Acronis - CVE-2026-87886
Date de publication :
Il s'agit d'une vulnérabilité de permissions de fichiers par défaut incorrectes dans les modules Linux d'Acronis Backup pour cPanel & WHM, Plesk et DirectAdmin.
Acronis Backup pour panneaux d'hébergement est une famille de modules d'intégration qui relie les panneaux de gestion cPanel & WHM, Plesk et DirectAdmin à l'infrastructure de sauvegarde Acronis, pour la sauvegarde et la restauration de sites, de bases de données et de boîtes aux lettres sur des serveurs Linux.
Un ou plusieurs fichiers du module sont installés avec des droits d'accès trop permissifs, accessibles en écriture ou en exécution à des comptes locaux qui disposent de privilèges limités. L'éditeur n'a pas publié le chemin précis des fichiers concernés ni la chaîne d'exploitation technique, afin de limiter le risque pendant le déploiement des correctifs. Aucune interaction de l'utilisateur ciblé n'est nécessaire pour l'exploitation.
Elle permet à un attaquant local authentifié qui dispose de privilèges limités d'élever ses privilèges jusqu'au niveau administrateur du serveur.
Informations
La faille est activement exploitée : Oui
Un correctif existe : Oui
Une mesure de contournement existe : Non
Élévation de privilèges
Exploitation
CWE-276 : Incorrect Default Permissions
Détails sur l'exploitation
• Vecteur d'attaque : Local
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• Acronis Backup plugin for cPanel & WHM (Linux) versions antérieures au build 1.9.3.1021
• Acronis Backup extension for Plesk (Linux) versions antérieures au build 1.8.11.638
• Acronis Backup plugin for DirectAdmin (Linux) versions antérieures au build 1.2.3.238
Solutions ou recommandations
• Acronis Backup extension for Plesk (Linux) version 1.8.11.638 et supérieures (publiée sous la référence 1.8.11)
• Acronis Backup plugin for DirectAdmin (Linux) version 1.2.3.238 et supérieures (publiée sous la référence 1.2.3)