Kritische Plesk XML API-Schwachstelle ermöglicht Root-Rechteausweitung

Die Schwachstelle CVE-2026-48614 betrifft die Plesk XML API und ermöglicht einem authentifizierten Angreifer, durch unzureichende Autorisierungsprüfungen beliebige Konfigurationsdirektiven einzuschleusen, was zu einem unkontrollierten Schreiben von Dateien mit Root-Rechten und einer vollständigen Privilegienerweiterung auf dem zugrunde liegenden Server führt. Mit einem CVSS-Score von 9,9 ist dies als kritisch einzustufen, da ein bereits kompromittiertes oder böswilliges Nutzerkonto ausreicht, um vollständige Kontrolle über das System zu erlangen. Plesk wird in Gesundheitseinrichtungen typischerweise als Webhosting- und Serververwaltungsplattform eingesetzt – etwa für Patientenportale, interne Webanwendungen oder administrative Systeme; sofern Plesk im Klinikumfeld betrieben wird, besteht das Risiko, dass Angreifer sensible Patientendaten gefährden, regulatorische Anforderungen (z. B. nach dem KHZG oder der DSGVO) verletzen und den Klinikbetrieb ernsthaft stören. IT- und Sicherheitsverantwortliche sollten umgehend prüfen, ob Plesk im eigenen Netz betrieben wird, und verfügbare Sicherheitsupdates des Herstellers ohne Verzögerung einspielen.

1 Plesk-Installation sofort auf den vom Hersteller bereitgestellten Sicherheitspatch aktualisieren (Herstellerseite und offizielle Plesk-Changelogs auf einen Fix für CVE-2026-48614 prüfen) und bis zur Verfügbarkeit eines Patches den Zugriff auf die Plesk XML API auf ausschließlich vertrauenswürdige, namentlich bekannte Nutzerkonten und IP-Adressen per Firewall-Regel einschränken.