 11.118 und 11.126. Das Fehlen dieser Zweige in der Benachrichtigung vom 27. August deutet darauf hin, dass sie möglicherweise das Ende ihrer Support-Lebensdauer erreicht haben. Administratoren, die diese Versionen ausführen, sollten ihren Status sofort überprüfen.

Mit Blick auf die Bedrohungslandschaft ist dieser Vorfall Teil eines größeren Trends von Schwachstellen in Control Panels. Anfang dieses Jahres fügte der CISA-Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) zwei Fehler im LiteSpeed-cPanel-Plugin hinzu. Einer davon, CVE-2026-48172, ermöglichte ebenfalls eine Rechteausweitung auf Root-Ebene. Das cPanel-Ökosystem ist ein massives Ziel, da es der De-facto-Standard für die Webhosting-Branche ist. Wenn ein Fehler wie CVE-2026-65643 auftritt, sind Millionen von Websites gleichzeitig betroffen.

Die hinterlassene forensische Spur

Das Patchen eines Servers stoppt die Blutung, sagt Ihnen aber nicht, ob der Dieb bereits im Haus ist. cPanel hat keine spezifischen Kompromittierungsindikatoren (Indicators of Compromise) für diesen Fehler bereitgestellt. Im Falle einer Sicherheitsverletzung müssen forensische Analysten nach Artefakten suchen, die während der Exploit-Phase erstellt wurden. Hinter den Kulissen hinterlässt die Erstellung beliebiger Dateien Spuren in den Apache-Error-Logs und den cPanel-Access-Logs. Als ein ähnlicher Fehler Anfang dieses Monats Phusion Passenger betraf, empfahl cPanel die Verwendung von grep, um die Protokolle nach spezifischen Anforderungsmustern zu durchsuchen.

Plesk, ein Schwesterprodukt von cPanel, gab seinen Benutzern während eines kürzlichen ähnlichen Vorfalls detailliertere Ratschläge. Sie schlugen vor, die Datei /etc/ld.so.preload auf unerwartete Einträge zu prüfen. Diese Datei ist ein häufiges Ziel für Angreifer, die Persistenz auf einem Linux-System aufrechterhalten wollen. Wenn hier eine bösartige Bibliothek geladen wird, kann sie Systemaufrufe abfangen und die Anwesenheit des Angreifers vor Standard-Monitoring-Tools verbergen. Abgesehen vom Patchen muss ein Administrator davon ausgehen, dass jeder Server mit nicht vertrauenswürdigen Benutzern ein Ziel war.

Proaktive Maßnahmen zur Schadensbegrenzung

Für Server, die für automatische tägliche Updates konfiguriert sind, traf der Fix ohne manuelles Eingreifen ein. Dies ist der eine Vorteil des modernen, zentralisierten Update-Modells. Viele Unternehmensumgebungen deaktivieren jedoch automatische Updates, um Dienstunterbrechungen zu vermeiden. Für diese Administratoren ist der Befehl /scripts/upcp --force der einzige Weg, um sicherzustellen, dass der Server nicht mehr ausnutzbar ist. Dies sollte sofort über eine Root-SSH-Sitzung ausgeführt werden.

Ein Detail bleibt in der offiziellen Empfehlung unklar. cPanel warnte zuvor, dass ein Exim-Fehler eine Rechteausweitung von Team-User-Unterkonten ermöglichen könnte. Die Benachrichtigung vom 27. August spezifiziert nicht, ob diese Unterkonten auch die Addon-Domain-Schwachstelle ausnutzen können. In einer Zero-Trust-Umgebung sollten Sie davon ausgehen, dass jedes Konto mit der Berechtigung zur Verwaltung von Domains ein potenzieller Vektor ist. Die Einschränkung, wer Domains hinzufügen darf, ist eine logische Gegenmaßnahme, bis der Patch verifiziert ist.

Datenintegrität und die CIA-Triade

Wenn wir dies durch die CIA-Triade bewerten, ist die Auswirkung auf Integrität und Vertraulichkeit total. Ein Root-Benutzer kann jede Datei lesen (Vertraulichkeit/Confidentiality) und jede Datenbank ändern (Integrität/Integrity). Er kann auch das gesamte System herunterfahren oder Backups löschen (Verfügbarkeit/Availability). Aus diesem Grund ist das Fehlen eines CVSS-Scores im CVE-Datensatz mit Stand vom 28. August überraschend. Angesichts der Beschreibung erfüllt dieser Fehler jedes Kriterium für einen Score von 9.8 oder 10.0.

Ich habe viele Administratoren gesehen, die Control-Panel-Updates als niedrige Priorität behandeln, weil sie eine Firewall haben. Aber eine Firewall ist ein veralteter Burggraben, wenn der Angreifer bereits als legitimer Kunde innerhalb der Mauern ist. Der Netzwerkperimeter schützt Sie nicht vor einem Benutzer, der über einen gültigen Login für cPanel verfügt. In diesem Szenario wird die Software selbst zum digitalen Trojanischen Pferd.

Sofortmaßnahmen für Administratoren

Sicherheit ist ein reaktives Spiel, aber Ihre Reaktionszeit bestimmt das Ausmaß des Schadens. Wenn Sie einen cPanel-Server verwalten, besteht Ihr erster Schritt darin, Ihre aktuelle Version zu überprüfen. Sie finden diese im WHM unter Serverkonfiguration. Wenn Sie nicht auf einer der oben genannten gepatchten Versionen sind, betreiben Sie einen Server, auf dem jeder Kunde ein potenzieller Root-Benutzer ist.

1. Melden Sie sich als Root über SSH an Ihrem Server an.
2. Führen Sie das Update-Skript manuell aus, um den täglichen Zeitplan zu umgehen: /scripts/upcp --force.
3. Überprüfen Sie die Datei /etc/ld.so.preload auf Bibliotheken, die Sie nicht kennen.
4. Überprüfen Sie Ihre Apache-Logs auf ungewöhnliche Aktivitäten im Zusammenhang mit Domain-Hinzufügungen in den letzten 48 Stunden.
5. Bestätigen Sie, dass alle Team-User-Konten nur die Berechtigungen haben, die sie unbedingt benötigen.

Quellen: cPanel Security Advisories, CISA Known Exploited Vulnerabilities Catalog, NIST National Vulnerability Database, Plesk Technical Support Documentation, MITRE ATT&CK Framework.

Haftungsausschluss: Dieser Artikel dient ausschließlich Informations- und Bildungszwecken und ersetzt kein professionelles Cybersecurity-Audit oder einen Incident-Response-Service.