Für Plesk wurde ein wichtiges Sicherheitsupdate veröffentlicht
Plesk hat eine hochgradige Sicherheitslücke offengelegt und gepatcht, die als identifiziert wird CVE-2026-58046. Das Problem betrifft die XML-RPC-API und hat Auswirkungen alle Plesk-Versionen davor 18.0.79.4.
Die Sicherheitslücke ermöglicht es einem authentifizierten Benutzer mit geringen Berechtigungen, einen SQL-Injection-Fehler innerhalb der XML-RPC-API auszunutzen. Bei erfolgreicher Ausnutzung können vertrauliche Informationen offengelegt werden, die in der Plesk-Datenbank gespeichert sind, einschließlich Administratoranmeldeinformationen, und in bestimmten Szenarien könnte es letztendlich zu einer vollständigen Serverkompromittierung kommen.
Administratoren, die betroffene Versionen ausführen, sollten ihre Server so schnell wie möglich aktualisieren.
Betroffene Versionen
| Artikel | Einzelheiten |
|---|---|
| CVE | CVE-2026-58046 |
| Schwere | Hoch |
| Betroffene Komponente | Plesk XML-RPC-API |
| Betroffene Versionen | Alle Versionen unten 18.0.79.4 |
| Feste Version | Plesk-Obsidian 18.0.79.4 und später |
| Angriffsanforderung | Authentifiziertes Konto mit geringen Berechtigungen |
Wie die Sicherheitslücke funktioniert
Laut offizieller Empfehlung, Die Sicherheitslücke entsteht durch eine unsachgemäße Neutralisierung der Eingabe innerhalb der XML-RPC-API.
Unter bestimmten Bedingungen, Ein authentifizierter Benutzer kann speziell gestaltete Anfragen senden, die vom Plesk-Backend ausgeführte SQL-Abfragen manipulieren.
Im Gegensatz zu Schwachstellen, die nur begrenzte Informationen preisgeben, SQL-Injection-Fehler können den direkten Zugriff auf Backend-Datenbanken ermöglichen. Abhängig von der Serverkonfiguration und den gespeicherten Daten, Angreifer können Administratoranmeldeinformationen abrufen, Kundeninformationen, Details zur Dienstkonfiguration, oder andere sensible Aufzeichnungen.
WordPress-Webhosting
Ab 3,99 $/Monat
Obwohl eine Authentifizierung erforderlich ist, Hosting-Anbieter und Organisationen, die gemeinsam genutzte Umgebungen betreiben, sollten diesem Problem hohe Priorität einräumen, da häufig mehrere Benutzer Zugriff auf das Control Panel haben.
Mögliche Auswirkungen
Server, die nicht gepatcht werden, können mehreren Risiken ausgesetzt sein, einschließlich:
- Auslesen beliebiger Datensätze aus der Plesk-Datenbank
- Offenlegung der Administrator-Zugangsdaten
- Offenlegung von Kundeninformationen
- Eskalation von Berechtigungen
- Vollständige Serverkompromittierung in bestimmten Szenarien
Die tatsächlichen Auswirkungen hängen von der Serverkonfiguration ab, Benutzerberechtigungen, installierte Erweiterungen, und die Sensibilität der gespeicherten Informationen.
Bestimmen Sie Ihre installierte Version
Bevor Sie Änderungen vornehmen, Überprüfen Sie die installierte Version von Plesk.
Über die Plesk-Oberfläche:
Werkzeuge & Einstellungen → Serverkomponenten
Günstiger VPS-Server
Ab 2,99 $/Monat
Oder mit SSH:
plesk versionWenn die gemeldete Version älter ist als 18.0.79.4, Der Server sollte sofort aktualisiert werden. Plesk wird aktualisiert
Plesk empfiehlt, die neuesten verfügbaren Updates unverzüglich zu installieren.
Zur Aktualisierung über die Weboberfläche:
- Melden Sie sich bei Plesk an.
- Offen Werkzeuge & Einstellungen.
- Wählen Updates und Upgrades.
- Installieren Sie alle verfügbaren Updates.
- Bestätigen Sie, dass die installierte Version vorhanden ist 18.0.79.4 oder neuer.
Bevor Sie ein Produktionsupdate durchführen, Stellen Sie sicher, dass eine aktuelle Systemsicherung verfügbar ist.
Vorübergehende Schadensbegrenzung
Wenn ein sofortiges Upgrade nicht möglich ist, Plesk empfiehlt die Aktivierung einer strengen XML-API-Protokollvalidierung.
Windows VPS-Hosting
Remote Access & Full Admin
Bearbeiten Sie die panel.ini Datei hinzufügen und hinzufügen:
[api]
deprecationError = onDiese Einstellung blockiert veraltete XML-API-Protokollversionen, die möglicherweise die Eingabevalidierung umgehen, Verringerung der Wahrscheinlichkeit einer erfolgreichen Ausbeutung.
Es sollte nur als vorübergehende Abhilfe betrachtet werden, bis das offizielle Update installiert werden kann.
Zusätzlicher Schutz für Plesk Onyx
Administratoren laufen noch Plesk Onyx 17.x oder ältere Versionen sollten den XML-API-Zugriff auf vertrauenswürdige IP-Adressen beschränken.
Beispielkonfiguration:
[api]
allowedIPs = 203.0.113.2,192.0.2.2Ersetzen Sie die Beispiel-IP-Adressen durch die Systeme, die rechtmäßig XML-API-Zugriff benötigen.
Beachten Sie, dass die Einschränkung oder Deaktivierung des XML-API-Zugriffs auch Auswirkungen auf Anwendungen haben kann, die die Plesk REST API verwenden.
Sicherheitsempfehlungen
Plesk auf dem neuesten Stand zu halten ist der wirksamste Schutz gegen diese Schwachstelle, Aber auch zusätzliche Sicherheitsmaßnahmen sollten Teil jeder Serveradministrationsstrategie sein.
Beschränken Sie den Administratorzugriff
Beschränken Sie den Administratorzugriff nach Möglichkeit auf vertrauenswürdige IP-Adressen und vermeiden Sie, Verwaltungsschnittstellen dem öffentlichen Internet zugänglich zu machen.
Aktivieren Sie die Multi-Faktor-Authentifizierung
Die Zwei-Faktor-Authentifizierung reduziert das Risiko einer Kontokompromittierung erheblich, selbst wenn Benutzeranmeldeinformationen durchgesickert sind.
Überprüfen Sie die Benutzerkonten
Denn für die Ausnutzung ist ein authentifiziertes Konto erforderlich, Administratoren sollten die vorhandenen Benutzer regelmäßig überprüfen, Entfernen Sie inaktive Konten, und stellen Sie sicher, dass Benutzer nur über die Berechtigungen verfügen, die sie benötigen.
Überwachen Sie Serverprotokolle
Überprüfen Sie die Authentifizierungsprotokolle, Datenbankaktivität, und API-Zugriffsprotokolle für ungewöhnliches Verhalten, insbesondere, wenn der Server über einen längeren Zeitraum nicht gepatcht wurde.
Wenden Sie regelmäßig Sicherheitsupdates an
Sicherheitspatches sollten im Rahmen der routinemäßigen Wartung installiert und nicht verschoben werden, bis Schwachstellen öffentlich ausgenutzt werden.
Häufig gestellte Fragen
Ist CVE-2026-58046 aus der Ferne ausnutzbar??
Ja, Der Angreifer muss sich jedoch zunächst mit einem gültigen Plesk-Konto mit niedrigen Berechtigungen authentifizieren.
Welche Plesk-Versionen sind betroffen??
Jede Version früher als 18.0.79.4.
Behebt die Schadensbegrenzung die Schwachstelle vollständig??
NEIN. Die Schadensbegrenzung verringert die Angriffsfläche, ersetzt jedoch nicht das offizielle Sicherheitsupdate.
Woher weiß ich, ob mein Server geschützt ist??
Stellen Sie sicher, dass Ihr Server läuft Bitte 18.0.79.4 oder eine neuere Version.
Sollten Managed-Hosting-Kunden Maßnahmen ergreifen??
Wenn Ihr Anbieter Betriebssystem- und Systemsteuerungsaktualisierungen verwaltet, Kontaktieren Sie sie, um zu bestätigen, dass das Sicherheitsupdate bereits angewendet wurde.
