פרצה בתוסף הגיבוי של Acronis ל-cPanel ול-Plesk נוצלה בתקיפות: כך בודקים את השרת

כלי גיבוי אמור להיות רשת הביטחון של השרת. הפעם הוא היה פרצה. Acronis אישרה באמצע ספטמבר 2026 שתוקפים ניצלו את CVE-2026-87886. זו חולשה בתוסף Acronis Backup לפאנלי האחסון cPanel ו-Plesk. הניצול היה בתקיפות מוגבלות וממוקדות. החולשה מאפשרת למשתמש עם הרשאות נמוכות בשרת Linux להשיג הרשאות מלאות. החברה קוראת להתקין את העדכון מיד.

הרשאות קבצים שגויות בתוסף Acronis Backup

לפי BleepingComputer, Acronis פרסמה הודעה קצרה בסוף השבוע של 12 ו-13 בספטמבר. ב-15 בספטמבר היא עדכנה אותה עם מספר ה-CVE. לפי GBHackers, שורש הבעיה הוא הרשאות ברירת מחדל שגויות לקבצים של התוסף.

תוקף עם גישה בסיסית לשרת יכול לנצל אותן ולקבל הרשאות root. הוא עושה זאת בלי שום פעולה של משתמש אחר. החולשה קיבלה ציון 7.8 מתוך 10 בסולם CVSS.

התוסף Acronis Backup ל-cPanel & WHM פגיע בגרסאות שקודמות ל-build 1.9.3.1021. גם התוסף ל-Plesk פגיע בגרסאות שקודמות ל-build 1.8.11.638. הגרסה 1.9.3 HF3 ל-cPanel והגרסה 1.8.11 ל-Plesk כוללות את התיקון.

Acronis מסרה ל-BleepingComputer שההערכה על הניצול מתבססת על דיווח אחד מלקוח שאולי חווה תקיפה. היא מסרה גם שלא זיהתה סימני פריצה מוגדרים, ושב-Plesk לא ראתה ניצול עד כה. החברה לא פרסמה פרטים טכניים נוספים, כדי לתת למנהלי שרתים זמן לעדכן.

הסכנה של חולשה מקומית באחסון משותף

חולשת העלאת הרשאות מקומית מאיימת פחות מפרצה שאפשר לנצל מרחוק. הסיבה היא שהתוקף צריך תחילה דריסת רגל בשרת. אבל בשרת אחסון זו לא משימה קשה.

אתר WordPress עם תוסף לא מעודכן יכול לתת לתוקף את הגישה הזו. כך גם סיסמת FTP שדלפה, או חשבון אחסון של לקוח אחר על אותו שרת. לכן החולשה ב-Acronis Backup הופכת פריצה לאתר אחד לשליטה בשרת כולו. השליטה כוללת את כל האתרים, מסדי הנתונים והמיילים שיושבים עליו.

יש כאן גם אירוניה כואבת. תוסף הגיבוי מחזיק בדרך כלל גישה לכל הנתונים בשרת ולעותקים שלהם. תוקף ששולט בשרת יכול לגעת גם בגיבויים. במתקפת כופר זה ההבדל בין שחזור מהיר לבין משא ומתן עם עבריינים.

פאנלי האחסון כבר בעין הסערה

באותו שבוע פרסם צוות החירום היפני JPCERT/CC את דוח הניטור שלו לרבעון אפריל עד יוני. לפי הדוח, מ-30 באפריל חלה קפיצה חדה בתעבורה בסגנון Mirai. זה בוטנט שמשתלט על מכשירים ושרתים ומשתמש בהם לסריקות ולמתקפות מניעת שירות. רבות מכתובות המקור היו של חברות אחסון, ובהן הופיע ממשק הניהול של cPanel.

חוקרים מ-Censys ומ-NICTER קישרו את הגל לניצול CVE-2026-41940. זו חולשת עקיפת אימות ב-cPanel ו-WHM. אולם JPCERT מדגיש שאי אפשר לאשר זאת מנתוני הניטור בלבד. ביפן הגיעה התעבורה הזו בשיאה לפי 15 מהרמה הרגילה.

המסקנה זהה בשני המקרים. פאנל הניהול של שרת האחסון ותוספי הצד השלישי שלו הם יעד שתוקפים מחפשים. לכן כדאי לטפל בהם כמו במערכות קריטיות ולא כמו בעוד כלי.

עוד ב-GEEKLIK: Google תיקנה במכשירי Pixel חולשה במודם הסלולרי שכנראה כבר נוצלה בתקיפות ממוקדות

מה הלאה עם Acronis Backup

Acronis לא פרסמה עד כה מזהים טכניים לתקיפה. לכן מנהלי שרתים לא יכולים לסרוק מראש אחר סימנים מוגדרים. מי שלא עדכן מאז אמצע ספטמבר צריך לעדכן ולבדוק את השרת. אי אפשר להסתפק בהנחה שהשרת לא היה מטרה.