Eine Lücke mit dem Höchstwert CVSS 10.0 trifft tausende Webhosting-Server. Jeder eingeloggte cPanel-Nutzer kann darüber Schadcode mit Root-Rechten ausführen, und Angreifer tun das bereits. Die US-Behörde CISA hat dafür eine extrem kurze Frist gesetzt.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Die cPanel-Lücke CVE-2026-48172 im LiteSpeed-User-End-Plugin gehört zu den gefährlichsten Befunden des Jahres. Betroffen sind Shared- und VPS-Hosting-Umgebungen weltweit, also genau die Infrastruktur, auf der viele Mittelständler ihre Websites betreiben. Aktiv ausgenutzt wird die Schwachstelle laut Hersteller bereits.
Das Wichtigste in Kürze
- CVE-2026-48172 erreicht den maximalen CVSS-Wert von 10.0.
- Betroffen ist das LiteSpeed-User-End-cPanel-Plugin in den Versionen 2.3 bis 2.4.4, gefixt in 2.4.5.
- Jeder authentifizierte cPanel-Nutzer kann Skripte als Root ausführen.
- CISA verlangt das Patchen bis zum 29. Mai, also bis heute.
Was macht die Lücke so gefährlich?
Der Angriff braucht kaum Voraussetzungen. Jeder cPanel-Nutzer, auch ein Angreifer oder ein gekapertes Konto, kann die Funktion lsws.redisAble missbrauchen, um beliebige Skripte als Root auszuführen. Auf Shared Hosting wiegt das besonders schwer. Root auf einem einzigen Server bedeutet dort, dass jeder Mitnutzer auf derselben Maschine kompromittiert ist. Rechteausweitung dieser Art verwandelt ein simples Kundenkonto in eine vollständige Serverübernahme.
Wer ist betroffen und was ist zu tun?
Die Schwachstelle steckt allein im User-End-Plugin, das WHM-Plugin bleibt verschont. Betroffen sind alle Plugin-Versionen zwischen 2.3 und 2.4.4, behoben ist das Problem in Version 2.4.5. LiteSpeed gehört inzwischen zu den größten Webservern, weil er Apache-Konfigurationen nativ liest und Hostern einen einfachen Wechsel erlaubt. Genau diese Verbreitung macht den Fall brisant. Prüfen Sie umgehend, ob Ihr Hoster das Plugin einsetzt, und lassen Sie auf 2.4.5 aktualisieren.
Eine Zehn-von-zehn-Lücke mit aktivem Missbrauch und einer Frist am selben Tag lässt keinen Spielraum. Hier zählt nicht die perfekte Analyse, sondern der Anruf beim Hoster noch heute Vormittag.
— Markus Seyfferth, Chefredakteur Dr. Web
Wie passt das ins größere Bild?
Der Fall reiht sich in eine Serie von Hosting-Vorfällen ein. Erst kürzlich übernahmen Angreifer hunderte Websites über eine Schwachstelle im Ghost-CMS, und eine KI-Pipeline fand 300 Zero-Days in WordPress-Plugins in nur drei Tagen. Sicherheitsforscher beobachten, dass der Abstand zwischen Veröffentlichung und Ausnutzung durch automatisierte Werkzeuge auf Stunden schrumpft. Eine schnelle Patch-Routine ist damit keine Kür mehr, sondern Pflicht.
Konkret heißt das für Sie: cPanel-Version abfragen, Update auf 2.4.5 bestätigen lassen und die Server-Logs auf verdächtige Zugriffe prüfen. Die primäre Quelle samt Prüf-Hinweisen liefert der CISA-Katalog bekannter ausgenutzter Schwachstellen.
Noch mehr wissen?
News
- npm zwingt zur 2FA: Stage-Queue stoppt gestohlene CI-Tokens
- TrapDoor: 34 Pakete plündern Wallets, Tokens und KI-Assistenten
- Iran-Hacker missbrauchen SentinelOne. Was nun?
- Welches Passwort hatte der Louvre? Genau: „Louvre“.
- 12-Stunden-Patchpflicht: Wann zieht Berlin nach?
