Kritische Plesk-Schwachstelle ermöglicht Fremdzugriff auf FTP-Zugangsdaten und potenziell Codeausführung

Kurzfassung

Eine als kritisch eingestufte Schwachstelle in der XML-RPC-API von WebPros Plesk kann dazu führen, dass angemeldete Nutzer mit niedrigen Berechtigungen Informationen über fremde Domains abrufen. Besonders problematisch ist, dass dabei auch Zugangsdaten anderer Mandanten betroffen sein können. Nach den vorliegenden Informationen ist zudem denkbar, dass sich der Fehler in einem weiteren Schritt für Codeausführung unter dem Systemkonto eines anderen Tenants missbrauchen lässt.

Für Unternehmen im DACH-Raum ist das vor allem deshalb relevant, weil Plesk in Hosting-, Agentur- und Mehrmandanten-Umgebungen häufig als zentrale Verwaltungsplattform eingesetzt wird. Die Schwachstelle betrifft damit nicht nur die technische Integrität, sondern auch Vertraulichkeit und Isolation zwischen Kundenumgebungen.

Was ist passiert?

Die Schwachstelle CVE-2026-56843 betrifft die XML-RPC-Schnittstelle von Plesk in Versionen vor 18.0.78.4. Ursache ist eine fehlerhafte Autorisierung: Die Prüfung, ob ein Nutzer nur auf eigene Domains zugreifen darf, greift offenbar nicht zuverlässig in allen Abfragepfaden. Zusätzlich lässt sich die Schema-Prüfung bei älteren Protokollvarianten umgehen.

Dadurch kann ein authentifizierter Kunde mit niedrigen Rechten Domains anderer Mandanten auflisten oder abfragen, obwohl ihm diese nicht gehören. Laut Quellenlage können dabei auch FTP-Zugangsdaten anderer Tenants offengelegt werden, die im Klartext gespeichert sind. Das erhöht das Risiko eines Folgeangriffs erheblich.

Technische Details

Im Kern handelt es sich um ein Autorisierungsproblem in einer Verwaltungs-API. Anders als bei einem klassischen Authentifizierungsfehler ist der Angreifer bereits angemeldet, verfügt aber nur über eingeschränkte Rechte. Genau diese Konstellation ist in Hosting- und Cloud-ähnlichen Plattformen besonders gefährlich, weil die Trennung zwischen Mandanten sicherstellen soll, dass ein Kunde niemals Daten eines anderen Kunden sehen oder beeinflussen kann.

Die Schwachstelle wirkt nach den verfügbaren Angaben in zwei Schritten: Erstens kann ein Angreifer Domains fremder Mandanten identifizieren. Zweitens besteht das Risiko, an Klartext-FTP-Zugangsdaten zu gelangen. Solche Zugangsdaten sind in der Praxis oft ein Sprungbrett für weitere Angriffe, etwa das Überschreiben von Webinhalten, das Einschleusen von Schadcode oder das Abgreifen weiterer Daten. Die Quelle nennt außerdem die Möglichkeit, Code als Systemnutzer eines anderen Mandanten auszuführen, was auf eine besonders hohe Eskalationswirkung hindeutet.

Die Ursache liegt laut Beschreibung in einer unvollständigen Autorisierungslogik und einer Umgehung der Schema-Validierung bei Legacy-Protokollversionen. Genau solche Altlasten sind in produktiven Umgebungen ein typisches Risiko, weil ältere Schnittstellen aus Kompatibilitätsgründen oft länger aktiv bleiben als geplant.

Wer ist betroffen?

Direkt betroffen sind Betreiber von Plesk-Instanzen vor Version 18.0.78.4. Besonders relevant ist das für Hosting-Anbieter, Agenturen, Reseller-Modelle, Managed-Service-Provider und interne IT-Teams, die Plesk zur Verwaltung mehrerer Kunden- oder Projektumgebungen einsetzen.

Für Unternehmen im DACH-Raum ist das Risiko vor allem dann hoch, wenn Plesk in einem Shared-Hosting- oder Multi-Tenant-Szenario läuft. Ein erfolgreicher Missbrauch kann dort nicht nur einen einzelnen Kunden treffen, sondern auch zu Ketteneffekten führen, etwa wenn FTP-Zugangsdaten für Webdeployments wiederverwendet werden oder wenn kompromittierte Accounts weitere Systeme erreichen.

Privatpersonen sind nach der vorliegenden Beschreibung eher indirekt betroffen, etwa wenn sie Webspace oder Hosting bei einem Anbieter nutzen, der Plesk einsetzt. Für Endanwender liegt das Hauptproblem dann weniger in einem direkten Angriff auf den eigenen Rechner, sondern in möglichen Manipulationen an Websites, Datenverlust oder dem Missbrauch von Zugangsdaten.

Empfohlene Maßnahmen

Administratoren sollten Plesk umgehend auf eine Version ab 18.0.78.4 oder höher aktualisieren. Da es sich um eine kritische Schwachstelle handelt, sollte das Update priorisiert und zeitnah in Wartungsfenstern ausgerollt werden.

Darüber hinaus sind folgende Maßnahmen sinnvoll: Prüfen, ob die XML-RPC-API überhaupt benötigt wird, und nicht genutzte Schnittstellen nach Möglichkeit deaktivieren oder einschränken. Legacy-Protokollpfade sollten auf ihre Notwendigkeit überprüft werden. Außerdem empfiehlt es sich, alle FTP-Zugangsdaten und andere privilegierte Zugangsinformationen auf Wiederverwendung zu prüfen und bei Verdacht zu rotieren.

Unternehmen sollten zusätzlich Logdaten auf ungewöhnliche Domain-Abfragen, unerwartete Mandantenzugriffe und auffällige API-Nutzung analysieren. In Mehrmandanten-Umgebungen ist es ratsam, die Trennung zwischen Kunden technisch und organisatorisch zu überprüfen. Wo möglich, sollten klare Alarmierungen für administrative API-Zugriffe und ungewöhnliche Authentifizierungsereignisse eingerichtet werden.

Für Dienstleister mit Kundenbetrieb ist eine transparente Kommunikation wichtig: Betroffene Kunden sollten informiert werden, wenn ihre Umgebung auf einer verwundbaren Plesk-Instanz lief oder wenn Zugangsdaten vorsorglich erneuert werden müssen.

Einschätzung von CyberSecurity-News.de

Die Relevanz dieser Schwachstelle ist hoch. Besonders kritisch ist nicht nur die Möglichkeit des unbefugten Informationszugriffs, sondern die Kombination aus Mandantenbruch, Klartext-Zugangsdaten und möglicher Codeausführung. Das macht CVE-2026-56843 zu einem Vorfall mit erheblichem Missbrauchspotenzial in realen Hosting- und Verwaltungsumgebungen.

Für Unternehmen im DACH-Raum ist der Praxisbezug unmittelbar: Plesk ist in vielen kleineren und mittleren IT-Umgebungen ein Standardwerkzeug. Gerade dort werden Updates und Schnittstellenhärtung im Alltag häufig unterschätzt. Die Schwachstelle zeigt, dass auch administrative Plattformen mit scheinbar begrenztem Nutzerkreis ein hohes Risiko für Querzugriffe darstellen können.

Aus Sicht der Prävention ist der Fall ein gutes Beispiel dafür, warum sich Unternehmen nicht auf reine Anmeldung verlassen dürfen. Entscheidend ist die konsequente Prüfung von Berechtigungen auf jeder Ebene, insbesondere bei APIs, Altprotokollen und Mandantenlogik. Wer solche Systeme betreibt, sollte Sicherheitsupdates nicht aufschieben und regelmäßig testen, ob Zugriffsbeschränkungen tatsächlich greifen.

Fazit

CVE-2026-56843 ist eine kritische Schwachstelle mit erheblicher Auswirkung auf Vertraulichkeit und Mandantentrennung. Betroffen sind vor allem Plesk-Installationen vor 18.0.78.4 in Umgebungen mit mehreren Kunden oder Projekten. Die Kombination aus unzureichender Autorisierung, möglichem Zugriff auf Klartext-FTP-Daten und potenzieller Codeausführung macht den Vorfall besonders ernst.

Unternehmen sollten die Schwachstelle kurzfristig schließen, betroffene Zugangsdaten prüfen und die Nutzung der XML-RPC-API kritisch bewerten. Für Betreiber von Hosting- und Dienstleistungsplattformen ist dies ein klarer Anlass, Berechtigungsmodelle und Legacy-Schnittstellen grundlegend zu überprüfen.