CVE-2026-87886Active Exploitation(acronis / acronis_backup)

⚠️ Acronis Backup flaw exploited in limited targeted attacks. CVE-2026-87886 lets a low-privileged attacker escalate permissions on affected Linux cPanel/WHM and Plesk deployments. Fixes are available. Which builds need updating → https://thehackernews.com/2026/09/acronis-cpanel-backup-plugin.html

🛡️ We added Cisco Identity Services Engine vulnerability CVE-2026-76460 & Acronis Backup vulnerability CVE-2026-87886 to our KEV Catalog. Visit https://go.dhs.gov/Z3Q & apply mitigations to protect your org from cyberattacks. #Cybersecurity #InfoSec https://t.co/fmmHoeHT3d

🔴 Acronis Backup Plugin'de CVE-2026-87886 açığı aktif olarak istismar ediliyor. cPanel/WHM ve Plesk üzerindeki Acronis Backup bileşenlerini etkileyen CVSS 7.8 HIGH seviyesindeki açık, kimliği doğrulanmış saldırganların insecure file permissions üzerinden Linux'ta local privilege escalation yapmasına izin veriyor. Acronis, cPanel/WHM kurulumlarına yönelik sınırlı ve hedefli gerçek saldırılar tespit edildiğini açıkladı. Etkilenen sürümler: cPanel/WHM: build < 1.9.3.1021 Plesk: build < 1.8.11.638 Daha detaylı olarak: Acronis Backup Plugin for cPanel & WHM: 1.9.3.1021'den eski tüm build'ler etkileniyor. Acronis Backup Extension for Plesk: 1.8.11.638'dan eski tüm build'ler etkileniyor.

米国サイバーセキュリティ・社会基盤安全保障庁(CISA)が既知の悪用された脆弱性カタログに1件と2件の脆弱性を追加。 - CVE-2026-58704 (Google Pixel) - CVE-2026-76460 (Cisco ISE) - CVE-2026-87886 (Acronis Backup) 対処期限は3日後の9/19。 https://www.cisa.gov/news-events/alerts/2026/09/16/cisa-adds-one-known-exploited-vulnerability-catalog https://www.cisa.gov/news-events/alerts/2026/09/16/cisa-adds-two-known-exploited-vulnerabilities-catalog

Acronis backup plugin flaw exploited in targeted attacks (CVE-2026-87886) - https://www.helpnetsecurity.com/2026/09/16/acronis-backup-plugin-vulnerability-exploited-cve-2026-87886/ - @Acronis #Backup #Linux #MSP #Plugin #SecurityUpdate #Vulnerability #WebHosting #Cybersecurity #CybersecurityNews https://t.co/8kHMAFm1ne

Acronis Backup cPanel/WHM (CVE-2026-87886) hit CISA KEV after limited exploitation. Insecure default permissions enable local privilege escalation. Patch: cPanel/WHM 1.9.3.1021+, Plesk 1.8.11.638+, DirectAdmin 1.2.3.238+. “Local only” isn’t low priority on shared hosting.

CVE-2026-87886: local privilege escalation in the Acronis Backup plugin for cPanel/WHM lets low-priv accounts abuse insecure file permissions to get root on Linux servers. CISA confirmed active targeted exploitation. Shared hosting environments, patch now. #InfraSecurity #LPE https://t.co/QI5FuNXpnD

📊 9/17 통합 브리핑 연방 패치 기한이 줄줄이 도래·경과했다. 메일 게이트웨이·NAC·백업·RMM·가상화·방화벽 관리 — "보안을 위해 존재하는 장비"가 집중 표적이다. Cisco SEG는 오늘 마감, vCenter는 랜섬웨어 플래그까지 붙었다. —— 오늘 먼저 —— ① Cisco SEG CVE-2026-76461 — 연방 기한 오늘 메일 1통으로 미인증 root(SQL 인젝션). SEG·SEWM 가상·물리 모두, 설정 무관. Shadowserver 노출 400대+. 미패치는 침해 전제 + IOC 조사. ② VMware vCenter CVE-2026-59310 — 랜섬웨어·27일 경과 Syslog 디렉터리 트래버설→무인증 RCE. knownRansomwareCampaignUse: Known. 47개국 361+ IP 침해 흔적. 7월 패치 실적용 + 외부 노출 여부 확인. ③ ScreenConnect CVE-2026-84869 — 패치만으로 미완 26.6.5 업그레이드 + 호스트 클라이언트 재설치 + 액세스 에이전트 갱신. 8/20부터 웜형 전파. 기한 3일 경과 — IOC까지 한 묶음. —— AI —— ──────── ▣ Salesforce Koa·AIforce — 모델은 안으로, 인터페이스는 밖으로 핵심: Koa는 CRM 특화 추론 모델(NVIDIA Nemotron 3 Super 후속학습, 고객 데이터 미사용·합성 데이터만). AIforce는 앱을 열지 않고 데이터·권한·거버넌스에 접근(Claudeforce MCP 베타·Slackforce·Coworker). 미국 리전 정식은 2026 겨울. 왜 중요한가: 차별화 지점이 모델 성능이 아니라 데이터·권한·감사 계층. 사내 SaaS를 AI에 붙일 때 벤더 MCP의 권한·감사 범위를 먼저 확인. Koa "오류 3배"는 자체 벤치마크 — 독립 검증 없음. https://www.salesforce.com/news/press-releases/2026/09/15/koa-reasoning-model/ ──────── ▣ AI 감속 논쟁 — Dreamforce에서 젠슨 황과 공개 충돌 핵심: Amodei 감속 제안에 Altman·Musk 동조 → 9/14 반도체 지수 5.9%↓. Dreamforce에서 젠슨 황이 "AI 규제는 필요 없다, 안전은 우리에게" 발언. 보안주는 급등(SentinelOne ~16% 등). 왜 중요한가: 안전 담론이 가격에 직접 반영된 사례. 하루 등락을 추세로 읽으면 안 됨(유가·BofA 경고 겹침). 규제 대상 CEO 입장 표명이지 정책 변화가 아님. https://www.cnbc.com/2026/09/15/nvidia-and-anthropic-ceos-diverge-on-ai-safety-at-dreamforce.html ──────── ▣ Anthropic·OpenAI — 외부 안전 평가자 사내 상주 추진 핵심: 제3자 평가자를 프런티어 랩 내부에 두고 사고 보고·공개, 편집권은 기업이 갖지 않는 구조 제안. Meta·Google DeepMind·SpaceX AI는 미확약. METR·Apollo 등 논의 중. 왜 중요한가: CA SB 53·SB 813과 맞물린 자율 규제 단계. 체크포인트 접근·NDA로 "진짜 독립성" 논쟁 남음. 젠슨 황 발언과 정면 대비. https://techcrunch.com/2026/09/16/anthropic-and-openai-want-to-embed-safety-evaluators-will-they-really-be-independent/ ──────── ▣ 에이전트 권한 — Google Home 물리 제어·OpenAI 후원 에이전트 핵심: Google Home이 AI 에이전트의 스마트홈 직접 제어를 개방. OpenAI는 Sponsored Agents(라벨링된 후원 대화)와 Ads Manager 플러그인 테스트(HubSpot·Shopify). Anthropic은 챗·Cowork·Artifacts를 단일 창으로 통합. 왜 중요한가: 대화형 AI 수익이 배너에서 에이전트 대화 자체로 이동. 물리 기기·광고·어시스턴트 경계가 동시에 넓어짐 — 권한 위임·프롬프트 인젝션 피해 범위 확대. https://techcrunch.com/2026/09/16/your-ai-agents-can-now-control-your-google-home-devices/ —— 클라우드·데이터센터·인프라 —— ──────── ▣ 🔴 AWS 중동 리전 — 일부 자원 영구 복구 불가, 멀티 AZ 전제 붕괴 핵심: 바레인(me-south-1) 전체 접근·복구 불가. UAE(me-central-1) mec1-az2만 있던 데이터는 영구 접근 불가. 3~4월 물리적 시설 피해. AWS: "멀티AZ 설계 범위를 초과." 피해 DC 재개 없음. 왜 중요한가: 오늘 인프라 1순위. "멀티 AZ=안전" 가정의 실물 반례. 단일 리전 데이터 목록화·크로스리전 백업·주권 고정 워크로드 점검. 권고는 타 리전 마이그레이션. https://www.theregister.com/off-prem/2026/09/16/aws-says-wartime-damage-means-some-middle-east-cloud-resources-are-gone-for-good/5296830 ──────── ▣ Salesforce 글로벌 장애 — Dreamforce 중, "복구 완료"는 과함 핵심: 내부 로그인 서비스 응답 대기로 자원 고갈. 미·일·인도·영·프·독 등 수백 인스턴스, Hyperforce 특히 타격. 시작 약 07:50 UTC. 재검증 시점엔 완전 해소로 표시되지 않음(잔여를 Hyperforce 일부로 축소). 왜 중요한가: 인증 서비스 하나가 SaaS 전체 단일 실패 지점. 임계 경로면 10시간 대체 절차·Hyperforce 여부·상태 페이지를 직접 확인. 원본 "복구 완료"로 종결 금지. https://www.theregister.com/saas/2026/09/16/salesforce-staggers-back-to-feet-after-global-outage/5296800 ──────── ▣ AI 인프라 병목 — 칩→전기: AEMA 출범·Google 핀란드 원전 PPA 핵심: Emerald AI·Google·NVIDIA가 AEMA(AI Energy Management Alliance) 창립 — DC 전력 동적 조절·계통 접속 가속 목표. Google은 핀란드에 최소 €130억(Hamina 확장+신규 DC), Fortum Loviisa 원전 출력 최대 50%를 22년 구매. 왜 중요한가: 병목이 GPU에서 계통 접속으로 이동했음을 업계가 공식 인정. 원전 PPA가 하이퍼스케일 입지 요건. AEMA는 연합 결성이지 접속 성과는 아님. https://blogs.nvidia.com/blog/ai-energy-management-alliance/ —— 보안·규제 —— ──────── ▣ NIST·CISA — 토큰·어서션 위조·탈취 방어 권고 핵심: 하이브리드/멀티클라우드 SSO·페더레이션·API의 신원 어서션·액세스 토큰·암호 메커니즘 보호 구현 지침. Secure by Design, 연방·CSP 주 대상. 왜 중요한가: 최근 클라우드 침해의 상당수가 취약점보다 토큰 탈취·위조. 화제성은 낮지만 실제 침해 경로의 중심. SSO 조직은 설계 점검 기준으로 즉시 사용 가능. https://www.cisa.gov/resources-tools/resources/protecting-tokens-and-assertions-forgery-theft-and-misuse-implementation-recommendations-agencies ──────── ▣ CISA 사이버 디코이 가이드 — 침해 전제 탐지 핵심: 트립와이어·브레드크럼·허니토큰 등 기만 기술로 침해 후 활동 탐지. MITRE Engage·ATT&CK 매핑. LOTL·합법 자격증명 공격자 겨냥, 고신뢰 경보 수단으로 위치. 왜 중요한가: 경계 방어→침해 전제 내부 탐지를 규제기관이 문서로 지지. 관리 plane이 뚫리는 오늘 패턴과 같은 방향. 소규모 팀도 단계 도입 가능. https://www.cisa.gov/resources-tools/resources/using-cyber-decoys-strengthen-detection-and-response ──────── ▣ 스페인 데이터보호청 — 첫 "AI 기반 침해" 신고 접수 핵심: LLM 기반 AI 에이전트를 사용한 공격이 스페인 당국에 정식 신고. 규제기관 접수 첫 사례. 왜 중요한가: GDPR 침해 신고에 "AI 에이전트 사용"이 실제로 기록되기 시작. EU 대상 서비스는 침해 대응 문서·보고 양식 선점검. https://www.bleepingcomputer.com/news/security/spains-data-agency-gets-first-report-of-ai-powered-data-breach/ ──────── ▣ CISA BOD 26-04 — "모든 CVE 균등 패치"의 종료 핵심: KEV 추가 알림에서 BOD 26-04(위험 기반 보안 업데이트 우선순위) 재인용. 공개 노출 자산의 KEV 고위험 신속 조치·패치 전 침해 점검이 기대치. 민간에도 동일 우선순위 권고. 왜 중요한가: KEV·실악용 중심 운영이 연방 표준으로 고착. 상단 기한 대조표가 그 운영 모델의 실제 적용 형태. https://www.cisa.gov/news-events/alerts/2026/09/16/cisa-adds-one-known-exploited-vulnerability-catalog —— 취약점·해킹 —— ──────── ▣ 🔴 Cisco Secure Email Gateway CVE-2026-76461 — 오늘 마감 핵심: AsyncOS 메일 파싱 SQL 인젝션→하부 OS root 명령. 미인증·무상호작용. SEG·SEWM 설정 무관 취약. Cisco PSIRT가 9월 실악용 확인. KEV 기한 2026-09-17=오늘. 노출 400대+. 왜 중요한가: CVSS급 최상위·메일 1통·우회 없음·실악용·기한 오늘이 동시. 보유 여부→패치→미패치는 IOC까지. AsyncOS 최근 두 번째 제로데이. https://www.bleepingcomputer.com/news/security/new-cisco-secure-email-zero-day-exploited-to-execute-commands-as-root/ ──────── ▣ 🔴 VMware vCenter CVE-2026-59310 — 랜섬웨어 전환 확인 핵심: Syslog 디렉터리 트래버설→무인증 RCE. Broadcom 7/29 패치→KEV 8/18→기한 8/21(27일 경과). 카탈로그 knownRansomwareCampaignUse: Known. 47개국 361+ IP, 노출 vCenter 450대+. 왜 중요한가: "7월에 패치했다" 착각 조직이 오늘의 리스크. vCenter 장악=가상화 계층 일괄 암호화. 빌드 번호로 실적용+외부 노출 차단. https://www.bleepingcomputer.com/news/security/cisa-critical-vmware-vcenter-rce-flaw-now-exploited-by-ransomware-gangs/ ──────── ▣ 🔴 ScreenConnect CVE-2026-84869 — 웜형, 8/20부터 악용 핵심: 권한 검증 누락→활성 세션에서 Host 확인 없이 파일 전송·실행(CVSS 9.9). 수정 26.6.5 + 호스트 클라이언트 재설치 + 액세스 에이전트 갱신. 서버 자체는 비대상. 임시 완화: TransferFiles 비활성. KEV 기한 9/14 경과. 왜 중요한가: RMM 침해=관리 엔드포인트 즉시 확산. VBScript 4개로 지속성·웜 전파. 패치 여부와 무관하게 IOC 조사. https://www.connectwise.com/company/trust/security-bulletins/2026-09-08-screenconnect-bulletin ──────── ▣ 🟠 Google Pixel 모뎀 CVE-2026-58704 — KEV 기한 9/19 핵심: 셀룰러 모뎀 권한 우회/상승(CVSS ~8.0). 사용자 상호작용 불필요, 인접 네트워크+기본 권한. Google "제한적·표적 악용 가능성." 패치 레벨 2026-09-05 이상. 9월 Pixel 불레틴 110건. 왜 중요한가: 5개 원본이 모두 보고한 유일한 항목. 물리적 근접만으로 무선 공격 — 임원·고위험군 단말 우선. MDM/BYOD Pixel 패치 강제. https://www.bleepingcomputer.com/news/security/google-fixes-actively-exploited-android-zero-day-on-pixel-devices/ ──────── ▣ 🟠 Cisco ISE·Acronis Backup — KEV 기한 9/19 핵심: CVE-2026-76460(ISE 권한 API 오사용), CVE-2026-87886(Acronis 부적절한 기본 권한). 둘 다 실악용·KEV 등재 9/16. Acronis cPanel 플러그인 권한 상승도 실악용 정황. 왜 중요한가: NAC·백업이 동시에 표적. ISE 장악=횡적 이동, 백업은 랜섬 1순위. vCenter와 묶어 관리 plane 일괄 점검. https://www.cisa.gov/news-events/alerts/2026/09/16/cisa-adds-two-known-exploited-vulnerabilities-catalog ──────── ▣ 🟠 Check Point VPN CVE-2026-85102/85103 — "임박", KEV 미등재 핵심: 둘 다 CVSS 9.8. 인증서 신뢰 검증 미비·ASN.1 힙 오버플로→RCE. Gateway+Management Server 영향. 공개 PoC·확인된 실악용 없음·KEV 없음. 네덜란드 NCSC "곧 시도 예상." LivePatch Take 24 등. 왜 중요한가: 인터넷 노출 VPN은 초기 침투 1순위 — 패치 창이 짧음. 단 "악용 중"으로 보고하면 과장. LivePatch 활성화 여부를 직접 확인. https://support.checkpoint.com/results/sk/sk1000117 ──────── ▣ Microsoft 9월 패치 — 기준값 974건, 0-day 2건·KB5124008 회귀 핵심: 집계 기준 차이로 966~997(기준값 974, Tenable 964는 MS 자체 CVE만). 실악용 0-day CVE-2026-85880(ALPC)·CVE-2026-81963(Update Stack), KEV 기한 9/22. KB5124008 적용 후 일부 도메인 trust/secure channel 장애 보고. 왜 중요한가: 역사상 최대 규모. 패치와 회귀를 같이 봐야 함. Critical·외부노출(DNS·Kerberos 등) 우선. 건수 단정 인용 금지. https://www.securityweek.com/microsoft-patches-record-974-vulnerabilities-including-two-exploited-zero-days/ ──────── ▣ 🔴 브라우저 확장 하나로 AI 어시스턴트 장악 핵심: webpage modification+declarativeNetRequest 권한만으로 신뢰된 AI 페이지에 코드 주입(Chrome Gemini Live·Perplexity Comet·Edge·Opera Neon·Claude in Chrome). Chrome 143.0.7499.192·Edge 150.0.4078.48 패치. Comet·Neon·Claude 확장은 패치 시점 비공개. 실악용 보고 없음(연구 단계). 왜 중요한가: 확장 설치 정책=AI 에이전트 보안 경계. 허용목록 운영. Chrome을 올릴 때 V8 KEV(CVE-2026-85046 내일 마감·CVE-2026-87491)도 함께. https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html ──────── ▣ 🟠 Shai-Hulud — AI 코딩 세션이 공급망 침투 경로로 실증 핵심: AI 코딩 어시스턴트 세션 탈취→오염 PyPI→GitHub OAuth→내부 레포 ~100개에 웜 배포→사내 네임스페이스 신뢰로 2차 감염(Mandiant). Artifactory CVE-2026-42016/42018(기한 9/25)과 겹치면 빌드 산출물 오염 경로가 양쪽에서 열림. 왜 중요한가: 신규 위협 카테고리. AI 추천 의존성 체크섬·허용목록, OAuth 격리, 내부 프록시 경유, 사내 네임스페이스도 신뢰 경계로 취급. https://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html ──────── ▣ 🔴 기한 경과 KEV — MikroTik·GitLab·Cisco FMC 핵심: RouterOS CVE-2026-86060/67277(기한 9/13, MikroTrick 무인증 장악). GitLab CVE-2026-85706(기한 9/14). Cisco Secure FMC CVE-2026-20079(기한 9/12). 뒤 2건은 모델 원본 5건 모두 누락 — KEV 카탈로그 대조에서만 발견. 왜 중요한가: 소스·CI 자격증명(GitLab)·방화벽 관리 plane(FMC)·경계 라우터. 기한 경과=침해 전제 조회. 다중 모델 취합이 1차 카탈로그를 대체하지 못함. https://www.cisa.gov/known-exploited-vulnerabilities-catalog —— 개발자·엔터프라이즈 —— ──────── ▣ Java 27 — Compact Object Headers 기본 ON (non-LTS) 핵심: 객체 헤더 96→64비트, SPECjbb2015 기준 힙 22%·CPU 8% 절감. GC 기본 G1(작은 컨테이너도 Serial→G1). TLS 1.3에 ML-KEM 하이브리드(JEP 527). 출시 2026-09-15. 왜 중요한가: 튜닝 없이 메모리 절감. non-LTS라 검증용. 메모리 빡빡한 워크로드는 G1 전환 벤치 필수. https://openjdk.org/jeps/534 ──────── ▣ Homebrew 7.0.0 — brew vulns·샌드박스 강화 핵심: brew vulns+OSV 연동 advisory DB. 홈 디렉터리 기본 차단, 네트워크 다운로드·오프라인 설치 분리. Intel Mac은 Tier 3 강등, macOS 10.15 지원 종료. 왜 중요한가: 패키지 매니저가 SBOM/취약점 가시성 내재화 — Shai-Hulud류 공급망 대응 실무 도구. CI에서 샌드박스·Intel 러너 영향 먼저 검증. https://brew.sh/2026/09/13/homebrew-7.0.0/ ──────── ▣ Kubernetes v1.37 — Memory QoS·Pod Resource Managers 기본 ON 핵심: Pod-Level Resource Managers·Memory QoS가 Beta로 기본 활성화. CSI Changed Block Tracking API Beta. Bind Mount/EmptyDir 권한으로 컨테이너 저장소 하드닝. 왜 중요한가: 옵트인이 아니라 기본값 변경. 업그레이드 순간 메모리 회수 동작이 바뀔 수 있음. Acronis KEV와 묶어 백업 스택 점검. https://kubernetes.io/blog/2026/09/14/kubernetes-v1-37-memory-qos-graduates-to-beta/ ──────── ▣ GitHub — Copilot 예산을 FinOps·IAM 문제로 재정의 핵심: Copilot 예산 증액 요청 GA(관리자 승인·조정). Code Scanning AI Scan이 CodeQL default setup 없이도 PR에서 사용 가능. classic PAT/SSH의 조직별 SSO authorization 자동화. 왜 중요한가: AI 개발도구가 "허용 여부"에서 사용자별 예산 정책으로 이동. AI Scan은 CodeQL 미도입 레포에 즉시 적용. 토큰 보호 권고와 같은 축. https://github.blog/changelog/2026-09-16-copilot-budget-increase-requests-are-generally-available/ 기한이 산 것은 Chrome V8(내일)·Pixel·ISE·Acronis(9/19)·Windows 0-day(9/22)·Artifactory(9/25)뿐이고, SEG는 오늘·ScreenConnect·MikroTik·GitLab·FMC·vCenter는 이미 지났다. 관리 plane부터 열어라. #IT브리핑 #Cisco #CISA #KEV #VMware #ScreenConnect #AWS #Salesforce #CheckPoint #Microsoft #Pixel #Artifactory #Homebrew #Kubernetes #AI에이전트

Acronis disclosed CVE-2026-87886 in its cPanel, WHM, and Plesk backup plugins: a Linux local privilege escalation flaw (CVSS 7.8) already used in limited targeted attacks. #Acronis #cPanel #Plesk https://www.hendryadrian.com/acronis-warns-of-actively-exploited-flaw-in-its-cpanel-backup-plugin/

⚠️ 16/09 — Acronis confirme l’exploitation ciblée de CVE-2026-87886 sur son plugin Backup cPanel/WHM Linux. Un attaquant déjà peu privilégié peut élever ses droits. Admins : passez en 1.9.3 HF3 immédiatement. #Cyber #Acronis

Acronis: actively exploited LPE in Backup plugin for cPanel/WHM/Plesk (CVE-2026-87886, CVSS 7.8). Limited targeted hits. Update cPanel plugin to 1.9.3 HF3+ and Plesk ext to 1.8.11+. Hosting MSPs: treat as priority. #CyberSecurity #InfoSec #CVE Link: https://www.bleepingcomputer.com/news/security/acronis-warns-of-actively-exploited-flaw-in-its-cpanel-backup-plugin/

Patching an exploited privilege-escalation flaw closes a path. It does not tell you whether that path was already used. Acronis says exploitation of CVE-2026-87886 has been observed in limited, targeted attacks, while public indicators and the exact vulnerable pathname have not been disclosed. That leaves defenders with an evidence problem: there is no single IOC query that can clear a host. For incident response, the useful approach is behavioral and comparative. Look for privilege transitions, ownership changes, new root artifacts, persistence, and deviations from a known-good peer rather than guessing at an undisclosed filename. **In practical terms, it is a good time to:** - query `auditd`, journald, panel, and backup records for unusual activity involving low-privileged accounts followed by privileged processes - review `/etc/cron*`, systemd timers, enabled services, and SSH `authorized_keys` for unexpected persistence - compare root-owned files and recent metadata changes with a known-good hosting node - preserve relevant logs before rotation and capture package/build information before remediation changes evidence - verify that centralized logs contain the period before the fixed build was installed When an exploited vulnerability ships without public IOCs, does your Linux incident-response process have enough baseline data to investigate without them? The full article: #IncidentResponse #LinuxSecurity #ThreatDetection #CyberSecurity #SysAdmin https://linuxsecurity.com/news/security-vulnerabilities/acronis-backup-linux-hosting-flaw

Acronis Backup CVE-2026-87886 hit CISA KEV with a federal due date of today, Sep 19. CVSS about 7.8. Loose default permissions on Linux hosting backup plugins let a low-priv local user escalate. Targeted exploitation is already in the wild.

News: Acronis CVE-2026-87886 (CVSS 7.8) in the Backup plugin for cPanel &amp; WHM lets a low-priv local user reach root. Shared hosts at risk; CISA KEV due today. Patch to 1.9.3 HF3 (build 1.9.3.1021) or Plesk 1.8.11.638+. https://security-advisory.acronis.com/advisories/SEC-10986

CVE-2026-87886 (CVSS 7.8), a local privilege-escalation flaw in Acronis Backup plugins for cPanel/WHM and Plesk via insecure file permissions, is actively exploited and CISA KEV-listed. #DFIR_Radar https://t.co/tEGddTggVh

Attackers exploited CVE-2026-76460 (Cisco ISE API) and CVE-2026-87886 (Acronis Backup permissions) to compromise identity and backup infrastructure. TRC analysis shows how compromised identity services enabled lateral movement through unencrypted east-west traffic. #ZeroTrust 🔗 Full TRC analysis: https://aviatrix.ai/threat-research-center/cisa-kev-catalog-cve-2026-76460-cve-2026-87886-september-2026

Acronis confirmed limited, targeted exploitation of CVE-2026-87886 against its Backup plugin for cPanel and WHM. CISA added the CVE to KEV on September 16. The bug is insecure file permissions on Linux. An attacker who already has a low-privilege local account can escalate without user interaction. The Plesk Backup extension has the same permission class of flaw. Acronis has reported exploitation only against the cPanel plugin so far. A stolen cPanel password, a webshell, or another hosting-panel account on the same box is enough to start. Backup software already runs with more privilege than a tenant account because it has to read everything. Wrong file permissions turn that design into an escalation path on a shared host. Patch the cPanel plugin to 1.9.3 HF3 (build 1.9.3.1021 or later) and the Plesk extension to 1.8.11. Then look for new local users, SSH keys, cron jobs, and unexpected services. Acronis has not published exploitation indicators.

CVE-2026-87886 in Acronis’ cPanel &amp; WHM backup plugin was exploited in “limited, targeted attacks.” 🔹 CVSS 7.8 🔹 Now on CISA’s KEV list 🔹 Fixed in 1.9.3 HF3 The exploitation assessment is based on a single customer report. https://webhosting.today/2026/09/17/acronis-cpanel-backup-plugin-exploited-privilege-escalation-flaw-on-cisas-list/

Acronis cPanel backup plugin: wrong file perms → local priv esc. CVE-2026-87886. Already on the box. Plugin left files too open. Limited targeted hits. Now on KEV. Bump past 1.9.3.1021 (cPanel) / 1.8.11.638 (Plesk).

Warning: A high privilege escalation vulnerability in #Acronis Backup plugin for cPanel &amp; WHM allows attackers to gain elevated privileges and is being #exploited in the wild. #CVE-2026-87886 CVSS(3.1): 7.8. Read the advisory https://security-advisory.acronis.com/advisories/SEC-10986 and #Patch #Patch #Patch