Новоразкрита уязвимост в Plesk Backup Manager може да позволи на потребители с ниски привилегии да ескалират правата си и да получат пълен root достъп до засегнати Linux сървъри.
Проследявана като CVE-2026-68488, уязвимостта произтича от грешка тип symlink race condition (състезание за ресурси при символни връзки) по време на операции за възстановяване на съдържание на абонамент.
Проблемът засяга инсталации на Plesk Obsidian, работещи с Plesk for Linux версии 18.0.80.6 и по-ранни, както и 18.0.79.10 и по-ранни. Версията Plesk for Windows не е засегната.
Според Plesk уязвимостта съществува в работния процес на Backup Manager, използван за възстановяване на съдържание, принадлежащо на клиентски абонамент. Потребител с обикновен достъп до Plesk Panel и FTP достъп до своя собствен хостван абонамент може да се възползва от race condition уязвимост, свързана със символни връзки (symlinks).
Символните връзки са обекти във файловата система, които сочат към друг файл или директория. В този случай атакуващият може да се опита да замени или манипулира път по време на процеса на възстановяване, така че Plesk да промени собствеността върху файл или директория извън назначения на атакуващия абонамент.
Уязвимост в Plesk Backup Manager
Тъй като операциите по възстановяване могат да се изпълняват с повишени привилегии, успешното възползване от уязвимостта може да позволи на атакуващия да промени собствеността върху файлове, които иначе би трябвало да са недостъпни.
Получаването на контрол върху чувствителен файл или директория след това може да се използва за постигане на пълен достъп от ниво root до основния Linux сървър.
Уязвимостта е особено значима за среди за споделен хостинг, управлявани сървъри и мултинаемни (multi-tenant) Plesk внедрявания. При такива конфигурации клиентите обикновено получават ограничени Panel и FTP разрешения.
Те не трябва да могат да взаимодействат с файлове на операционната система, абонаменти на други клиенти или административни ресурси. CVE-2026-68488 нарушава тази граница на сигурност, като потенциално позволява на клиентски акаунт да засегне файлове извън неговата собствена хостинг среда.
Атакуващият ще се нуждае от валиден достъп до абонамент в Plesk, което означава, че недостатъкът не е уязвимост за дистанционно изпълнение на код без автентикация (unauthenticated remote code execution). Въпреки това въздействието остава сериозно, тъй като успешното й експлоатиране може да доведе до пълно компрометиране на сървъра.
Plesk публикува коригирани версии за засегнатите клонове на продукта за Linux. Организациите, използващи продуктовата линия 18.0.80, трябва да актуализират до Plesk Obsidian 18.0.80.7 или по-нова. Тези, които използват клона 18.0.79, трябва да се обновят до версия 18.0.79.11 или по-нова.
Администраторите трябва с приоритет да инсталират корекции за сигурност на достъпните през интернет и мултинаемни Plesk сървъри, особено системи, при които клиентите имат FTP достъп и могат да задействат функционалности, свързани с архивиране или възстановяване.
Хостинг доставчиците трябва също така да прегледат потребителските акаунти в Plesk, разрешенията за абонамент и скорошната активност по възстановяване за неочаквани промени в собствеността на файлове.
Екипите по сигурност могат да следят за необичайни модификации на файловата собственост извън уеб корените на клиентите, неочаквани символни връзки в директориите на абонаментите и съмнителна активност, свързана с операции за възстановяване на Backup Manager. Прегледът на промените във файловата система с привилегирован достъп и логовете за автентикация може да помогне за идентифициране на опити за експлоатация.
От Plesk благодариха на изследователите по сигурността Ali Mustafa (известен още като rz1027) и abed1526 за отговорното докладване на уязвимостта. Вендорът съветва клиентите да обновят Plesk Obsidian до най-новата налична версия възможно най-скоро.