cPanel Sicherheitslücke: Das musst du jetzt tun

Seit dem 27. August 2026 ist eine kritische cPanel Sicherheitslücke öffentlich, die weit über das übliche Maß hinausgeht: Jeder x-beliebige Kunde auf einem Shared-Hosting-Server kann sich damit Root-Zugriff auf die komplette Maschine verschaffen – inklusive aller anderen Websites, Datenbanken und E-Mail-Konten, die auf demselben Server liegen. Läuft deine Website auf einem Shared- oder Reseller-Hosting mit cPanel, betrifft dich das direkt. Was dahintersteckt, wer betroffen ist und was du jetzt tun musst, liest du hier.

cPanel Sicherheitslücke: Was ist passiert?

Die Lücke trägt die Kennung CVE-2026-65643 und steckt in der Domain-Parking-Funktion von cPanel & WHM – also genau der Funktion, mit der Hosting-Kunden zusätzliche Domains auf eine bestehende Website legen, ohne einen neuen Account einzurichten. Sicherheitsforscher haben gezeigt, dass jeder eingeloggte cPanel-Kunde mit dieser Standardberechtigung beliebige Dateien auf dem Server anlegen kann. Das Ergebnis: Code-Ausführung mit Root-Rechten, also volle Kontrolle über den gesamten Server.

Das Fatale daran: Man braucht keine Spezialkenntnisse und keine zweite, komplizierte Lücke, um das auszunutzen. Ein ganz normaler, günstiger Shared-Hosting-Zugang reicht als Ausgangspunkt. Auf einem Shared-Server bedeutet das: Ein einziger kompromittierter oder böswilliger Kunde kann theoretisch jede andere Website auf demselben Server mitreißen, unabhängig davon, wie gut du selbst dein WordPress oder Elementor gepflegt hast. Das Hacker-News-Portal berichtete als eines der ersten Medien ausführlich über die Lücke, weitere Analysen liefert Cybersecurity News. cPanel hat die Lücke bestätigt und Patches für alle unterstützten Versionen von cPanel & WHM veröffentlicht.

Bist du betroffen?

Betroffen sind alle Server, auf denen cPanel & WHM läuft und auf denen die Domain-Parking-Funktion aktiv ist – praktisch jedes klassische Shared- oder Reseller-Hosting mit cPanel-Oberfläche. Ob dein eigener Hoster cPanel einsetzt, siehst du meist schon am Login: cPanel hat eine sehr charakteristische Oberfläche mit den bekannten runden Icons für Domains, E-Mail, Datenbanken und Dateien. Nutzt dein Hoster ein eigenes Panel wie KAS bei All-Inkl oder ein anderes System, bist du von dieser konkreten Lücke nicht betroffen – trotzdem lohnt sich der Blick auf die generelle Frage, wie gut dein Server-Setup abgesichert ist.

Wichtig: Die Lücke sagt nichts über die Qualität deiner eigenen Website aus. Selbst eine top gepflegte, aktuelle WordPress-Seite kann betroffen sein, wenn nur ein anderer Kunde auf demselben Server die Lücke ausnutzt. Genau das macht Shared Hosting bei solchen Vorfällen so unangenehm: Deine Sicherheit hängt nicht nur von dir ab.

Das kannst du heute tun

Du musst kein Server-Experte sein, um jetzt die richtigen Schritte einzuleiten:

• Frag deinen Hosting-Anbieter direkt, ob die Server bereits auf eine gepatchte cPanel-&-WHM-Version aktualisiert wurden. Ein seriöser Hoster kann diese Frage sofort beantworten.
• Prüfe, ob du überhaupt Shared Hosting nutzt oder ob deine Seite bereits auf einem eigenen (v)Server oder Managed Hosting läuft – dort ist das Risiko durch fremde Kunden auf derselben Maschine geringer.
• Ändere zur Sicherheit deine Zugangsdaten fürs Hosting-Panel und für WordPress, falls du das schon länger nicht gemacht hast.
• Sorge für ein aktuelles, extern gespeichertes Backup deiner Website – falls doch etwas passiert, ist das dein wichtigstes Sicherheitsnetz.
• Lass deine Seite einmal von außen checken, wenn du unsicher bist, wie sie aktuell dasteht.

Wenn du nicht sicher bist, wie deine eigene Seite gerade dasteht, kannst du sie kostenlos analysieren lassen – du bekommst innerhalb von 24 Stunden eine persönliche Auswertung, unter anderem zu Technik und Hosting-Basis.

Warum Shared Hosting grundsätzlich ein Risiko bleibt

Diese cPanel Sicherheitslücke ist kein Einzelfall, sondern ein weiteres Beispiel für ein strukturelles Problem: Auf Shared-Hosting-Servern teilen sich viele fremde Kunden dieselbe Maschine. Das drückt den Preis, erhöht aber auch die Angriffsfläche. Wir haben das schon einmal in einem anderen Kontext gesehen, als wir über die Performance-Nachteile von klassischem Shared Hosting geschrieben haben – das gleiche Prinzip gilt bei der Sicherheit: Je mehr fremde Accounts auf einem Server liegen, desto größer das Risiko, dass die Lücke eines anderen zu deinem Problem wird.

Erst vor wenigen Tagen ging es im Ratgeber um die Sicherheitslücke in Elementor Pro – dort auf Plugin-Ebene, hier jetzt auf Ebene des ganzen Servers. Und dass auch komplette Infrastruktur ausfallen kann, zeigte zuletzt der Serverausfall bei Amazon Web Services. Die Botschaft dahinter ist immer dieselbe: Wer sich nicht laufend um sein Hosting kümmert, merkt solche Probleme oft erst, wenn es zu spät ist.

Wer nicht selbst ständig Sicherheitswarnungen verfolgen will, kann diese Aufgabe auch abgeben. Bei laufender Hosting-Betreuung ist genau das der Grundgedanke: Jemand behält das Server-Setup im Blick, statt dass du selbst jede Sicherheitsmeldung einzeln recherchieren musst. Wer beim Hoster ohnehin einen Wechsel erwägt, findet mit All-Inkl über unseren Partnerlink eine Alternative, die mit einem eigenen Panel statt cPanel arbeitet.

Wie so etwas in der Praxis aussieht, siehst du an Projekten, bei denen genau diese Art von laufender Betreuung umgesetzt wurde.

Häufige Fragen zur cPanel Sicherheitslücke

Was ist CVE-2026-65643 genau?
Eine kritische Schwachstelle in der Domain-Parking-Funktion von cPanel & WHM, mit der ein normaler Hosting-Kunde beliebige Dateien anlegen und dadurch Code mit Root-Rechten auf dem gesamten Server ausführen kann.

Ist meine Website automatisch unsicher, wenn mein Hoster cPanel nutzt?
Nicht automatisch, aber das Risiko steigt, solange der Server nicht gepatcht ist. Frag deinen Hoster aktiv nach dem Patch-Status, statt einfach abzuwarten.

Reicht es, mein Passwort zu ändern?
Ein neues Passwort schadet nie, schließt die eigentliche Lücke aber nicht. Entscheidend ist, dass dein Hosting-Provider den Server aktualisiert – das kannst du selbst nicht patchen.

Wie erkenne ich, ob mein Hoster cPanel einsetzt?
Am einfachsten am Login-Bildschirm deines Hosting-Kontrollzentrums: cPanel hat eine wiedererkennbare Oberfläche mit runden Symbolen für Domains, E-Mail und Datenbanken. Im Zweifel fragst du direkt beim Support nach.

Die cPanel Sicherheitslücke ist ein gutes Beispiel dafür, dass Website-Sicherheit nicht bei WordPress oder Elementor aufhört, sondern beim Server anfängt. Der wichtigste Schritt heute: einmal aktiv beim Hoster nachfragen, statt darauf zu hoffen, dass schon nichts passiert.