CVE-2026-54420: LiteSpeed-cPanel-Lücke wird ausgenutzt

Sie befinden sich: Home > News Archiv > Webmaster > CVE-2026-54420: Lite...

Eine kritische Lücke im LiteSpeed-Plugin für cPanel wird bereits aktiv ausgenutzt. Angreifer mit einem einfachen Hosting-Zugang können den ganzen Server übernehmen. Was Server-Betreiber und Kunden auf Shared Hosting jetzt sofort tun müssen.

Wer Webspace bei einem größeren Hoster mietet, teilt sich den Server meist mit hunderten anderen Kunden. Eine ausgeklügelte Technik sorgt dafür, dass keiner in die Daten der anderen schauen kann. Genau diese Trennwand reißt eine aktuelle Sicherheitslücke ein, und das Schlimmste daran: Sie wird bereits aktiv ausgenutzt.

Die Schwachstelle mit der Kennung CVE-2026-54420 steckt im LiteSpeed-Plugin für cPanel, das auf unzähligen Hosting-Servern läuft. Ein Angreifer mit einem einfachen Kundenzugang kann sich darüber zum Administrator des gesamten Servers aufschwingen. Was das bedeutet, wie ernst die Lage ist und was Sie jetzt tun müssen, klären wir Schritt für Schritt.

Worum es bei der Lücke geht

Im Kern ist CVE-2026-54420 ein sogenannter Symlink-Angriff. Das klingt technisch, lässt sich aber leicht erklären, und genau dieses Verständnis hilft Ihnen, die Gefahr einzuordnen.

Ein Symlink ist eine Verknüpfung, die auf eine andere Datei verweist, ähnlich einer Verknüpfung auf dem Desktop. Gefährlich wird es, wenn ein Programm mit Administratorrechten einer solchen Verknüpfung blind folgt. Genau das passiert hier: Eine Komponente des LiteSpeed-Plugins läuft mit höchsten Rechten und folgt einem Link, den ein normaler Nutzer angelegt hat. Der Angreifer lässt den Link auf eine geschützte Systemdatei zeigen, und schon liest oder überschreibt der Server diese Datei mit Administratorrechten, obwohl der Angreifer dazu eigentlich keine Befugnis hat.

Warum gerade Shared Hosting so gefährdet ist

Dass die Lücke ausgerechnet günstiges Massen-Hosting trifft, ist kein Zufall. Hier liegt die eigentliche Sprengkraft, denn auf einem solchen Server hängt viel mehr als nur eine Website.

Bei Shared Hosting teilen sich viele Kunden eine einzige Maschine. Eine Schutzschicht namens CageFS sperrt dabei jeden Nutzer in sein eigenes, abgeschottetes Verzeichnis. Erreicht ein Angreifer aber die Administratorrechte, ist diese Trennung komplett aufgehoben. Er kommt dann an alle Websites, Datenbanken, Passwörter und Kundendaten auf dem Server heran. Aus einem einzigen bösartig angelegten Konto wird so eine Katastrophe für alle Mitbewohner des Servers.

Ein wichtiger Punkt zur Einordnung: Der Angreifer braucht bereits einen gültigen Zugang per FTP oder Web-Shell. Es handelt sich also nicht um eine Lücke, die jeder beliebige Fremde aus dem Internet ausnutzen kann. Auf einem Server mit hunderten Kunden ist diese Hürde aber niedrig, weil dort jeder Kunde bereits einen solchen Zugang besitzt.

Wie ernst ist die Lage wirklich?

Bei Sicherheitsmeldungen lohnt immer der nüchterne Blick auf die Fakten. Bei dieser Lücke fallen sie eindeutig aus, wie die wichtigsten Eckdaten zeigen.

Merkmal	Angabe
Kennung	CVE-2026-54420
Schweregrad	8.5 von 10 (hoch)
Betroffen	LiteSpeed-cPanel-Plugin vor Version 2.4.8
Behoben in	cPanel-Plugin 2.4.8, im WHM-Plugin 5.3.2.1
Aktiv ausgenutzt	Ja, bestätigt durch CISA, NVD und LiteSpeed
Im CISA-Katalog seit	15. Juni 2026

Besonders das letzte Detail wiegt schwer. Die Aufnahme in den Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA bedeutet, dass belastbare Belege für reale Angriffe vorliegen. CISA setzte US-Bundesbehörden eine Frist von nur drei Tagen, bis zum 18. Juni 2026, um zu patchen. Eine so kurze Frist gibt es nur bei den dringendsten Fällen.

Was bestätigt ist und was nicht

Bei aktiver Ausnutzung ist es wichtig, seriös zu bleiben und Fakten von Spekulation zu trennen. Denn nicht alles, was kursiert, ist auch belegt.

Bestätigt ist, dass die Lücke angegriffen wird. Das bestätigen die offizielle Schwachstellen-Datenbank NVD, die CISA und der Hersteller LiteSpeed übereinstimmend. Nicht bekannt ist dagegen, welche Angreifergruppen dahinterstecken, wie genau die Angriffe ablaufen und ob sie erfolgreich waren. Eine Zuordnung zu einer bestimmten Gruppe oder einer Erpressungs-Kampagne gibt es bislang nicht. Erschwerend kommt hinzu: Seit dem 16. Juni 2026 kursiert öffentlich ein Beispiel-Code für den Angriff, was die Hürde für Nachahmer deutlich senkt.

Die Ereignisse im Zeitverlauf

Wie schnell sich der Fall entwickelt hat, zeigt ein Blick auf die wichtigsten Daten. Zwischen der ersten Meldung und dem bestätigten Angriff lagen nur gut zwei Wochen.

Datum	Ereignis
31. Mai 2026	LiteSpeed wird über die Lücke informiert
1. Juni 2026	Patch erscheint (cPanel-Plugin 2.4.8, WHM-Plugin 5.3.2.1)
14. Juni 2026	Die Lücke erhält die Kennung CVE-2026-54420
15. Juni 2026	Aufnahme in den CISA-Katalog aktiv ausgenutzter Lücken
16. Juni 2026	Öffentlicher Beispiel-Code für den Angriff taucht auf
18. Juni 2026	Patch-Frist der CISA für US-Behörden

Diese Verdichtung auf wenige Tage ist typisch für aktiv ausgenutzte Lücken und unterstreicht, warum schnelles Handeln zählt.

So reagieren Server-Betreiber richtig

Wenn Sie selbst einen Server mit cPanel verwalten, zählt jetzt jede Stunde. Gehen Sie die folgenden Schritte der Reihe nach durch.

1. Prüfen, ob Sie betroffen sind. Schauen Sie in WHM nach, ob das LiteSpeed-Plugin installiert ist und welche Version läuft. Nur das nutzerseitige Plugin vor Version 2.4.8 ist verwundbar.
2. Sofort patchen. Das ist der wichtigste Schritt. Bringen Sie das WHM-Plugin auf Version 5.3.2.1 oder höher. Das zugehörige Installationsskript von LiteSpeed aktualisiert das nutzerseitige Plugin gleich mit.
3. Wenn kein Update möglich ist. Deinstallieren Sie das nutzerseitige Plugin vorübergehend. Der Webserver läuft auch ohne weiter, und nach dem Update können Sie es wieder aktivieren.
4. Auf Einbruch prüfen. LiteSpeed stellt einen Befehl bereit, der die Logs nach verdächtigen Mustern durchsucht. Findet er nichts, sind Sie vermutlich nicht betroffen.
5. Bei Treffern den Ernstfall annehmen. Behandeln Sie den Server als kompromittiert: alle Passwörter und SSH-Schlüssel wechseln, Cronjobs prüfen und die Kundenverzeichnisse nach hinterlegten Schadprogrammen durchsuchen. Ein Patch allein wirft einen bereits eingenisteten Angreifer nicht hinaus.

Der entscheidende Punkt dabei: Patchen schließt zwar die Tür, aber wenn der Einbrecher schon im Haus ist, müssen Sie ihn zusätzlich aufspüren. Genau deshalb ist die Log-Prüfung so wichtig.

Was betroffene Kunden tun sollten

Nicht jeder verwaltet seinen eigenen Server. Viele haben einfach nur einen Webspace gemietet und können das Plugin gar nicht selbst aktualisieren. Auch für sie gibt es einen klaren Weg.

Fragen Sie Ihren Hoster gezielt, ob er betroffen ist und bereits gehandelt hat. Drei Fragen bringen Klarheit:

• Setzt ihr LiteSpeed mit dem cPanel-Plugin ein?
• Habt ihr auf Version 2.4.8 beziehungsweise das WHM-Plugin 5.3.2.1 aktualisiert?
• Wurden die Logs auf diese Lücke geprüft?

Bleibt eine klare Antwort aus, sollten Sie aus Vorsicht alle im Konto gespeicherten Zugangsdaten ändern, also Datenbank-Passwörter, den Admin-Zugang Ihres Systems und etwaige Schnittstellen-Schlüssel.

Wie verbreitet ist das überhaupt?

Manch einer mag die Lücke für ein Randproblem halten. Die Zahlen sprechen eine andere Sprache und zeigen, warum so viele Server in Gefahr sind.

LiteSpeed ist kein Nischenprodukt, sondern läuft laut den Marktdaten von W3Techs auf rund 15 Prozent aller Websites mit bekanntem Webserver. Die Verwaltungssoftware cPanel ist nach Schätzungen für mindestens 70 Millionen Domains zuständig. Gerade im Massen-Hosting und im WordPress-Umfeld werden LiteSpeed, cPanel und die Schutzschicht CageFS oft gemeinsam eingesetzt. Die Zahl der potenziell verwundbaren Server ist also beträchtlich. Dass es bereits die zweite schwere Lücke in diesem Plugin binnen weniger Wochen ist, macht die Sache nicht besser. Solche Server-Lücken sind übrigens kein Einzelfall, wie zuletzt die HTTP/2-Bomb-Lücke in Apache und nginx gezeigt hat.

Häufige Fragen

Zum Abschluss die Fragen, die rund um CVE-2026-54420 am häufigsten aufkommen.

Welche Versionen sind betroffen?

Alle nutzerseitigen LiteSpeed-cPanel-Plugins vor Version 2.4.8. Behoben ist die Lücke im cPanel-Plugin 2.4.8, das im WHM-Plugin 5.3.2.1 steckt.

Wird die Lücke wirklich schon ausgenutzt?

Ja. NVD, CISA und LiteSpeed bestätigen reale Angriffe. Welche Gruppen dahinterstecken, ist allerdings nicht öffentlich bekannt.

Ist mein Hoster betroffen?

Nur, wenn er LiteSpeed mit dem cPanel-Plugin in einer Version vor 2.4.8 einsetzt. Fragen Sie Ihren Hoster direkt nach dem Versionsstand und ob die Logs geprüft wurden.

Reicht es, einfach das Update einzuspielen?

Wenn Ihr Server noch nicht angegriffen wurde, ja. Gab es bereits einen Einbruch, schließt das Update zwar die Lücke, entfernt den Angreifer aber nicht. Dann ist eine vollständige Bereinigung nötig.

Das Fazit

CVE-2026-54420 ist eine ernste Lücke, weil sie eine bewährte Schutzmauer im Massen-Hosting durchbricht und nachweislich angegriffen wird. Die gute Nachricht: Ein Patch ist seit Anfang Juni verfügbar, und das Einspielen dauert nur Minuten. Wer einen cPanel-Server betreibt, sollte ihn sofort aktualisieren und die Logs prüfen. Wer nur Kunde ist, fragt am besten heute noch beim Hoster nach. Bei aktiv ausgenutzten Lücken ist Abwarten die schlechteste aller Optionen.

Sind Sie betroffen?

Betreiben Sie selbst einen cPanel-Server mit LiteSpeed, und hat die Log-Prüfung bei Ihnen etwas gefunden? Oder haben Sie schon eine Antwort von Ihrem Hoster bekommen, wie er mit der Lücke umgeht? Schreiben Sie es in die Kommentare. Gerade Erfahrungen damit, wie schnell die einzelnen Hoster reagiert haben, helfen anderen Lesern hier direkt weiter.

litespeed cpanel hosting plugin ausgenutzt shared

Webung: Hier bekommen Sie PHP fähigen Webspace der mit Ökostrom betrieben wird ab bereits 2 Euro/ Monat für ihre Homepage. Zusätzlich ist eine eigene Internetadresse mit enthalten.

Neusten News in der Kategorie "Webmaster"

• Neuer KI-Bericht in der Google Search Console erklärt Seit Juni 2026 zeigt die Google Search Console endlich, wie oft Ihre S...

• llms.txt: Hype oder Pflicht für SEO und Webmaster? Kaum eine Datei wurde 2025 so gehypt wie llms.txt. Doch eine Analyse v...

• FAQ Rich Snippets sind weg: Schema jetzt entfernen? Jahrelang war FAQ-Schema ein einfacher Trick für mehr Platz in der Goo...

• Gmail lehnt Mails ab: SPF, DKIM und DMARC einrichten Seit Ende 2025 prallen Mails ohne saubere Authentifizierung an Gmail u...

• HTTP/2 Bomb: Webserver-Lücke trifft Apache und nginx Ein einzelner Heim-PC mit normaler Leitung genügt, um einen Webserver ...

• PHP 8.5 Upgrade: jetzt oder doch bei 8.4 bleiben? PHP 8.1 ist tot, PHP 8.2 läuft Ende 2026 aus, ein Upgrade steht also a...

• KI-Crawler blocken, zur Kasse bitten oder zulassen? GPTBot, ClaudeBot und PerplexityBot überziehen Webseiten mit Anfragen....

• UpdraftPlus-Lücke löst Supply-Chain-Angriff aus Erst war es nur eine Lücke im Backup-Plugin UpdraftPlus. Dann gelangte...

• SSL-Zertifikate 2026: Nur noch 47 Tage statt 398 Einmal im Jahr das SSL-Zertifikat erneuern? Damit ist bald Schluss. Bi...

• WordPress 7.0 ist da, doch Plugins bleiben das Risiko WordPress 7.0 ist da, mit KI im Core und einer gestrichenen Vorzeigefu...