Technik & Sicherheit · · 7 Min. Lesezeit · Von Alexander
Plesk Site Import: CVE-2026-107246 – was tun?
Stand 10.11.2026: Die Sicherheitslücke CVE-2026-107246 in Plesk Site Import kann die Ausführung fremden Programmcodes mit root-Rechten ermöglichen, also mit umfassenden Rechten auf dem Hosting-Server. Betroffen sind Erweiterungsversionen bis einschließlich 1.13.1. Plesk empfiehlt das Update auf 1.13.2 oder neuer. Lassen Sie zeitnah prüfen, ob Site Import auf dem Server Ihrer Website installiert ist und welche Version vorliegt. Als Shared-Hosting-Kunde bitten Sie Ihren Hoster um diese Prüfung.
Was ist bei Plesk Site Import passiert?
Plesk warnt vor einer Schwachstelle in der Erweiterung Site Import. Domain- und Sitzungskennungen werden unzureichend geprüft. Dadurch ist sogenanntes Path Traversal möglich: Eine interne Sitzung mit erhöhten Rechten kann in ein vom Angreifer kontrolliertes Verzeichnis umgeleitet werden. Laut CVE-Beschreibung kann daraus Codeausführung als root entstehen.
Diese Lücke steckt nicht in WordPress, Joomla, Shopware oder TYPO3. Sie betrifft die Plesk-Erweiterung auf dem Hosting-Server. Wird dieser Server erfolgreich von Angreifern übernommen, können die darauf betriebenen Websites mittelbar betroffen sein. Plesk warnt vor möglichen Auswirkungen auf sämtliche dort gehosteten Subscriptions, also Hosting-Abonnements. Deshalb sollten auch Websitebetreiber nachfragen, die selbst nie einen Import gestartet haben.
Wie gefährlich ist CVE-2026-107246 wirklich?
Die Sicherheitsbewertung im offiziellen CVE-Datensatz lautet CVSS v4.0: 9,2 – kritisch. Die mögliche Codeausführung mit root-Rechten macht eine zügige Prüfung und Aktualisierung erforderlich. Die Einstufung belegt jedoch keinen Einbruch auf Ihrem Server.
Bei den Angriffsvoraussetzungen bleibt eine Diskrepanz offen: Die Beschreibung nennt einen Subscription-Benutzer ohne Eigentümerrolle; Plesk spricht von einem Benutzer ohne Administratorrechte. Gleichzeitig enthält der CVSS-Vektor PR:N. Nach dem Bewertungsstandard bedeutet dies grundsätzlich, dass vor dem Angriff keine Anmeldung erforderlich ist. Fehlende Administratorrechte sind damit nicht gleichzusetzen. Die Quellen lösen den Widerspruch nicht auf. Weder ein anonymer Angriffspfad noch eine zwingende Anmeldungspflicht ist damit hinreichend bestätigt. Welche konkreten Angriffsvoraussetzungen die Kennung AT:P meint, bleibt ebenfalls offen.
Zum Recherchestand am 10.11.2026 sind aktive Ausnutzung, beobachtete Angriffsversuche und ein öffentlicher PoC als technischer Machbarkeitsnachweis nicht bestätigt. Im geprüften CISA-KEV-Katalog mit Stand 09.11.2026 fehlt die Kennung; spätere Ergänzungen sind nicht ausgeschlossen. Diese fehlenden Nachweise sind keine Entwarnung und kein Beleg dafür, dass keine Angriffe stattfinden. Warten Sie mit der Versionsprüfung daher nicht auf eine Angriffsmeldung.
Welche Versionen sind betroffen, und welches Update hilft?
Betroffen ist Site Import bis einschließlich Version 1.13.1. Die korrigierte Version 1.13.2 erschien laut Hersteller-Changelog am 04.11.2026. Das Hersteller-Advisory wurde am 09.11.2026 aktualisiert; der offizielle CVE-Datensatz erschien am 10.11.2026. Plesk empfiehlt 1.13.2 oder neuer. Diese Versionsgrenze bezeichnet die Behebung dieser konkreten Lücke und ist keine allgemeine Sicherheitsgarantie für den Server.
Entscheidend ist die Version der Erweiterung. Ein aktualisiertes Plesk-Panel allein bestätigt deren Patchstand nicht. Der Produktkatalog nennt für Site Import 1.13.2 Plesk 18.0.60 als Voraussetzung. Lassen Sie den Administrator bei Updateproblemen deshalb auch die Kompatibilität prüfen.
Eine ausdrückliche Abgrenzung zwischen Linux und Windows fehlt für diese CVE in den geprüften Hersteller- und CVE-Angaben. Aus dem Begriff root lässt sich insbesondere keine bestätigte Entwarnung für Windows ableiten.
Wie prüfe ich, ob mein Hosting betroffen ist?
Mit einem Shared-Hosting-Kundenkonto ohne Administratorrechte können Sie die serverweite Erweiterung nicht selbst patchen. Die Erweiterungsverwaltung ist Plesk-Administratoren vorbehalten. Fehlt Ihnen dieser Zugang, senden Sie die folgende Hoster-Anfrage. Auch aktivierte automatische Updates ersetzen die Kontrolle der tatsächlich installierten Version nicht.
Für Administratoren ist in der Plesk-CLI-Referenz für Linux der Befehl `plesk bin extension --list` zur Bestandsaufnahme dokumentiert. Die Verwaltungsanleitung zeigt dazu Kennungen und Namen, keine Versionsausgabe. Ein direkt dokumentierter CLI-Befehl zur Abfrage der installierten Site-Import-Version wurde in der Recherche nicht gefunden. Nutzen Sie dafür die Verwaltungsoberfläche:
- Öffnen Sie als Administrator Extensions → My Extensions → Site Import und kontrollieren Sie die angezeigte Version.
- Bei einem Stand bis einschließlich 1.13.1: Öffnen Sie Extensions → Update/Updates, suchen Sie mit Check Now nach Aktualisierungen, wählen Sie Site Import und führen Sie Update aus.
- Öffnen Sie anschließend erneut Extensions → My Extensions → Site Import. Prüfen Sie, ob tatsächlich 1.13.2 oder neuer installiert ist, und halten Sie Version sowie Prüfzeitpunkt fest.
Was muss ich meinem Hoster schreiben?
Schicken Sie dem Hosting-Support diese Anfrage und ersetzen Sie die Platzhalter. Wenn Ihre Websitebetreuung den Kontakt übernimmt, bitten Sie um Weiterleitung der konkreten Antwort des Serverbetreibers.
Betreff: Prüfung von Plesk Site Import / CVE-2026-107246. Guten Tag, bitte prüfen Sie den Hosting-Server meiner Domains [DOMAINS], Kundennummer [NUMMER], hinsichtlich CVE-2026-107246. Ist Site Import installiert und aktiviert? Welche Erweiterungsversion ist aktuell installiert? Bitte bestätigen Sie den tatsächlichen Patchstand und den Zeitpunkt des Updates auf die von Plesk empfohlene Version 1.13.2 oder neuer. Haben Sie den Server auf verdächtige Aktivität beziehungsweise eine mögliche Kompromittierung geprüft? Welchen Zeitraum umfasst die Prüfung, und entsteht daraus Handlungsbedarf für meine Websites oder Zugangsdaten? Falls das Update noch aussteht, nennen Sie bitte einen konkreten Update-Termin und die zwischenzeitlichen Maßnahmen. Vielen Dank.
Die Anfrage unterstellt keinen bereits erfolgten Einbruch. Sie soll klären, welcher Stand für Ihre Domains gilt und ob weitere Maßnahmen nötig sind. Fragen Sie bei einer pauschalen Antwort nach der tatsächlich installierten Erweiterungsversion.
Was tun, wenn das Update nicht sofort geht?
Plesk nennt das Update als Abhilfe. Eine offizielle Ersatzmaßnahme ist im Advisory nicht dokumentiert. Lassen Sie den Hoster das Updatehindernis klären und einen konkreten Termin nennen.
Ist die Erweiterung entbehrlich, kann der Administrator als mögliche Risikoreduktion das Deaktivieren oder Entfernen prüfen: Extensions → My Extensions → Site Import → Disable beziehungsweise Remove. Diese Verwaltungsfunktionen sind dokumentiert. Ihre Wirksamkeit als vollständiger Patch-Ersatz für CVE-2026-107246 ist jedoch nicht bestätigt. Behandeln Sie den Vorgang deshalb nicht als nachgewiesene Behebung der Lücke.
Bitten Sie den Hoster um eine konkrete Beschreibung der zwischenzeitlichen Maßnahmen. Lassen Sie sich nach dem Update die tatsächlich installierte Erweiterungsversion bestätigen. Ziel bleibt der bestätigte Stand 1.13.2 oder neuer.
Häufige Fragen zu Plesk Site Import und CVE-2026-107246
WordPress und Plugins aktuell – reicht das?
Nein. Diese Lücke betrifft die Plesk-Erweiterung Site Import. Aktuelle WordPress- und Plugin-Versionen bestätigen deren Patchstand nicht. Lassen Sie zusätzlich die Erweiterungsversion beim Hoster prüfen. Bei einem kompromittierten Hosting-Server kann auch Ihre WordPress-Website mittelbar betroffen sein.
Cloudflare – bin ich sicher?
Die vorliegende Recherche belegt keinen Schutz durch Cloudflare gegen diese konkrete Lücke. Daraus lässt sich keine Schutzzusage ableiten. Fordern Sie auch bei Nutzung von Cloudflare die Bestätigung zu Site Import 1.13.2 oder neuer vom Serverbetreiber an.
Statische Website – betrifft mich das?
Auch eine statische Website kann mittelbar betroffen sein, wenn ihr Hosting-Server über Site Import kompromittiert wird. Maßgeblich ist hier die betroffene Erweiterung auf dem Server. Lassen Sie deren Installations- und Versionsstand prüfen, auch wenn Ihre Website kein CMS wie WordPress verwendet.
Wie erkenne ich einen Einbruch?
In den geprüften Veröffentlichungen wurden keine offiziellen, CVE-spezifischen Erkennungsmerkmale für einen Einbruch gefunden. Eine verlässliche Selbstprüfung anhand bestimmter Dateinamen oder Logsignaturen lässt sich daraus nicht ableiten. Bitten Sie den Hoster um Prüfung auf verdächtige Aktivität, den untersuchten Zeitraum und gegebenenfalls erforderliche Schritte für Ihre Websites oder Zugangsdaten.
Brauche ich Plesk-Adminzugang?
Für die serverweite Verwaltung und Aktualisierung der Erweiterung sind Administratorrechte erforderlich. Als Shared-Hosting-Kunde ohne diese Rechte können Sie den Patch nicht selbst einspielen. Dafür müssen Sie keinen Administratorzugang beschaffen: Beauftragen Sie Ihren Hoster mit der Prüfung und lassen Sie sich das Ergebnis bestätigen.
Ist Site Import automatisch installiert?
Eine allgemeine Standardinstallation ist nicht bestätigt. Die Importanleitung verlangt, die Installation vor der Nutzung sicherzustellen. Ebenso wenig ist belegt, dass die Erweiterung ausschließlich bei tatsächlicher Nutzung installiert ist. Dass Sie nie einen Import durchgeführt haben, ersetzt deshalb keine Bestandsprüfung.