LONDON (IT BOLTWISE) – cPanel und WebHost Manager (WHM) schließen mit einem Patch mehrere Schwachstellen, die über das Parken und Hinzufügen von Domains zu beliebigen Dateien auf dem Server führen können. In der Mitteilung beschreibt der Hersteller als Folge eine Codeausführung mit Root-Rechten und damit vollständige Kontrolle über die betroffene Instanz. Betroffen sind alle unterstützten Versionen, der Fix erfolgt über konkret benannte Build-Nummern für mehrere 11.x-Branches. Eine Zwischenmaßnahme nennt der Hersteller nicht, zudem bleibt unklar, ob die Lücke bereits ausgenutzt wurde.
cPanel hat für cPanel & WHM einen als kritisch eingestuften Sicherheitsfehler adressiert, der sich in bestimmten Hosting-Abläufen umspielen lässt: Wer in einer Authentifizierungssituation Domains parken oder als Addon einbinden darf, kann nach Herstellerangaben beliebige Dateien auf dem Server erzeugen. Die Schwachstelle trägt die Kennung CVE-2026-65643 und zielt damit nicht auf einen einzelnen Endpunkt, sondern auf einen zentralen Mechanismus der Webhosting-Verwaltung. In der Kundenbenachrichtigung heißt es, dass eine erfolgreiche Ausnutzung zu einer Codeausführung als Root führt, wodurch ein Angreifer die komplette Serverkontrolle übernehmen kann.
Technisch ist dieser Einstieg deshalb so gefährlich, weil er an eine legitime, im Alltag häufig vergebene Berechtigung anknüpft: Im Betrieb werden Rollen im Web-Administration-Umfeld nicht nur für Administratoren, sondern auch für weniger privilegierte Konten genutzt. Wenn ein Konto „add parked or addon domains“ durchführen darf, öffnet die Kombination aus Domain-Handling und Dateierzeugung eine direkte Angriffsfläche. Der Hersteller beschreibt die Wirkung bewusst als „Code execution as the root user“, also nicht nur als Einschränkung innerhalb eines Webverzeichnisses. Genau dieser Übergang von Dateimanipulation zu Root-Rechten macht den Patch in Shared-Hosting-Setups besonders dringend, weil ein einzelner kompromittierter Account schnell die gesamte Plattform nach sich ziehen kann.
Für die Behebung hat cPanel mehrere gepatchte Build-Versionen veröffentlicht, die sich über unterschiedliche 11.x-Branches verteilen. Zu den genannten Fixständen zählen 11.110.0.141 oder später, 11.134.0.53 oder später, 11.136.0.37 oder später sowie 11.138.0.2 oder später und 11.138.1.7 oder später. In derselben Auflistung taucht der Begriff „WP Squared“ bei den betroffenen/angepassten Builds auf; gleichzeitig nennt die Benachrichtigung nicht „DNSOnly“, obwohl in früheren Kontexten ähnliche Komponenten eine Rolle gespielt haben. Zudem verweist cPanel darauf, dass in früheren Updates bereits mehrere getrennte Schwachstellen aus dem Juli adressiert wurden, wobei die in jenen Advisorys genannten Korrekturen auch die 11.118- und 11.126-Branches betrafen; ob diese Zweige weiterhin als unterstützt gelten, wird in der Augustliste nicht abschließend geklärt.
Beim Deployment bleibt der operative Ablauf klar: Server mit automatischen täglichen Updates erhalten den gepatchten Build laut Advisory automatisch. Administrierende können die Aktualisierung aber auch sofort selbst durchführen, indem sie sich als root am Server anmelden und dann „/scripts/upcp –force“ ausführen. Alternativ lässt sich das Update in WHM über „Home > cPanel > Upgrade to Latest Version“ installieren; anschließend kann der installierte Stand unter „Server Configuration > Update Preferences“ verifiziert werden. Eine zusätzliche praktische Konsequenz: Wer noch auf einem End-of-Life-Stand läuft, muss zuerst auf eine unterstützte Version wechseln, um überhaupt in den Fix-Lieferumfang zu fallen. Genau solche Abhängigkeiten zwischen Patch-Fähigkeit und Support-Status sorgen in der Praxis oft dafür, dass Sicherheitsmaßnahmen zeitlich versetzt ankommen.
Ergänzend ordnet sich die Meldung in die breitere Lage von Hosting-spezifischen Privilege-Escalation-Fehlern ein. Eine Zwischenmaßnahme wird in der Kundenbenachrichtigung nicht angeboten, und es gibt auch keinen einfachen Weg, wie ein Administrator zuverlässig prüfen kann, ob ein Server bereits kompromittiert wurde. Ein Abgleich über bekannte Ausnutzungen fällt ebenso gemischt aus: Die Schwachstelle CVE-2026-65643 ist zum Zeitpunkt des genannten Checks nicht im CISA-KEV-Katalog als „known exploited“ aufgeführt. Gleichzeitig enthält der Katalog bereits mehrere cPanel-nahe Lücken in Plugins, darunter eine Privilege-Eskalation im LiteSpeed-cPanel-Plugin (CVE-2026-48172) sowie eine Symlink-Folge-Schwäche (CVE-2026-54420), die insbesondere für Shared-Hosting-Setups mit CloudLinux- oder CageFS-Umgebungen und bestehendem FTP oder Webshell-Zugang relevant ist. Außerdem listet der Katalog CVE-2026-41940, eine Authentifizierungsumgehung mit dokumentiertem Einsatz in Ransomware-Kampagnen; die Signalwirkung für Betreiber ist damit eindeutig: Auch wenn diese konkrete CVE nicht gelistet ist, ist das Risiko in der Plattformlandschaft hoch genug, um harte Patch-Fenster zu priorisieren.
Dass man zusätzlich auf Spuren achten muss, betonen auch verwandte Ökosystem-Teile rund um cPanel und Komponenten wie Passenger. cPanel verweist etwa in einem separaten Passenger-Kontext auf einen Suchbefehl zum Durchgreppen des Apache-Fehlerlogs nach Indikatoren einer Ausnutzung, allerdings mit der Einschränkung, dass es nur Server betrifft, auf denen ein betroffener Passenger-Package installiert wurde und nicht Default-Installationen. Plesk, das von WebPros parallel zu cPanel entwickelt wird, hat seinerseits am 14. August 2026 eine Ergänzung veröffentlicht, die mit einem fünfteiligen Check beginnt, der unter anderem unerwartete Einträge in „/etc/ld.so.preload“ adressiert. Der Passenger-Hersteller hat außerdem am 18. August 2026 mit „Passenger 6.2.0“ einen Fix für eine Watchdog-API-Schwachstelle geliefert, für die es keine CVE-Zuordnung gibt; zugleich heißt es, man habe Ausnutzung in freier Wildbahn bei einem Shared-Hosting-Anbieter beobachtet. Für Administratoren bedeutet das: Selbst wenn eine konkrete CVE noch nicht als ausgenutzt markiert ist, sollte man Incident-Suche und Patch-Planung als Paket begreifen.
In der Praxis verschiebt diese Kombination aus „Root-Codeausführung möglich“ und „keine verifizierbare Kompromissprüfung“ die organisatorische Priorität: Teams sollten nicht nur das Update sofort einspielen, sondern auch die Berechtigungen für Konten mit Domain-Verwaltung sauber auditieren. Das betrifft insbesondere Umgebungen, in denen Reseller oder Team-Accounts rollenbasiert geparkt/Addon-Domains verwalten dürfen; die Mitteilung geht auf Team User sub-Accounts nicht eindeutig ein, was die Abgrenzung in individuellen Setups erschwert. Ergänzend lohnt es sich, Update- und Deployment-Mechanismen zu testen, damit „/scripts/upcp –force“ oder der WHM-Weg in der jeweiligen Infrastruktur wirklich zuverlässig funktioniert und nachweisbar den gewünschten Build-Stand erreicht. So reduziert sich das Risiko nicht nur für die aktuelle CVE, sondern auch für die typischen Folgeprobleme, die bei Hosting-Plattformen häufig durch verspätete Patch-Zyklen und unklare Support-Abdeckung entstehen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "cPanel-Fehler CVE-2026-65643: Root-Codeausführung über geparkte und Addon-Domains möglich" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "cPanel-Fehler CVE-2026-65643: Root-Codeausführung über geparkte und Addon-Domains möglich" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »cPanel-Fehler CVE-2026-65643: Root-Codeausführung über geparkte und Addon-Domains möglich« bei Google Deutschland suchen, bei Bing oder Google News!