Sicherheitsbriefing, 30. April 2026: SAP-npm-Lieferketten-Backdoor, cPanel-Auth-Bypass und Linux-Root-Bug Copy Fail

Das Thema heute Morgen ist simpel: Wenn vertrauenswürdige Infrastruktur vergiftet wird, brauchen Angreifer keine exotische Magie mehr.

---

---

1. Der SAP-npm-Kompromiss ist ein direkter Schuss auf Entwickler- und CI-Secrets

Vier offizielle SAP-npm-Pakete rund um das Cloud Application Programming Model und Cloud MTA wurden mit einer bösartigen Preinstall-Kette versehen. Laut BleepingComputer, Aikido und Socket lädt die Nutzlast Bun nach, startet einen verschleierten Stealer und sucht nach GitHub-Tokens, npm-Tokens, SSH-Schlüsseln, Cloud-Credentials, Kubernetes-Secrets und CI/CD-Umgebungsvariablen. Noch schlimmer: Sie soll direkt den Speicher von Runnern auslesen und sich mit gestohlenen Tokens selbst weiterverbreiten.

• Die kompromittierten Versionen sofort entfernen und alle Entwickler-, CI-, Cloud- und GitHub-Secrets rotieren, die auf betroffenen Build-Hosts lagen.
• Publish-Pfade und Token-Rechte im CI neu prüfen; langlebige Publish-Tokens sind wieder einmal eine schlechte Idee.
• Erfolgreiche Installationen als Incident-Response-Fall behandeln, nicht als normales Dependency-Update.

---

2. Das cPanel-Notfallpatch für den Auth-Bypass ist keine optionale Wartung

cPanel und WHM haben ein Notfall-Update für CVE-2026-41940 veröffentlicht, einen Authentifizierungs-Bypass mit Schweregrad 9,8, der praktisch alle außer den neuesten unterstützten Builds betrifft. Namecheap blockierte die exponierten Management-Ports vorübergehend, noch bevor Patches bereitstanden – das zeigt, wie ernst Hoster die Lage nahmen. Wer cPanel übernimmt, bekommt Websites, Mail, Datenbanken und Konfigurationen; wer WHM übernimmt, besitzt den ganzen Hosting-Server samt aller Tenants.

• Jetzt /scripts/upcp --force ausführen und verifizieren, dass wirklich eine gepatchte Version läuft – nicht nur angeblich die neueste.
• Wenn 2083 oder 2087 noch aus dem Internet erreichbar sind, den Zugriff einschränken, bis die Patch-Abdeckung bewiesen ist.
• Davon ausgehen, dass Kundenumgebungen schnell gescannt werden; Control-Panel-Bugs lassen sich leicht im großen Stil monetarisieren.

---

3. Copy Fail gibt Linux-Angreifern einen brutal einfachen Root-Pfad nach dem Erstzugriff

The Register berichtet, dass die neue Lücke Copy Fail, CVE-2026-31431, einem unprivilegierten lokalen Nutzer erlaubt, vier kontrollierte Bytes in den Page Cache einer beliebigen lesbaren Datei zu schreiben und daraus Root zu machen. Der PoC ist winzig, umgeht klassische File-Event-Tripwires und betrifft weit mehr als Laptops: Shared-Kernel-Container, CI-Runner und Multi-Tenant-Linux-Systeme sind genau die Orte, an denen aus einer lokalen Privilege Escalation nach einem ersten Fuß in der Tür ein echtes externes Risiko wird.

• Linux-Systeme zügig patchen – besonders CI-Worker, Shared Server, Kubernetes-Nodes und alle Hosts, auf denen lokal fremder Code laufen darf.
• Lokale Privilege-Escalation-Bugs höher priorisieren, wenn sie so zuverlässig sind; „nur lokal“ ist faule Triage, sobald Web-RCE oder gestohlene SSH-Sessions existieren.
• Nach verdächtigen Setuid-Pfaden und jüngsten Erstzugriffen suchen, die bereits mit dieser Lücke verkettet worden sein könnten.

KENSAI veröffentlicht tägliche Sicherheitsbriefings mit Fokus auf ausnutzbare Pfade, operative Auswirkungen und die nächsten Schritte für Verteidiger.