Acronis Cyber Infrastructure: Unzureichende Berechtigungsprüfungen

Zusammenfassung

Acronis Cyber Infrastructure (ACI) Builds vor 6.0.1-112, 6.1.1-64 und 6.2.1-71 enthalten unzureichende Berechtigungsprüfungen (CWE-863). Laut CNA-Eintrag kann ein Angreifer sensible Informationen offenlegen und Daten manipulieren. Die CNA stuft die Schwachstelle als kritisch ein (CVSS 9.1), der Vektor deutet auf Netzwerkzugriff ohne Authentifizierung und ohne Benutzerinteraktion hin. Die Funktion des Produkts wird in den geprüften Quellen nicht beschrieben, daher sollte das Herstelleradvisory vor einer Beschreibung gegenüber Kunden geprüft werden.

Betroffen

• ACI vor Build 6.0.1-112
• ACI vor Build 6.1.1-64
• ACI vor Build 6.2.1-71
• Andere ACI-Zweige: Unbekannt.

Behoben in

• ACI 6.0 Build 6.0.1-112 (UPD-2412-4e16-4234)
• ACI 6.1 Build 6.1.1-64 (UPD-2412-49e2-786e)
• ACI 6.2 Build 6.2.1-71 (UPD-2412-7fef-a2db)
• Hinweis: Das Advisory-Snippet zeigt Veröffentlichungsdaten, die im Widerspruch zum Datum der CVE aus dem Jahr 2026 stehen. Die Update-Details auf der Advisory-Seite prüfen.

Umgehung

Unbekannt. In den Quellen wurde keine Workaround- oder Mitigationsmassnahme gefunden; das italienische CSIRT (ACN) empfiehlt die Installation der Herstellerupdates.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Nicht in der CISA-KEV-Liste.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: automatisierbar ja, technische Auswirkung total.

Unsere Empfehlung

• Alle ACI-Installationen und deren Build-Nummern inventarisieren, auch jene, die von Managed Service Providern betrieben werden.
• Auf 6.0.1-112, 6.1.1-64 oder 6.2.1-71 oder neuer aktualisieren, je nach Zweig, gemäss SEC-8128.
• Prüfen, dass keine ACI-Management-Schnittstelle aus dem Internet erreichbar ist, und die Zugriffsprotokolle für die Zeit vor dem Patch überprüfen.
• NVD-Eintrag und Acronis-Advisory in einigen Tagen auf Änderungen bei Bewertung oder Ausnutzungsstatus prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Acronis Advisory SEC-8128 security-advisory.acronis.com
• OpenCVE CVE-2026-87095 app.opencve.io
• VulDB 424729 vuldb.com
• ACN Italian CSIRT alert on Acronis products www.acn.gov.it
• Acronis Trust Center www.acronis.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:40.