LONDON (IT BOLTWISE) – cPanel hat drei Sicherheitslücken in seinen CalDAV/CardDAV- und WP-Toolkit-Komponenten geschlossen, die ausgehend von einem eingeloggten Account zu weitreichenden Rechten führen können. Eine Lücke erlaubt unter bestimmten Bedingungen Codeausführung mit Root-Rechten und damit vollständige Kontrolle über den Server. Eine zweite Schwachstelle im WP Toolkit kann dazu führen, dass ein Account Datenbanken anderer Konten ändern kann. Zusätzlich besteht ein Problem, das lokalen Nutzern das Auslesen fremder Kalender- und Kontaktinhalte ermöglicht.
Bei Hosting-Plattformen entscheidet oft nicht der „Perimeter“, sondern die Trennung zwischen Kundenkonten. Genau dort setzt eine neue Reihe von Schwachstellen in cPanel an: Laut Anbieterangaben betrifft sie die CalDAV- und CardDAV-Dienste sowie eine Komponente rund um die WordPress-Administration über das WP Toolkit. Die Brisanz liegt weniger in einer einzelnen Bug-Klasse als in der möglichen Kaskade: Auf Shared-Hosting-Systemen kann bereits ein gültiger Account genügen, um Sicherheitsannahmen über Berechtigungen zu unterlaufen.
Die schwerste der drei Lücken (CVE-2026-87899) zielt auf CalDAV und CardDAV. Der Anbieter beschreibt, dass ein eingeloggter Kontoinhaber Code als Root ausführen kann. Auf einem Multi-User-Server bedeutet das in der Praxis, dass aus „Account-Rechten“ systemweite Rechte werden. cPanel nennt als erforderliche Voraussetzung lediglich das Vorhandensein eines Accounts; damit ist das Risiko auf öffentlich zugänglichen Shared-Servern besonders hoch, weil die Abhängigkeit von einer Account-Identität statt von einer streng kontrollierten Administratorrolle die Angriffsfläche verbreitert. In der gleichen Advisory ergänzt cPanel, dass ein weiterer, separater Bug existiert, der nicht auf Root-Rechte hinausläuft, aber dennoch den Zugriff auf Kalender- und Kontaktinhalte anderer Konten ermöglicht.
Ergänzend nennt cPanel einen zweiten Fehler (CVE-2026-87900) im WP Toolkit, der sich auf Datenbankzugriffe zwischen Mandanten auswirkt. Die Beschreibung bleibt bewusst knapp, aber der Kern ist eindeutig: Ein eingeloggter cPanel-Nutzer kann Datenbanken ändern, die anderen Konten gehören. Damit entsteht ein Szenario, das über reines Defacement hinausgehen kann, etwa wenn WordPress-Setups durch manipulierte Tabellen oder Konfigurationseinstellungen beeinflusst werden. Interessant ist außerdem die Frage nach der Reichweite: Der Text macht keine Aussagen dazu, ob dabei auch Leserechte fremder Datenbanken betroffen sind, oder ob der Angreifer zusätzlich Zugriff auf konkrete WP-Toolkit-Funktionen benötigt. Für Betreiber bedeutet das: Die isolierte Betrachtung „nur Update“ reicht hier nicht, wenn man ohnehin schon in die Logik und Berechtigungen der WordPress-Installationskette schaut.
Die dritte Lücke (CVE-2026-68490) betrifft erneut CalDAV und CardDAV, diesmal mit Fokus auf Vertraulichkeit: cPanel schreibt, dass ein lokaler Nutzer auf dem Server Kalenderereignisse und Kontakte anderer Konten lesen kann. Änderungen oder Root-Übernahme sollen dagegen nicht möglich sein. Für Betreiber und Security Teams ist das trotzdem relevant, weil „Lesen“ in vielen Umgebungen bereits ausreicht, um Compliance- und Risiko-Profile zu verschieben: Kalenderdaten und Kontaktinformationen sind häufig personenbezogen und können zudem betriebliche Strukturen (z. B. interne Abstimmungen) offenlegen. Dass keine Übergangszustände oder Rechte-Reparaturen nur für neue Accounts genannt werden, macht die zeitnahe Aktualisierung für bestehende Installationen umso wichtiger.
Wie cPanel die Patches konkret liefert, ist für die Umsetzbarkeit entscheidend. Für cPanel & WHM mit Bezug zu CVE-2026-87899 und CVE-2026-68490 sollen die Versionslinien 11.134.0.57 oder neuer, 11.136.0.41 oder neuer sowie 11.138.0.8 oder neuer greifen. Die Update-Anleitung verweist im WHM auf den Weg über „Home / cPanel / Upgrade to Latest Version“ oder auf das Skript „/usr/local/cpanel/scripts/upcp –force as root“. Laut Anbieter repariert das Update zudem Kalender- und Kontaktberechtigungen für vorhandene Konten, was im Feld oft der Unterschied zwischen „Paket ist installiert“ und „effektive Rechte sind korrekt“ ist. Für das WP Toolkit (CVE-2026-87900) nennt cPanel ein separates Paket (wp-toolkit-cpanel) mit eigener Update-Logik und fordert ein manuelles Update auf Version 6.11.3 oder höher über einen Installationsaufruf mit „installer.sh“.
Wichtig für die Betriebssicherheit: cPanel liefert nach eigenem Wortlaut keinen temporären Workaround für Systeme, die sich nicht sofort aktualisieren lassen. Gleichzeitig fehlen Hinweise zur nachträglichen Überprüfung, ob ein betroffener Server bereits angegriffen wurde. Dazu kommt, dass das Thema ursprünglich nicht in den öffentlich kuratierten Katalogen für „Known Exploited Vulnerabilities“ enthalten war, zumindest nach einer zeitnahen Abfrage am Tag der Veröffentlichung. Für Teams in der Praxis heißt das: Wenn die Patches noch nicht eingespielt sind, sollte das als Priorität betrachtet werden, inklusive Überprüfung der Update-Mechanismen und der tatsächlich erreichbaren Patch-Versionen in den betroffenen Versionslinien (insbesondere, ob WP Toolkit automatisch nachgezogen wird oder ob nur manuelle Kommandos wirken).
Abseits der einzelnen CVEs lohnt der Blick auf die Markt- und Architekturimplikationen. cPanel und verwandte Control-Panel-Komponenten werden häufig in hochgradig automatisierten Bereitstellungsprozessen betrieben; genau deshalb wirken „kleine“ Fehler in Plugin- oder Dienstlogik über Rollen- und Mandantenmodelle hinweg. Ergänzend zeigt der Anbieter, dass auch außerhalb von cPanel ähnliche Komponenten existieren und bereits Patches für verwandte Pfade dort nötig sein können. Wer Sicherheit als Prozess versteht, sollte die Ereignisse daher als Anlass nehmen, die Wartungsstrategie zu schärfen: Patch-Compliance über Zeit, Zugriffstrennung zwischen Accounts und die Frage, wie schnell kritische Updates in Shared-Umgebungen tatsächlich ausgerollt werden. Die eigentliche Botschaft für Betreiber ist klar: Bei mehreren Lücken, die von einem eingeloggten Nutzer ausgehen und systemweite Konsequenzen ermöglichen können, ist „später updaten“ in der Regel das falsche Sicherheitsrisiko.
Für Entwicklungsteams in Hosting-Umfeldern ergibt sich außerdem ein klarer technischer Lernpunkt. Die Kombination aus Webservice-Funktionen (CalDAV/CardDAV) und Verwaltungsplugins (WP Toolkit) macht Fehler in der Autorisierungslogik besonders gefährlich. In modernen Architekturen werden solche Pfade deshalb zunehmend mit strikteren Mandantenprüfungen, weniger privilegierten Ausführungswegen und besserer Trennbarkeit zwischen Datenebene und Administrationsschnittstellen abgesichert. cPanel schließt die Lücken jetzt mit konkreten Build-Nummern und separaten Updatewegen; für Betreiber bleibt aber die Aufgabe, die organisatorische Kette zu Ende zu denken: Inventarisierung der tatsächlich installierten Build-Varianten, definierte Updatefenster und ein Prozess, der manuelle WP-Toolkit-Schritte nicht vergisst, wenn die UI in der Plattformautomation „eigentlich schon“ Updates anbietet.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "cPanel: Mehrere Schwachstellen erlauben Root-Zugriff und Kontenübernahme" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "cPanel: Mehrere Schwachstellen erlauben Root-Zugriff und Kontenübernahme" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »cPanel: Mehrere Schwachstellen erlauben Root-Zugriff und Kontenübernahme« bei Google Deutschland suchen, bei Bing oder Google News!