Die Hintertür in fast jedem deutschen Webhosting-Vertrag

7 Min. Lesezeit

Eine kritische Schwachstelle in der meistgenutzten Hosting-Oberfläche im Mittelstand erlaubt Angreifern Vollzugriff ohne Login. Das BSI hat reagiert, doch die Patch-Verantwortung liegt bei jedem einzelnen Webhoster und seinen Kunden.

06.05.2026

Verwandt:CVE-2026-32202: Windows-Patch und APT28 in der CISA KEV  /  Linux-Kernel Zero-Day CVE-2026-31431 auf CISA KEV

Was an dieser Lücke technisch neu ist

Was ist CVE-2026-41940? Eine Authentication-Bypass-Schwachstelle in cPanel und WHM, der weltweit verbreiteten Hosting-Verwaltungs-Software sowie in WP Squared 136.1.7. Die Lücke beruht auf einer CRLF-Injection im Authorization-Header, durch die ein nicht authentifizierter Angreifer beliebige Eigenschaften in das Session-File schreiben kann, etwa user=root. Sie hat einen CVSS-Score von 9.8, ist seit dem 23. Februar 2026 aktiv ausgenutzt und steht seit dem 3. Mai im KEV-Katalog der CISA. Der Patch erschien am 28. April, das BSI hat die Schwachstelle am 30. April auf die Stufe sehr hoch eingeordnet.

Die meisten Pre-Auth-Bypass-Lücken der letzten zwei Jahre saßen in API-Gateways oder VPN-Konzentratoren. CVE-2026-41940 sitzt eine Schicht tiefer, in einer Software, die auf jedem zweiten Shared-Hosting-Server der Welt läuft. WatchTowr Labs und Rapid7 beschreiben den Mechanismus übereinstimmend: ein manipulierter Authorization-Header schmuggelt rohe Carriage-Return-Line-Feed-Zeichen in die Session-Logik, das System schreibt den unsanitisierten Input in das Session-File auf der Platte, der Angreifer setzt darin user=root. Beim nächsten Request lädt cPanel das Session-File und akzeptiert die injizierte Identität.

CRLF-Injection ist eine alte Klasse. Neu ist die Lokation: nicht in der Webanwendung des Mandanten, sondern in der Hosting-Verwaltungs-Plattform selbst. Wer die Lücke ausnutzt, bekommt nicht eine Webseite, sondern einen Server mit allen Mandanten-Daten, allen Datenbanken und der Möglichkeit, Backdoor-Konten anzulegen.

Genau diese Architektur-Eigenschaft macht den Vorfall für DACH-Mittelstand relevant. Der Endkunde mit dem Online-Shop oder der Lead-Capture-Seite ist nicht direkt gefährdet, weil er den cPanel-Login gar nicht kennt. Sein Hoster ist es und damit auch die Daten, die der Endkunde dem Hoster anvertraut hat.

Eskalations-Sequenz: Was zwischen Februar und April passiert ist

Zwei Monate Zero-Day-Fenster sind im IT-Security-Maßstab eine sehr lange Zeit. In dieser Zeit hat eine breit aufgestellte Angreifer-Gruppe genug Spielraum, um Backdoors anzulegen, die den Patch überleben. Wer am 28. April patcht und keine Forensik macht, hat einen aktualisierten cPanel mit potenziell offenen Hintertüren auf dem Filesystem.

Wie viele DACH-Server stecken in dieser Schicht

cPanel ist im DACH-Markt nicht die erste Wahl der großen Marken-Hoster wie IONOS oder Strato, die eigene Verwaltungs-Stacks fahren. Die Schicht sitzt bei spezialisierten Anbietern wie All-Inkl-Resellern, kleineren Webhostern und Agenturen, die Whitelabel-Hosting an Kunden weitergeben. Genau diese Schicht versorgt einen relevanten Teil des deutschen Mittelstands mit Webseiten, Online-Shops und E-Mail.

Patch sofort oder Detection-First: zwei Antworten, eine Reihenfolge

Die ehrliche Antwort ist nicht entweder oder, sondern beides in der richtigen Reihenfolge. Patch zuerst, weil sonst der nächste Scan-Lauf den Server erneut trifft. Forensik direkt danach, weil das Zero-Day-Fenster zwei Monate offen war. Wer nur patcht, verschiebt das Problem in das nächste Quartal.

Reseller-Hoster, die zwischen Endkunde und Plattform-Anbieter sitzen, brauchen eigene Detection-Logik, weil sie sich nicht auf den Plattform-Anbieter verlassen können. WAF-Regeln auf rohe Steuerzeichen in Headern sind in den großen ModSecurity-Distributionen seit dem 30. April verfügbar. Wer eigene Cloudflare- oder AWS-WAF-Regeln pflegt, hat den Pattern in einer halben Stunde im Edge.

Was der Vorfall über die Hosting-Schicht aussagt

Wir messen Verlinkungs-Spuren von Mittelstands-Sites in unseren Magazinen seit anderthalb Jahren. Was beim cPanel-Vorfall sichtbar wird, ist die Tiefe der Lieferkette unter der Domain-Endung des Endkunden. Eine Mittelstands-Webseite hängt typischerweise an einem Hoster, dessen Reseller-Programm an einem Plattform-Anbieter, dessen Verwaltungs-Stack auf cPanel oder einer Alternative aufsetzt. Der Endkunde sieht davon nichts in seinem Vertrag.

Diese Tiefe ist effizient, solange nichts passiert. Im Vorfall verschiebt sie die Compliance-Verantwortung. Nach Art. 28 DSGVO bleibt der Endkunde Verantwortlicher, der Hoster ist Auftragsverarbeiter, der Plattform-Anbieter ist Unter-Auftragsverarbeiter. Die Meldepflicht nach Art. 33 Abs. 1 trifft den Verantwortlichen, der oft erst aus der Presse erfährt, dass sein Hoster betroffen ist.

Mittelständler, deren Webseite auf einem cPanel-Server liegt, sollten ihre Hoster diese Woche schriftlich nach Patch-Status, Forensik-Stand und Indicators of Compromise fragen. Die Antwort gehört in die Auftragsverarbeitungs-Akte. Wer keine Antwort bekommt, hat ein dokumentiertes Auswahl-Problem für das nächste Audit.

Detection-Pattern, die jetzt in den SOC gehören

Die folgenden Pattern sind die Schnittmenge aus dem WatchTowr- und Rapid7-Material plus Erfahrungs-Berichten aus zwei DACH-Reseller-Hostern, die in den letzten Tagen Forensik durchgezogen haben.

Erstens, Reverse-Proxy-Logs: Authorization-Header mit URL-encoded %0d%0a oder rohen Steuerzeichen sind starkes Signal. Eine ModSecurity-Regel auf SecRule REQUEST_HEADERS:Authorization „@rx %0d|%0a|\r|\n“ „deny,log,id:1041940“ deckt das ab. Falsch-Positive sind in einem Hosting-Kontext nahe Null.

Zweitens, Session-Files: ein grep -lr „user=root“ /usr/local/cpanel/var/sessions/ liefert die Liste verdächtiger Sessions. Abgleich mit /usr/local/cpanel/logs/login_log auf einen passenden 2FA-Login zeigt schnell, ob die Session legitim oder injiziert wurde.

Drittens, neue Cron-Jobs und Mailer-Konfigurationen: Backdoor-Operatoren legen oft persistente Cron-Einträge oder Exim-Filter an, um auch nach einem Patch wieder reinzukommen. Diff gegen den eigenen Stand vor dem 20. Februar ist die schnellste Methode, das zu finden.

Eine Pause für die ehrliche Beobachtung.

Niemand hat heute einen vollständigen Plan für diesen Vorfall. Reseller-Hoster, die ihre Detection-Logik in der ersten Mai-Woche nachgezogen haben, sind weiter als die meisten. Wer auf den Plattform-Anbieter wartet, ist langsamer, als die Scan-Wellen erlauben.

Die Publisher-Beobachtung: warum dieser Vorfall sichtbar bleibt

Microsoft-Patch-Tuesdays kommen jeden Monat, sind in den Workflow integriert und gehen in Routine über. Eine Lücke in der Hosting-Schicht hat einen anderen Verlauf. Sie taucht nicht im IT-Security-Newsletter eines Mittelständlers auf, weil der Mittelständler die Schicht nicht abonniert hat. Sie wird sichtbar, wenn ein Kunde eine Webseite nicht erreichen kann oder wenn die Datenschutzaufsicht nachfragt.

Genau hier ist der Bezug zur DACH-CISO-Realität. Wer als CISO eines Konzern-Tochterunternehmens auch die Marketing-Domains und Microsites verantwortet, hat eine cPanel-Exposition, die nicht im zentralen IT-Inventar steht. Die Aufgabe der nächsten zwei Wochen ist eine Inventur dieser zweiten Schicht, mit Vertrags-Auszug Auftragsverarbeitung und Patch-Bestätigung als Pflichtfeld.

Der Bezug zu DLP- und Datenklassifizierungs-Initiativen ist enger, als er auf den ersten Blick wirkt. Wer in seiner Microsoft-365-Welt mit Purview-DLP arbeitet, hat eine wirksame Schicht für strukturierte Inhalte. Die unstrukturierten Datenbanken in Shared-Hosting-Mandanten fallen oft durch das Raster. Ein Auth-Bypass in cPanel öffnet genau dieses Raster.

Häufige Fragen

Reicht der cPanel-Patch vom 28. April aus?

Der Patch schließt die Lücke. Er sagt nichts darüber aus, ob der Server zwischen dem 23. Februar und dem 28. April kompromittiert wurde. Bei jedem cPanel-Server, der vor dem 28. April über das Internet erreichbar war, ist eine forensische Prüfung der Session-Files, der Cron-Jobs und der Mailer-Konfigurationen Pflicht.

Wie betrifft das Mittelständler, die kein cPanel selbst betreiben?

Indirekt über den Hoster. Eine Mittelstands-Webseite oder ein kleiner Online-Shop liegt häufig auf einem Shared-Hosting-Server, der mit cPanel verwaltet wird. Im Vorfall ist der Endkunde nach DSGVO weiterhin Verantwortlicher und muss die Meldepflicht nach Art. 33 Abs. 1 prüfen, sobald er Kenntnis von einem möglichen Datenabfluss bekommt. Eine schriftliche Anfrage an den Hoster zu Patch-Status und Forensik gehört in die Akte.

Welche Detection-Regeln sind sofort einsetzbar?

Eine ModSecurity- oder Cloudflare-WAF-Regel auf rohe Steuerzeichen im Authorization-Header ist die erste Linie. Ein Sweep über die cPanel-Session-Files auf user=root ohne passenden 2FA-Login-Eintrag im Login-Log ist die zweite Linie. Beide sind in den meisten Reseller-Setups innerhalb eines Arbeitstags umzusetzen.

Was ist der Unterschied zur Pre-Auth-Bypass-Welle in VPN-Konzentratoren?

VPN-Konzentratoren sitzen am Netzwerk-Rand und sind oft in CMDBs sauber inventarisiert. cPanel sitzt eine Schicht tiefer, in einer Software, die der Endkunde gar nicht kennt. Die Inventarisierung läuft über Auftragsverarbeitungs-Verträge und Hoster-Abfragen, nicht über Netzwerk-Scans im eigenen Perimeter.

Lohnt sich ein Wechsel weg von cPanel als Reaktion?

Plesk, DirectAdmin oder ISPConfig sind technische Alternativen, lösen die Klasse Pre-Auth-Bypass aber nicht generell. Die operative Antwort ist eine Detection-Logik, die unabhängig vom Plattform-Anbieter funktioniert: WAF auf Header-Anomalien, Session-File-Sweeps, Diff-Beobachtung der System-Konfigurationen. Ein Plattform-Wechsel ist eine Architektur-Entscheidung mit Migrations-Aufwand und sollte nicht reaktiv aus einem einzelnen Vorfall fallen.

Quelle Titelbild: Pexels / Field Engineer (px:442150)

Hier schreibt Tobias Massow für Sie

Mehr Artikel vom Autor Tobias Massow