CVE-2026-87886 : Acronis Backup LPE exploité, KEV CISA

Les faits

Le 16 septembre 2026, la CISA (Cybersecurity and Infrastructure Security Agency) a ajouté CVE-2026-87886 à son catalogue KEV (Known Exploited Vulnerabilities), fixant une date limite de remédiation au 19 septembre 2026 pour les agences fédérales américaines (FCEB). Cette vulnérabilité affecte le plugin Acronis Backup pour les panneaux d'administration d'hébergement cPanel & WHM et Plesk sur les systèmes Linux. Acronis a confirmé que des exploitations actives ont été observées dans la nature contre des déploiements utilisant ce plugin.

Sur le plan technique, CVE-2026-87886 est classée CWE-276 (Incorrect Default Permissions). La faille réside dans des permissions de fichiers et de répertoires mal configurées lors de l'installation du plugin Acronis Backup sur les systèmes Linux hébergeant cPanel/WHM ou Plesk. Ces permissions incorrectes permettent à un utilisateur authentifié avec de faibles privilèges — typiquement un utilisateur de compte d'hébergement ou un utilisateur système non privilégié — d'accéder à des fichiers critiques du plugin, de les modifier, et d'escalader ses privilèges vers le compte root du serveur Linux. Le score CVSS 3.1 est de 7.8 (High), avec le vecteur AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H, reflétant un accès local préalable nécessaire mais sans interaction utilisateur requise.

La root cause identifiée par Acronis et les chercheurs en sécurité est une mauvaise configuration des droits lors du processus d'installation et de mise à jour du plugin. Certains fichiers de configuration, scripts d'administration ou binaires du plugin sont installés avec des permissions trop permissives (par exemple 0777 ou 0666 sur des fichiers exécutés avec des privilèges élevés), ou appartenant à des groupes accessibles par des utilisateurs de comptes d'hébergement. Dans l'écosystème cPanel/WHM, où de nombreux comptes utilisateurs partagent le même serveur, cette erreur de configuration transforme une isolation théorique en vecteur d'escalade de privilèges réel.

D'après les analyses publiées par Help Net Security, SecurityWeek et GBHackers en septembre 2026, l'exploitation de CVE-2026-87886 suit un schéma relativement simple. Un attaquant disposant d'un accès minimal à un compte d'hébergement sur un serveur affecté peut identifier les fichiers mal configurés du plugin Acronis, les modifier pour injecter des commandes arbitraires, et déclencher l'exécution de ces commandes lors du prochain cycle de sauvegarde Acronis, qui s'exécute généralement avec les privilèges root. Le résultat est une prise de contrôle totale du serveur Linux hôte.

Selon les informations publiées par SOCPrime et exploit-intel.com, les exploits observés dans la nature ciblent principalement les hébergeurs web mutualisés et les revendeurs d'hébergement. La compromission d'un serveur dédié ou VPS exécutant cPanel/WHM avec le plugin Acronis Backup affecté permet non seulement la prise de contrôle du serveur lui-même, mais aussi potentiellement l'accès à l'ensemble des données de tous les clients hébergés sur ce serveur : bases de données MySQL, fichiers de sites web, emails, clés SSL privées et configurations applicatives. The Hacker News qualifie ce vecteur d'attaque d'attaque de supply chain indirecte visant les hébergeurs pour atteindre leurs clients finaux.

Acronis a publié les correctifs sous la forme de hotfixes : Acronis Backup plugin pour cPanel & WHM version 1.9.3 HF3 (build 1.9.3.1021) et Acronis Backup extension pour Plesk version 1.8.11 HF3 (build 1.8.11.638). Ces hotfixes corrigent les permissions incorrectes lors de l'installation initiale mais également lors des mises à jour et des exécutions de sauvegarde. Il est important de noter que l'application du hotfix ne corrige pas rétroactivement les permissions déjà mal configurées sur un système existant : un script de remédiation complémentaire fourni par Acronis doit être exécuté manuellement pour corriger les permissions sur les systèmes déjà installés.

L'ajout au KEV CISA avec une deadline de seulement trois jours (16 au 19 septembre 2026) est particulièrement significatif. La CISA fixe généralement des délais de 2 à 3 semaines pour les vulnérabilités exploitées. Un délai de 72 heures indique une exploitation active jugée particulièrement sévère et rapide. D'après les données CVEFeed.io, plusieurs dizaines d'indicateurs de compromission (IOC) liés à cette exploitation ont été identifiés et partagés dans les communautés ISAC et les plateformes de Threat Intelligence en temps réel. Les IPs sources des attaques proviendraient principalement d'infrastructures C2 localisées en Europe de l'Est et en Asie du Sud-Est selon les rapports d'Arctic Wolf et SOCPrime.

La priorité élevée accordée à cette CVE par la communauté de sécurité est justifiée par la criticité de l'impact. Acronis Backup est l'une des solutions de sauvegarde les plus déployées dans l'écosystème des hébergeurs web mutualisés. Selon Acronis, la solution est utilisée par plus de 500 000 entreprises dans le monde, avec une forte concentration dans les environnements d'hébergement utilisant cPanel/WHM et Plesk. La surface d'attaque potentielle est donc considérable, et l'exploitation confirme que des acteurs malveillants ont développé des outils automatisés pour scanner et exploiter cette vulnérabilité à grande échelle.

Impact et exposition

CVE-2026-87886 présente un risque particulièrement élevé pour les hébergeurs web, les MSP gérant des serveurs d'hébergement, et les revendeurs d'hébergement utilisant cPanel/WHM ou Plesk avec le plugin Acronis Backup. La caractéristique la plus préoccupante de cette vulnérabilité est son effet multiplicateur : un seul serveur compromis peut donner accès aux données de centaines ou milliers de clients hébergés, transformant une LPE locale en compromission de masse.

Les indicateurs de compromission identifiés incluent des modifications inhabituelles dans les répertoires d'installation du plugin Acronis (/usr/local/cpanel/3rdparty/acronis/ ou équivalent Plesk), des accès non autorisés aux fichiers de configuration Acronis, et des exécutions de commandes root inhabituelles dans les logs système Linux. Les attaquants observés semblent privilégier l'exfiltration silencieuse de données plutôt que la destruction visible, compliquant la détection post-intrusion.

Les hébergeurs et MSP n'ayant pas encore appliqué le correctif sont exposés à des risques réglementaires importants, notamment au regard du RGPD (notification de violation de données personnelles dans les 72 heures) et des obligations contractuelles envers leurs clients. La deadline CISA du 19 septembre 2026 est dépassée au 20 septembre 2026, soulignant l'urgence absolue de la remédiation.

Recommandations immédiates

• Mettre à jour immédiatement vers Acronis Backup cPanel/WHM 1.9.3 HF3 (build 1.9.3.1021) — Acronis Security Advisory septembre 2026
• Mettre à jour vers Acronis Backup Plesk 1.8.11 HF3 (build 1.8.11.638) pour les déploiements Plesk
• Exécuter le script de remédiation des permissions Acronis fourni avec le hotfix sur tous les systèmes déjà installés
• Auditer les logs système Linux (auth.log, syslog) pour détecter des escalades de privilèges suspectes depuis la date d'installation du plugin
• Vérifier l'intégrité des fichiers du plugin : find /usr/local/cpanel/3rdparty/acronis/ -perm -o+w -type f
• Si compromise suspectée : isoler le serveur et procéder à une analyse forensique avant de réinstaller
• Notifier les clients hébergés si une compromission est confirmée (obligation RGPD, délai 72h)