Dodatki Acronis Backup do cPanel & WHM i Plesk pozwalają kontu z niskimi uprawnieniami przejąć wyższe. Acronis i CISA potwierdzają celowane ataki. Zaktualizuj do kompilacji 1.9.3.1021 lub 1.8.11.638.
Ten alert jest dla zarządu, CTO i CFO firm hostingowych, dostawców usług IT (MSP) oraz firm, które utrzymują własne serwery WWW z panelem cPanel & WHM lub Plesk i robią kopie zapasowe przez dodatek Acronis Backup. Werdykt: jeśli macie wtyczkę Acronis Backup dla cPanel & WHM starszą niż kompilacja 1.9.3.1021 albo rozszerzenie dla Plesk starsze niż 1.8.11.638, zaktualizujcie je dziś.
Amerykańska agencja CISA 16 września 2026 roku dopisała CVE-2026-87886 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Luka jest w dodatkach Acronis Backup do paneli hostingowych cPanel & WHM i Plesk na Linuksie. Pozwala osobie, która ma już na serwerze konto z niskimi uprawnieniami, podnieść swoje uprawnienia, bo pliki dodatku mają zbyt szerokie uprawnienia.
Acronis podaje, że wykrył wykorzystanie „w ograniczonych, celowanych atakach” na wdrożenia wtyczki dla cPanel & WHM. Według BleepingComputer ocena opiera się na jednym zgłoszeniu od potencjalnie poszkodowanego klienta. CISA dała amerykańskim agencjom federalnym tylko trzy dni: termin upływa 19 września 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-87886 (w dniu analizy rekord CVE ma status zarezerwowany, brak wpisu w NVD) |
Data dodania do CISA KEV | 2026-09-16 |
Termin naprawy wg CISA | 2026-09-19 (3 dni od wpisu) |
Produkt | Acronis Backup plugin for cPanel & WHM oraz Acronis Backup extension for Plesk, oba na Linuksie |
Wersje zagrożone | Wtyczka dla cPanel & WHM przed kompilacją 1.9.3.1021; rozszerzenie dla Plesk przed kompilacją 1.8.11.638. Atakujący musi mieć na serwerze konto o niskich uprawnieniach |
Wersje bezpieczne | cPanel & WHM: 1.9.3.1021 (wydanie 1.9.3 HF3) lub nowsze; Plesk: 1.8.11.638 (wydanie 1.8.11) lub nowsze |
Typ podatności | Nieprawidłowe domyślne uprawnienia plików prowadzące do lokalnego podniesienia uprawnień; CWE-276 |
Ocena CVSS | Acronis: 7.8 (CVSS 3.0, WYSOKA): atak lokalny, niska złożoność, wymagane niskie uprawnienia, bez udziału użytkownika. NVD: brak oceny (brak rekordu) |
Wyobraź sobie biurowiec z wieloma najemcami. Każdy najemca ma klucz tylko do swojego biura. Firma sprzątająca, która co noc robi porządek we wszystkich biurach, trzyma swoje instrukcje pracy w szafce na korytarzu, a szafka nie jest zamknięta. Najemca z jednego biura może dopisać do instrukcji „zostaw otwarte drzwi do serwerowni”, a ekipa sprzątająca, która ma klucze do wszystkiego, wykona to bez pytania.
Dodatek Acronis Backup działa na serwerze z wysokimi uprawnieniami, bo musi kopiować strony, bazy danych i skrzynki pocztowe wszystkich kont. Jeśli jego pliki mają zbyt szerokie uprawnienia, ktoś z podstawowym kontem na serwerze może wykorzystać to do przejęcia wyższych uprawnień. Na serwerach hostingowych takich kont jest wiele: należą do klientów, ich stron i aplikacji.
💡 cPanel & WHM i Plesk to panele, przez które firmy hostingowe i administratorzy zarządzają serwerami i stronami. Lokalne podniesienie uprawnień oznacza, że ktoś, kto już jest na serwerze z małymi uprawnieniami, zdobywa większe, np. administratora. CWE-276 to błąd, w którym pliki instalowane przez program mają zbyt luźne uprawnienia. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Konto klienta hostingu lub przejęta strona | Ma dostęp tylko do własnych plików | Może próbować przejąć wyższe uprawnienia na serwerze |
Dodatek do kopii zapasowych | Działa w tle z wysokimi uprawnieniami | Jego pliki stają się furtką |
Dane innych klientów na serwerze | Oddzielone od siebie | Zagrożone po podniesieniu uprawnień |
Kopie zapasowe | Zabezpieczenie na wypadek awarii | Mogą znaleźć się w zasięgu atakującego |
Aktualizacja dodatku | Rutynowa | Konieczna natychmiast |
źródło: Pexels, Ron LachPoniżej typowy przebieg ataku dla lokalnego podniesienia uprawnień na serwerze hostingowym. To scenariusz poglądowy: Acronis nie opublikował szczegółów technicznych ani opisu ataków, a luka nie pozwala wejść na serwer z internetu. Atakujący musi najpierw mieć na nim konto lub przejąć jakąś stronę.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Pierwszy dostęp | T-dni | Przejęcie konta hostingowego, np. przez skradzione hasło lub lukę w stronie klienta | Konto z niskimi uprawnieniami na serwerze |
2. Rozpoznanie | T+0 min | Sprawdzenie, czy na serwerze działa podatna wersja dodatku Acronis | Potwierdzenie celu |
3. Podniesienie uprawnień | T+minuty | Wykorzystanie zbyt szerokich uprawnień plików dodatku | Wyższe uprawnienia na serwerze |
4. Dostęp do innych kont | T+godziny | Przeglądanie stron, baz danych i poczty innych klientów | Kradzież danych wielu firm naraz |
5. Utrwalenie | T+godziny | Pozostawienie ukrytego dostępu na serwerze | Obecność po zmianie haseł |
6. Wykorzystanie | T+dni | Kradzież danych, podmiana treści stron, dalsze ataki, szantaż | Szkody dla dostawcy i jego klientów |
Według Help Net Security Acronis jest popularny wśród firm hostingowych i dostawców usług zarządzanych. W takich środowiskach na jednym serwerze działają strony i poczta wielu klientów, więc lokalna luka ma skutki dla wielu firm naraz. Z drugiej strony atak wymaga wcześniejszego dostępu do serwera, a Acronis mówi o ograniczonych, celowanych atakach.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Aktualizacja dodatku na wszystkich serwerach, przegląd kont, w razie włamania odbudowa serwera | Godziny do dni | 10 tys. do 100 tys. PLN (praca administratorów, przestój stron) |
Bezpieczeństwo danych | Dostęp do stron, baz danych i poczty innych kont na serwerze | Godziny od uzyskania konta | 30 tys. do 300 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Rekompensaty dla klientów hostingu, kary umowne, utracone abonamenty | Tygodnie | 30 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów do dostawcy hostingu lub MSP | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (odejścia klientów) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; hostingodawca jako podmiot przetwarzający musi niezwłocznie powiadomić klientów-administratorów | 72 godziny od wykrycia | 15 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy hostingowej lub MSP z dodatkiem Acronis na cPanel & WHM
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKA
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo
Serwer z jednym właścicielem, bez kont klientów:
prawdopodobieństwo niższe (2), bo potrzebny jest wcześniejszy dostęp. Interpretacja: wpływ jest wysoki (CVSS 7.8, pełne skutki po przejęciu uprawnień, wielu klientów na jednym serwerze), a prawdopodobieństwo średnie, bo atak wymaga konta na serwerze, a Acronis mówi o ograniczonych, celowanych atakach; mimo to wpis do KEV i trzydniowy termin CISA oznaczają, że aktualizacja jest PILNA DZIŚ.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie serwery z cPanel & WHM lub Plesk, na których działa dodatek Acronis Backup, z numerem kompilacji | Dziś | Administrator serwerów |
2 | 🔴 NATYCHMIAST | Zaktualizować wtyczkę dla cPanel & WHM do 1.9.3 HF3 (kompilacja 1.9.3.1021) lub nowszej | Dziś | Administrator serwerów |
3 | 🔴 NATYCHMIAST | Zaktualizować rozszerzenie dla Plesk do 1.8.11 (kompilacja 1.8.11.638) lub nowszej | Dziś | Administrator serwerów |
4 | 🟠 PILNIE | Przejrzeć serwery cPanel & WHM pod kątem nieznanych kont, nowych kont z wysokimi uprawnieniami, nieznanych zadań harmonogramu i zmian w plikach systemowych | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Przy śladach włamania: odizolować serwer, zabezpieczyć logi, zmienić hasła kont administracyjnych i kluczy dostępu do kopii zapasowych, powiadomić klientów zgodnie z umową i RODO | Do 3 dni | CTO / inspektor ochrony danych |
6 | 🟠 PILNIE | Klienci hostingu lub MSP: zapytać dostawcę, czy używa dodatku Acronis i kiedy go zaktualizował | Do 3 dni | CTO / opiekun umowy |
7 | 🟡 WAŻNIE | Wzmocnić ochronę kont hostingowych (silne hasła, drugi składnik logowania, aktualne wtyczki stron), bo to one są pierwszym krokiem ataku | Do 30 dni | Administrator serwerów |
Acronis wydał poprawione kompilacje dla obu dodatków i nie opisał obejść. Poniższe miary tylko ograniczają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Czasowe wyłączenie dodatku Acronis Backup do chwili aktualizacji, przy zachowaniu innej metody kopii | Wysoka wobec tej luki | Średnia: przerywa kopie przez Acronis |
Blokada logowania powłoką (SSH) dla kont klientów, którzy jej nie potrzebują | Średnia: utrudnia wykonanie ataku lokalnego | Łatwa do średniej |
Wzmożone monitorowanie nowych kont z wysokimi uprawnieniami i zmian w plikach systemowych | Niska jako ochrona, przydatne do wykrycia | Średnia |
Sprawdzenie, czy kopie zapasowe są przechowywane poza serwerem i nie da się ich zmienić z serwera | Średnia: chroni możliwość odtworzenia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wtyczka dla cPanel & WHM | Kompilacja starsza niż 1.9.3.1021 | 1.9.3 HF3 (1.9.3.1021) lub nowsza |
Rozszerzenie dla Plesk | Kompilacja starsza niż 1.8.11.638 | 1.8.11 (1.8.11.638) lub nowsza |
Konto klienta na serwerze | Może posłużyć do przejęcia wyższych uprawnień | Ta droga zamknięta |
Wiedza o włamaniu | Brak | Konta i pliki systemowe sprawdzone |
Klienci hostingu | Nieświadomi zagrożenia | Poinformowani o aktualizacji lub incydencie |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Acronis: ograniczone, celowane ataki na wtyczkę dla cPanel & WHM; według BleepingComputer na podstawie jednego zgłoszenia klienta. Help Net Security: brak oznak ataków na Plesk |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA wg Acronis (CVSS 3.0); brak oceny NVD |
PoC dostępny publicznie? | Brak publicznych informacji; Acronis celowo wstrzymał szczegóły techniczne |
Liczba atakowanych firm | Brak publicznych danych; Acronis nie podał wskaźników włamania ani czasu ataków |
Status rejestrów | Rekord CVE zarezerwowany, brak wpisu w NVD w dniu analizy |
Sygnały zagrożenia dla CVE-2026-87886
CVSS 3.0 (Acronis) 7.8/10 ████████████████░░░░ WYSOKA
Wektor ataku lokalny ████████░░░░░░░░░░░░ wymaga konta na serwerze
CISA KEV TAK ████████████████████ termin 3 dni
Skala ataków mała ████░░░░░░░░░░░░░░░░ ograniczone, celowane
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-09-12 Według BleepingComputer pierwszy krótki biuletyn Acronis
/13 (weekend; data niepotwierdzona w bazie producenta)
2026-09-15 Biuletyn SEC-10986 (15:30 UTC) z numerem CVE i oceną 7.8;
poprawki 1.9.3.1021 (cPanel & WHM) i 1.8.11.638 (Plesk)
2026-09-16 Wpis do katalogu CISA KEV
2026-09-19 Termin naprawy wg CISA dla agencji federalnych
(za 2 dni od dziś)
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z wersjami: Acronis SEC-10986 . Pozycja w katalogu CISA: CVE-2026-87886 w KEV .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, na ilu serwerach działa dodatek Acronis Backup dla cPanel & WHM lub Plesk | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową aktualizację na wszystkich serwerach | CTO | DZISIAJ |
3 | Otrzymać potwierdzenie wersji po aktualizacji z każdego serwera | CTO | DZISIAJ |
4 | Otrzymać wynik przeglądu kont i plików systemowych na serwerach cPanel & WHM | CTO | DO JUTRA |
5 | Przygotować szablon komunikatu do klientów na wypadek potwierdzenia włamania | CTO / dział obsługi klienta | DO JUTRA |
6 | Sprawdzić w umowach z klientami terminy powiadamiania o incydentach | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia i zarezerwować budżet na ewentualną analizę powłamaniową | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy dodatku Acronis Backup w cPanel & WHM lub Plesk? | TAK / NIE, [liczba serwerów] | 🔴 |
2 | Jaki numer kompilacji dodatku jest na każdym serwerze? | [wersja] | 🔴 |
3 | Kiedy zainstalowaliśmy 1.9.3.1021 (cPanel & WHM) lub 1.8.11.638 (Plesk)? | [data] | 🔴 |
4 | Czy na serwerach są konta klientów lub stron z dostępem do powłoki? | TAK / NIE | 🟠 |
5 | Czy sprawdziliśmy serwery pod kątem nowych kont i nieznanych zmian? | TAK / NIE, [data] | 🟠 |
6 | Czy kopie zapasowe są przechowywane poza serwerem i chronione przed zmianą? | TAK / NIE | 🟠 |
7 | Czy nasz dostawca hostingu lub MSP potwierdził aktualizację dodatku? | TAK / NIE / nie dotyczy | 🟡 |
CVE-2026-87886 w dodatkach Acronis Backup dla cPanel & WHM i Plesk pozwala osobie z kontem na serwerze podnieść uprawnienia, a Acronis i CISA potwierdzają ograniczone, celowane ataki na wtyczkę dla cPanel & WHM. Luka nie otwiera serwera na atak z internetu, ale w środowiskach hostingowych jedno przejęte konto może zagrozić danym wielu klientów, dlatego aktualizacja do kompilacji 1.9.3.1021 lub 1.8.11.638 powinna nastąpić dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.