Bug in Management-Software:
Schon 40.000 Server gehackt

Eine kürzlich entdeckte Zero-Day-Sicherheitslücke in der weit verbreiteten Server-Verwaltungssoftware cPanel sorgt aktuell für gravierende Probleme. Über 40.000 Server sollen darüber bereits gehackt worden sein.

Exploit bringt Admin-Rechte

Im Zentrum der Angriffe steht die Sicherheitslücke CVE-2026-41940 in cPanel & WebHost Manager (WHM). Diese ermöglicht es Angreifern, ohne vorherige Authentifizierung administrative Zugriffsrechte zu erlangen. Dadurch können sie komplette Serversysteme übernehmen und auf sämtliche darauf gehosteten Webseiten, Datenbanken und Konfigurationen zugreifen.

Die Schwachstelle wurde erst am 28. April öffentlich gemacht, war jedoch vermutlich bereits seit Ende Februar aktiv ausgenutzt worden. Besonders nach der Veröffentlichung technischer Details durch die Sicherheitsfirma WatchTowr nahm die Zahl der Angriffe deutlich zu. Die Angreifer nutzen dabei manipulierte Autorisierungs-Header, um schädliche Parameter in Sitzungsdateien einzuschleusen und sich anschließend mit administrativen Rechten anzumelden.


Bereits in der vergangenen Woche hatte Rapid7 darauf hingewiesen, dass rund 1,5 Millionen cPanel-Instanzen öffentlich im Internet erreichbar sind. Die Shadowserver Foundation registrierte zeitweise etwa 44.000 eindeutige IP-Adressen, die aktiv nach verwundbaren Systemen suchten oder Angriffe durchführten. Diese Zahl ist inzwischen zwar gesunken, dennoch bleibt die Bedrohungslage angespannt. Besonders viele betroffene Systeme befinden sich in den USA, gefolgt von Frankreich und den Niederlanden.

Updates dringend nötig

Die US-amerikanische Cybersicherheitsbehörde CISA hat die Schwachstelle inzwischen in ihren Katalog aktiv ausgenutzter Sicherheitslücken aufgenommen und Behörden aufgefordert, innerhalb von vier Tagen entsprechende Updates einzuspielen.

Betroffen sind nahezu alle cPanel-Versionen ab 11.40. Sicherheitsupdates stehen inzwischen für mehrere Versionen bereit. Experten raten dringend dazu, diese Patches umgehend zu installieren und Systeme auf mögliche Kompromittierungen zu überprüfen. Andernfalls könnten Angreifer langfristig Zugriff behalten und erheblichen Schaden anrichten.


Siehe auch: