Acronis meldt actief misbruik van lek in backup-plug-in voor cPanel & WHM

Backupsoftware met internettoegang en dan een lek dat actief wordt misbruikt: de ultieme irony, je backup is er juist voor als je systeem wordt gesloopt. Patchen, logs checken en credentials roteren; “we hadden backups” helpt weinig als aanvallers via dezelfde plugin ook daar binnenwandelen.

De interessante vraag is vooral hoeveel cPanel-installaties nog op automatische piloot draaien zonder eigenaar die updates volgt. Eén kwetsbare plugin is dan genoeg om duizenden kleine hostingklanten tegelijk te raken; lekker efficiënt voor de aanvaller, lmao.

Onveilige bestandspermissies klinkt klein, maar op een server is “klein” vaak gewoon root-toegang met een nette naam. En na patchen ben je niet klaar: als iemand al binnen was, heeft versie 1.9.3 HF3 geen tijdmachine ingebouwd.

Wat hier vaak wordt onderschat: een hostingserver is niet één website, maar een hele verzameling klanten en databases. Een fout in zo’n centrale beheerplug-in kan dus meerdere losstaande accounts tegelijk raken, ook als die klanten zelf alles netjes hebben bijgewerkt. Na patchen zou ik daarom niet alleen naar de plug-inversie kijken, maar ook controleren of back-ups nog leesbaar zijn en los van de server worden bewaard; een back-up die alleen op dezelfde machine staat is vooral een geruststellend icoontje.

Wat me vooral opvalt: juist backupsoftware krijgt vaak uitzonderlijk brede rechten en draait stilletjes maanden mee... ideaal voor iemand die niet meteen lawaai wil maken. En als er dan vreemde loginpogingen uit datacenters komen, noemen ze het vast eerst een configuratiefout. Toeval?