Über die Sicherheit beim Webhosting entscheidet sich in den Stunden, nachdem eine Sicherheitslücke öffentlich bekannt wird. Eine Liste mit Funktionen entscheidet darüber nicht. Dieser Artikel erklärt, wie InMotion Hosting mit CVE-2026-41940 umgegangen ist, einem kritischen Zero-Day-Exploit für „ cPanel “. Er behandelt, welche Schutzmaßnahmen automatisch und ohne jegliches Zutun des Kunden laufen, was bei den einzelnen Tarifarten in deiner Verantwortung bleibt und welche Fragen du jedem Host stellen solltest, bevor die nächste kritische Sicherheitslücke auftaucht.
Bei sicherem Webhosting kommt es darauf an, wie schnell dein Anbieter die Sicherheitslücke schließen kann, sobald eine kritische Schwachstelle öffentlich bekannt wird. In der Praxis sind dafür drei Dinge erforderlich. Der Host sperrt den anfälligen Dienst innerhalb weniger Stunden am Netzwerkrand. Er patcht jeden Server, ohne auf Kunden zu warten. Und er gibt der kleinen Gruppe, die praktische Hilfe benötigt, klare Anweisungen. Als cPanel am 28. April 2026 CVE-2026-41940 bekanntgab, hat InMotion Hosting alle drei Punkte umgesetzt. Von 144.870 potenziell betroffenen Kunden blieben 99 % geschützt, ohne dass es zu einer Unterbrechung des Dienstes kam.
Warum ist das Patch-Fenster die wichtigste Kennzahl für die Sicherheit beim Webhosting?
Angreifer haben ihre bevorzugte Vorgehensweise geändert. Der „Verizon Data Breach Investigations Report 2026“ ergab, dass das Ausnutzen von Schwachstellen in Verbindung mit gestohlenen Zugangsdaten nun der häufigste Erstzugriffsvektor ist – eine Premiere in der Geschichte des Berichts –, mit einem Anteil von 31 % aller Erstzugriffsfälle. Die Verteidiger gingen den umgekehrten Weg. Die mittlere Zeit bis zur vollständigen Behebung von Sicherheitslücken stieg auf 43 Tage, gegenüber 32 Tagen im Vorjahr.
34 Tage wären schon ein Problem, selbst wenn Angreifer warten würden, bis Patches verfügbar sind. Das tun sie aber nicht. Laut Mandiants „M-Trends 2026“ liegt die geschätzte durchschnittliche Zeit bis zur Ausnutzung bei minus sieben Tagen, was bedeutet, dass Angriffe regelmäßig beginnen, bevor ein Patch veröffentlicht wird.
WordPress Websites stehen unter noch größerem Zeitdruck. Laut Patchstacks Bericht „State of WordPress Security in 2026“ lag der gewichtete Medianwert für die Zeit bis zur ersten Ausnutzung bei fünf Stunden. Derselbe Bericht ergab, dass für 46 % der WordPress -Sicherheitslücken zum Zeitpunkt ihrer Offenlegung noch kein Patch verfügbar war.
Stell dir einen Ladenbesitzer vor, der jeden Freitagmorgen seine Plugins aktualisiert. Der Besitzer arbeitet nach einem wöchentlichen Zyklus, Angreifer hingegen nach einem stündlichen. Einige Ebenen liegen völlig außerhalb der Reichweite des Besitzers: das Control Panel, der Linux-Kernel und das Netzwerk. Für diese Bereiche zählt nur das Patch-Fenster des Hosts.
Wie sah eine echte Zero-Day-Reaktion auf CVE-2026-41940 bei „ cPanel “ aus?
CVE-2026-41940 ist eine Sicherheitslücke zur Umgehung der Vorauthentifizierung in „ cPanel “ und WHM mit einem CVSS-Wert von 9,8. Forscher von watchTowr Labs haben herausgefunden, dass sie drei separate Schwachstellen in der Art und Weise verknüpft, wie „ cPanel “ Anmeldungen und Sitzungen verarbeitet. Ein Angreifer, der Zugriff auf einen anfälligen Server hatte, benötigte weder Benutzernamen noch Passwort noch 2FA-Code, um Root-Zugriff zu erlangen. Laut Shodan-Daten waren rund 1,5 Millionen im Internet zugängliche „ cPanel “-Instanzen gefährdet.
Die Sicherheitslücke wurde bereits ausgenutzt, bevor die meisten Leute überhaupt wussten, dass es sie gab. Forscher berichteten bereits Ende Februar 2026 von Anzeichen für einen Missbrauch – etwa zwei Monate, bevor das „ cPanel “ einen Patch veröffentlichte. Die CISA setzte den Bundesbehörden daraufhin eine Frist bis zum 3. Mai, um die Sicherheitslücke zu schließen.
| Datum | Meilenstein |
|---|---|
| Ende Februar 2026 | Forscher führen die ersten Hinweise auf eine Ausnutzung später auf dieses Zeitfenster zurück |
| 28. April | cPanel veröffentlicht den Patch; InMotion sperrt die betroffenen Ports am Netzwerkrand in allen drei Rechenzentrumsregionen innerhalb weniger Stunden und startet die automatische Patch-Installation |
| 30. April | Die CISA nimmt CVE-2026-41940 in ihren Katalog bekannter ausgenutzter Sicherheitslücken auf |
| 1. Mai | InMotion veröffentlicht seinen technischen Folgebericht mit Überprüfungsschritten für Serveradministratoren |
| 13. Mai | cPanel veröffentlicht ein zweites Update, das fünf weitere CVEs abdeckt; InMotion wendet es noch am selben Tag auf die verwalteten Umgebungen an |
Wie haben zwei parallele Ansätze dafür gesorgt, dass die Websites online blieben?
Der erste Schritt bestand darin, die Angriffsfläche zu verringern. Das Netzwerkbetriebsteam von InMotion hat die Verwaltungsports für das „ cPanel “, WHM, Webmail und WebDisk (2082, 2083, 2086, 2087, 2095, 2096, 2077 und 2078) am Netzwerkrand in den Rechenzentren im Osten und Westen der USA sowie in Europa geschlossen. Websites, Anwendungen, Datenbanken und E-Mail laufen über Standardports, sodass sie weiterhin funktionierten. Auch das Account Management Panel (AMP) blieb verfügbar.
Der zweite Ansatz behob den zugrunde liegenden Fehler. Die Techniker optimierten automatisierte Skripte, um das offizielle „ cPanel “-Update auf allen berechtigten Servern zu installieren. Sie gaben den Port-Zugriff auf jedem Server erst wieder frei, nachdem dies auf einer gepatchten Version bestätigt worden war. Einige Server konnten das Update aufgrund von Versionsbindung oder einer „End-of-Life“- cPanel -Version nicht installieren. Diese Server blieben gesperrt, und das Team kontaktierte ihre Besitzer direkt. Einige dieser Kunden wurden auf neue Hardware umgestellt und erhielten neue Serverdaten sowie Migrations-Checklisten.
„Bei den meisten unserer Managed-Hosting-Kunden lief das so ab, dass sie keinen Finger rühren mussten. Bei dem kleinen Teil, dessen Umgebungen direkte Aufmerksamkeit erforderten, hat sich unser Team proaktiv gemeldet, klare nächste Schritte aufgezeigt und so lange dran geblieben, bis alles geklärt war. Genau diese praktische Verantwortung ist es, wie eine Managed-Hosting-Beziehung aussehen sollte.“ John Joseph, Director of Customer Success, InMotion Hosting
Ist „ cPanel “ immer noch ein zuverlässiges Control Panel?
Ja. Jede Software, die auf Hunderttausenden von Servern mit Internetanbindung läuft, wird ernsthaft in den Fokus der Forschung rücken, und bei einigen dieser Untersuchungen werden kritische Fehler aufgedeckt. Die Zahl von 1,5 Millionen verdeutlicht die Reichweite von „ cPanel“. Das ist kein Zeichen dafür, dass „ cPanel “ besonders anfällig ist. „ cPanel “ hat einen Patch bereitgestellt und ein Skript zur Erkennung von Kompromittierungen für Administratoren veröffentlicht. Wie groß dein Risiko ist, hängt davon ab, wie schnell dein Hosting-Anbieter auf solche Veröffentlichungen reagiert.
Wie beschleunigt ein eigenes privates Netzwerk den Zero-Day-Schutz?
Die meisten Hosting-Anbieter schützen einen anfälligen Dienst, indem sie auf jedem Server Firewall-Regeln hinzufügen. Das funktioniert zwar, ist aber langsam. Die Zeit bis zur vollständigen Abdeckung steigt mit der Anzahl der Server, und jeder Server muss erreichbar und betriebsbereit sein, um die Regel zu akzeptieren. Da InMotion auf eigener Hardware und in einem privaten Netzwerk läuft, kann die Sperre einmalig am Rand jeder Region angewendet werden. Der Angriffsverkehr erreicht den Server überhaupt nicht.
| Faktor | Netzwerk-Edge-Block | Blockierung auf Server-Ebene |
|---|---|---|
| Wo die Regel gilt | Bevor der Datenverkehr einen Server erreicht | In der Firewall jedes Servers |
| Wer kann es anwenden? | Der Anbieter, der das Netzwerk betreibt | Ein Administrator auf jedem Server |
| Zeit bis zum vollständigen Versicherungsschutz | Eine Änderung pro Region | Wächst mit der Anzahl der Server |
| Server, die festgepinnt, veraltet oder übersehen wurden | Wird automatisch abgedeckt | Das übersieht man leicht |
| Auswirkungen auf die Besucherzahlen der Website | Keine, wenn nur die Management-Ports geschlossen werden | Keine, wenn alles richtig konfiguriert ist |
„Da wir unsere eigene globale Netzwerkinfrastruktur besitzen und betreiben, hat unser Netzwerkbetriebsteam den externen Zugriff auf die anfälligen Ports an unserem Netzwerkrand innerhalb weniger Stunden nach Bekanntwerden gesperrt.“ Erik Soroka, Leiter IT und Rechenzentrumsbetrieb, InMotion Hosting
Das wirst du auf einer Preisseite niemals sehen. Es entscheidet aber trotzdem darüber, ob die Sichtbarkeit Stunden oder Tage dauert.
Welche Sicherheitsmaßnahmen laufen automatisch auf einem verwalteten Host?
Die Reaktion auf „ cPanel “ war kein Einzelfall. Inzwischen laufen mehrere weitere Schutzmaßnahmen auf der gesamten Serverflotte von InMotion, ohne dass die Kunden irgendetwas konfigurieren müssen.
Updates für das Control Panel noch am selben Tag. Am 13. Mai 2026 veröffentlichte cPanel Korrekturen für fünf weitere Sicherheitslücken, die bis zu „Hoch“ eingestuft wurden. InMotion hat dieses Update noch am Tag der Veröffentlichung auf alle verwalteten Shared-, WordPress-, Reseller-, VPS- und Dedicated-Umgebungen angewendet, sodass die Kunden nichts tun mussten.
Abhilfemaßnahmen auf Kernel-Ebene, bevor die Upstream-Korrekturen implementiert wurden. „Dirty Frag“ wurde am 7. Mai 2026 bekannt gegeben. Die Schwachstelle verbindet zwei Linux-Kernel-Lücken (CVE-2026-43284 und CVE-2026-43500) miteinander und ermöglicht es einem lokalen Benutzer ohne Sonderrechte, auf den meisten gängigen Distributionen Root-Rechte zu erlangen. Das ist auf Hosting-Servern von Bedeutung, da ein kompromittiertes Website-Konto zu einem „lokalen Benutzer“ werden kann. InMotion hat das Laden der betroffenen Kernel-Module auf seiner gesamten Dedicated-Flotte blockiert. VPS-Kunden wurden automatisch auf der Ebene der zugrunde liegenden Knoten geschützt.
Anwendungsschutz zur Laufzeit. Im August 2026 hat InMotion Monarx ThreatShield auf seiner gesamten Serverflotte eingeführt. ThreatShield läuft innerhalb der PHP-Engine und überwacht, was der Code während der Ausführung tatsächlich tut. Diese Ebene ist wichtig, denn Tests von Patchstack haben ergeben, dass herkömmliche Abwehrmaßnahmen wie WAFs und ModSecurity nur 12 % der Angriffe blockierten, die auf bekannte, ausgenutzte Schwachstellen in „ WordPress “ abzielten.
Malware-Erkennung und -Beseitigung. Der Monarx-Malware-Schutz mit automatischer Abwehr ist im „Premier Care“-Paket für VPS und dedizierte Server enthalten. Er ist auch als Zusatzoption erhältlich.
Welche Sicherheitsaufgaben übernimmt dein Hosting-Paket für dich?
Auch beim Managed Hosting wird die Verantwortung für die Sicherheit weiterhin zwischen dir und deinem Hosting-Anbieter aufgeteilt. Wo genau die Grenze verläuft, hängt von deinem Tarif ab.
| Tarifart | Patches für das Control Panel und das Betriebssystem | Was dir gehört |
|---|---|---|
| Gemeinsam genutzt, WordPress, Wiederverkäufer | Wird automatisch von InMotion angewendet | WordPress Kern, Plugins, Themes, Passwörter, Benutzerkonten und die Pflege von Kundenkonten für Wiederverkäufer |
| Managed VPS, Managed Dedicated | Wird automatisch von InMotion angewendet | Anwendungsschicht, Anmeldedaten und von dir installierte benutzerdefinierte Software |
| Selbstverwaltete VPS und dedizierte Server | InMotion bietet Hilfe bei Patches und Support rund um die Uhr | All das oben Genannte sowie die Überprüfung des Patch-Stands, der Kernel- und Betriebssystem-Updates sowie der Firewall-Regeln |
Warum hat die Zwei-Faktor-Authentifizierung diesen Angriff nicht verhindert?
Das überrascht viele Webseitenbetreiber. Der Exploit CVE-2026-41940 kennzeichnete die Sitzung als 2FA-verifiziert, noch bevor eine 2FA-Abfrage erschien. Bis die Server gepatcht waren, war das Blockieren der Ports die einzige zuverlässige Abwehrmaßnahme. Lasst 2FA auf jeden Fall aktiviert. Der Missbrauch von Zugangsdaten macht immer noch einen erheblichen Anteil der Sicherheitsverletzungen aus, und 2FA verhindert den Großteil davon. Verlass dich aber nicht darauf, dass 2FA dich vor einer Sicherheitslücke schützt, die den Anmeldevorgang komplett umgeht.
Welche Sicherheitsgewohnheiten zahlen sich noch aus?
- Ändere deine Zugangsdaten nach jeder Sicherheitswarnung des Control Panels. Ändere deine Passwörter für cPanel, WHM und die Datenbanken. Gehe davon aus, dass alle in Dateien unter deinem Web-Stammverzeichnis gespeicherten Zugangsdaten offengelegt wurden.
- Entferne Plugins, die du nicht nutzt. Im Jahr 2025 entfielen 91 % der Sicherheitslücken auf WordPress auf Plugins. Plugins aus dem Premium-Marktplatz wiesen dreimal so viele bekannte, ausgenutzte Sicherheitslücken auf wie kostenlose Plugins.
- Aktiviere die 2-Faktor-Authentifizierung für cPanel, WordPress -Admin- und E-Mail-Konten.
- Speichere Backups an einem anderen Ort als auf dem Server, den sie schützen.
- Überprüfe, ob du Anmeldungen und Konten findest, die du nicht kennst. Schau dir nach einer Sicherheitswarnung die Aufzeichnungen zu den letzten Anmeldungen unter cPanelsowie deine FTP-Konten, E-Mail-Konten und SSH-Schlüssel an.
Was sollten Besitzer selbstverwalteter Server überprüfen?
Wenn du deinen eigenen VPS oder Dedicated Server verwaltest, überprüfe deine cPanel -Version über SSH:
/usr/local/cpanel/cpanel -VWenn die Ausgabe nicht mit einem gepatchten Build übereinstimmt, erzwinge das Update und starte den Dienst „ cPanel “ neu:
/scripts/upcp --force
/scripts/restartsrv_cpsrvd --hardFühre dann das Skript zur Erkennung von Kompromittierungen aus dem offiziellen Hinweis voncPanel aus. Die vollständige Checkliste findest du in unserem technischen Folgeartikel.
Welche Fragen solltest du deinem Hosting-Anbieter zum Thema Sicherheit stellen?
Frag das, bevor du einen Vertrag abschließt oder verlängerst – und nicht erst, wenn der nächste Vorfall passiert:
- Kann man einen anfälligen Dienst am Netzwerkrand in jedem Rechenzentrum sperren, ohne den Website-Verkehr zu beeinträchtigen? Eine gute Antwort nennt den Mechanismus und gibt an, wie lange das dauert.
- Was ist euer Zielzeitraum für die Behebung von Schwachstellen auf der CISA-KEV-Liste? Bundesbehörden hatten für CVE-2026-41940 etwa drei Tage Zeit, während der Medianwert laut DBIR bei 43 Tagen liegt. Fragt nach, wie der Prozess bei eurem Hosting-Anbieter aussieht.
- Müssen Kunden mit Managed-Service-Vertrag etwas unternehmen, wenn ein Control-Panel- oder Kernel-Patch veröffentlicht wird? Bei einem Managed-Service-Vertrag lautet die Antwort in der Regel „nein“.
- Was passiert mit Servern, auf denen der Patch nicht installiert werden kann? Such dir einen Plan, der auch festgelegte Versionen und Software am Ende ihres Lebenszyklus abdeckt – nicht nur die einfachen Fälle.
- Wer meldet sich bei mir, wenn in meiner Umgebung praktische Maßnahmen nötig sind, und wie? Eine proaktive Kontaktaufnahme mit konkreten nächsten Schritten ist besser als eine allgemeine Statusseite.
- Ist euer Support-Team intern und bei einem Vorfall rund um die Uhr erreichbar? Die Techniker von InMotion absolvieren vor ihrem Einsatz im Tier-1-Support mehr als 280 Stunden Schulung, und die durchschnittliche Betriebszugehörigkeit im Support beträgt mehr als fünf Jahre.
- Was läuft auf der Anwendungsebene, um Exploits zu stoppen, bevor ein Patch verfügbar ist? Der Laufzeitschutz deckt den Zeitraum ab, bevor ein Fix veröffentlicht wird – also genau dann, wenn Patches allein nicht ausreichen.
Ist Managed VPS oder Managed Dedicated Hosting die richtige Wahl für deine Sicherheitsanforderungen?
Managed Hosting ist in drei Situationen am sinnvollsten: Deine Website generiert stündlich Umsatz, solange sie online ist. Du bist eine Agentur, die für die Websites ihrer Kunden verantwortlich ist. Oder niemand in deinem Team hat die Zeit, die Sicherheitshinweise unter cPanel und die Kernel-Sicherheitsmitteilungen im Auge zu behalten. In jedem dieser Fälle sind die Updates, die ohne jegliches Zutun des Kunden bereitgestellt werden, der entscheidende Vorteil.
Managed-VPS-Hosting eignet sich für die meisten Websites einzelner Unternehmen und wachsende WooCommerce-Shops. Managed-Dedicated-Server sind ideal für Workloads mit hohem Datenverkehr, Agenturen, die Dutzende von Kunden-Websites betreiben, und Teams, die eine Isolierung auf Hardware-Ebene benötigen. Wenn du einen kompetenten Systemadministrator hast und volle Root-Kontrolle wünschst, ist ein selbstverwalteter Tarif eine gute Wahl – vorausgesetzt, jemand kümmert sich um die Patch-Checkliste.
Bei beiden Managed-Tarifen bietet „Premier Care“ zusätzlich den Monarx-Malware-Schutz und dedizierten Backup-Speicher (300 GB beim VPS, 500 GB beim Dedicated-Server). Außerdem sind der vorrangige „Advanced Product Support“ für den VPS sowie eine Stunde Beratung durch InMotion Solutions pro Monat für den Dedicated-Server enthalten.
Die nächste kritische CVE steht bevor. Entscheide dich für einen Host, der bereits bewiesen hat, dass er Sicherheitslücken innerhalb weniger Stunden schließen kann. Sprich mit unserem Team über den passenden Managed-Plan für deine Workloads.