Proxmox VE 7: Angreifer melden sich ohne Passwort als root an

Kurz gefasst

Proxmox warnt seit dem 1. September 2026: In Proxmox VE 7 und in ganz frühen 8er-Installationen lässt sich die Anmeldung vollständig umgehen — ohne Passwort, direkt als root.
Die Lücke wird aktiv ausgenutzt. Betroffene berichten von verschlüsselten Systemen mit Lösegeldforderung und von untergeschobenen Krypto-Minern.
Prepaid-Host ist nicht betroffen. Wer selbst Proxmox betreibt — auch auf einem Server bei uns — sollte die Paketversion jetzt prüfen.

Was passiert ist

Am 1. September 2026 hat Proxmox das Advisory PSA-2026-00043-1 veröffentlicht. Anlass waren keine internen Tests, sondern Hilferufe. Proxmox schreibt selbst, man habe von dem Problem erst jetzt erfahren, durch „many independent reports within the last two days, which also report exploitation in the wild". Übersetzt: Die Lücke wurde bekannt, weil bereits eingebrochen worden war.

Im Proxmox-Forum begann es am 31. August. Ein Nutzer meldete, seine Proxmox-VE-7-Installation sei verschlüsselt worden und für die Entschlüsselung werde Lösegeld verlangt. Sämtliche Logs waren gelöscht. Innerhalb eines Tages meldeten sich weitere Betroffene mit demselben Bild. Eine CVE-Nummer hat die Schwachstelle bis heute nicht.

Der Fehler: ein Parameter, der die Passwortprüfung übersprang

Die Anmeldung an der Proxmox-API läuft über POST /api2/json/access/ticket. Dieser Aufruf kennt einen Parameter tfa-challenge für den zweiten Faktor. Bei Konten ohne hinterlegten zweiten Faktor wurde dieser Parameter nie geprüft — und, entscheidend, allein seine Anwesenheit führte dazu, dass die Prüfung des übermittelten Passworts komplett übersprungen wurde.

Praktisch heißt das: Wer den Parameter mit einem beliebigen Wert mitschickt, meldet sich als jeder aktivierte Benutzer ohne Zwei-Faktor an. Standardmäßig gehört root@pam dazu. Kein Passwort, kein Ausprobieren, kein Raten. Ein Betroffener beschreibt im Forum, der Angreifer habe „straight away opened up a root Shell with no seemingly prior auth".

Die einzige Voraussetzung ist Zugriff auf die Weboberfläche beziehungsweise die API auf Port 8006. Wer diesen Port ins offene Internet hängt, ist damit angreifbar.

Drei Jahre offen — und der Fix war ein Zufall

Betroffen ist das Paket libpve-access-control ab Version 7.0-7 bis unterhalb von 8.0.4. Die 8.0.4 erschien am 20. Juli 2023 und hat das Problem behoben. Nur wusste das niemand.

Der Fix war ein Nebeneffekt eines Umbaus an der Zwei-Faktor-Anmeldung. Niemand erkannte ihn als Sicherheitskorrektur — entsprechend gab es keine Meldung und keinen Rückbau in den damals noch gepflegten Zweig Proxmox VE 7. Dort blieb die Lücke offen, während sie in den neueren Versionen längst geschlossen war. Über drei Jahre lang, bis Angreifer sie fanden.

Das ist die eigentliche Lehre aus diesem Vorfall. Eine Version ohne Sicherheitsunterstützung ist nicht „alt, aber stabil". Sie ist eine Version, deren Lücken irgendwann jemand anderes findet — und dann nicht meldet. Proxmox VE 7 ist seit Juli 2024 am Ende seines Lebenszyklus.

Bist du betroffen? So prüfst du das

Auf dem Proxmox-Host genügt ein Befehl:

dpkg-query -W -f '${Version}\n' libpve-access-control

Liegt die ausgegebene Version bei 7.0-7 oder höher, aber unterhalb von 8.0.4, ist das System verwundbar. Einen Gesamtüberblick über alle Paketstände liefert pveversion -v.

Woran du einen Einbruch erkennst

Aus den Berichten der Betroffenen lassen sich konkrete Spuren ableiten. Es waren offenbar mindestens zwei Gruppen unterwegs: eine mit Verschlüsselung und Lösegeldforderung, eine mit einem Krypto-Miner. Worauf du achten solltest:

Eine Datei /var/lib/systemd/PVE-1 — das war der Miner.
Ein Dienst PVE-1.service in der systemd-Konfiguration.
Logdateien, die auf /dev/null zeigen statt echte Dateien zu sein: auth.log, btmp, lastlog, wtmp, secure. So wurde die Spurenlage gelöscht, bevor sie entstand.
Ausgehende Verbindungen zum Mining-Pool gulf.moneroocean.stream auf Port 20004.
Fehlende oder abrupt endende Logs, unbekannte Benutzer in der Proxmox-Rechteverwaltung, unerklärliche Last.

Wer eine dieser Spuren findet, sollte das System als vollständig übernommen behandeln. Nach einem Root-Zugriff ist Aufräumen keine verlässliche Option — dann hilft nur neu aufsetzen und die Daten aus einem Backup zurückholen, das nachweislich älter ist als der Einbruch.

Was jetzt zu tun ist

Erstens: Port 8006 aus dem Internet nehmen. Das ist die Sofortmaßnahme und wirkt unabhängig von der Version. Zugriff nur über VPN, ein internes Netz oder eine feste Adressfreigabe. Das ist ohnehin die richtige Betriebsweise für eine Verwaltungsoberfläche.

Zweitens: aktualisieren. Auf eine unterstützte Version zu wechseln ist laut Proxmox die einzige dauerhafte Lösung. Bei Proxmox VE 7 bedeutet das den Sprung auf einen aktuellen Zweig, samt darunterliegendem Debian.

Drittens, falls beides gerade nicht geht: Proxmox nennt ein Notpflaster, das den Parameter wieder prüft.

sed -i.bck 's/^\t# This is the 2nd factor, use the password for the OTP response.$/\tverify_ticket($tfa_challenge, 0, $username);\n\t# This is the 2nd factor, use the password for the OTP response./' /usr/share/perl5/PVE/AccessControl.pm

Anschließend prüfen, ob der Eingriff gegriffen hat — die folgende Zeile muss 3 ausgeben:

grep -n 'verify_ticket($tfa_challenge, 0, $username)' /usr/share/perl5/PVE/AccessControl.pm | wc -l

Danach die Dienste neu laden:

systemctl reload-or-restart pvedaemon pveproxy

Das schließt diese eine Lücke. Es ersetzt kein Update: Ein System ohne Sicherheitsunterstützung bleibt ein System ohne Sicherheitsunterstützung, und die nächste Lücke wird nicht wieder per Handpflaster zu stopfen sein.

Sind Prepaid-Host-Kunden betroffen?

Nein. Unsere Virtualisierung läuft auf Proxmox VE 9, das eingesetzte libpve-access-control liegt weit oberhalb der korrigierten 8.0.4. Ich habe das nach dem Advisory nicht stichprobenartig, sondern für jeden einzelnen Host unserer Flotte nachgesehen und zusätzlich gezielt nach den oben beschriebenen Einbruchsspuren gesucht. Alle Hosts sind sauber.

Dazu kommt der Punkt, auf den es bei dieser Lücke ankommt: Unsere Proxmox-Oberflächen sind aus dem Internet nicht erreichbar. Die Verwaltung läuft ausschließlich über interne Adressen — und genau der Zugriff auf Port 8006 ist die Voraussetzung für diesen Angriff. Für deinen Server bei uns musst du nichts tun.

Anders sieht es aus, wenn du selbst Proxmox betreibst, etwa auf einem Rootserver bei uns. Dann liegt die Version in deiner Hand, und die Prüfschritte oben gelten für dich.

Quellen

Häufige Fragen

Bin ich als Prepaid-Host-Kunde von der Proxmox-Lücke betroffen?

Nein. Unsere Virtualisierung läuft auf Proxmox VE 9, weit oberhalb der betroffenen Versionen, und unsere Verwaltungsoberflächen sind aus dem Internet nicht erreichbar. Wir haben nach dem Advisory jeden Host geprüft, auch auf Einbruchsspuren. Nur wenn du selbst Proxmox auf einem eigenen Server installiert hast, betrifft dich die Lücke.

Welche Proxmox-Versionen sind von PSA-2026-00043-1 betroffen?

Verwundbar ist das Paket libpve-access-control ab Version 7.0-7 bis unterhalb von 8.0.4. Das entspricht Proxmox VE 7.0 bis 7.4 sowie den ersten 8.0er-Installationen. Behoben wurde es mit libpve-access-control 8.0.4 vom 20. Juli 2023. Prüfen kannst du das mit: dpkg-query -W -f '${Version}\n' libpve-access-control

Wie funktioniert der Angriff technisch?

Beim Anmeldeaufruf POST /api2/json/access/ticket wurde der Parameter tfa-challenge bei Konten ohne zweiten Faktor nicht geprüft. Schickt ein Angreifer diesen Parameter mit einem beliebigen Wert mit, überspringt die Anmeldung die Passwortprüfung vollständig. Damit meldet er sich ohne Zugangsdaten als jeder aktivierte Benutzer ohne Zwei-Faktor an, standardmäßig auch als root@pam.

Wird die Lücke aktiv ausgenutzt?

Ja. Proxmox hat von dem Problem laut eigener Aussage durch mehrere unabhängige Meldungen erfahren, die zugleich von Ausnutzung im Feld berichteten. Betroffene beschreiben verschlüsselte Systeme mit Lösegeldforderung sowie untergeschobene Krypto-Miner.

Was mache ich, wenn ich mein Proxmox VE 7 nicht sofort aktualisieren kann?

Nimm als Erstes Port 8006 aus dem Internet — Zugriff nur über VPN oder eine feste Adressfreigabe. Das wirkt sofort und unabhängig von der Version. Zusätzlich nennt Proxmox einen sed-Eingriff in /usr/share/perl5/PVE/AccessControl.pm, nach dem pvedaemon und pveproxy neu geladen werden müssen. Das ist ein Notpflaster und ersetzt kein Update.

Woran erkenne ich, ob mein Server bereits kompromittiert wurde?

Achte auf die Datei /var/lib/systemd/PVE-1, einen Dienst PVE-1.service, Logdateien wie auth.log oder wtmp, die auf /dev/null verlinkt sind, sowie ausgehende Verbindungen zu gulf.moneroocean.stream auf Port 20004. Findest du davon etwas, gilt das System als übernommen: neu aufsetzen und aus einem Backup zurückholen, das älter ist als der Einbruch.

Warum blieb die Lücke über drei Jahre unentdeckt?

Der Fehler wurde im Juli 2023 als Nebeneffekt eines Umbaus an der Zwei-Faktor-Anmeldung behoben, ohne dass jemand ihn als Sicherheitsproblem erkannte. Deshalb gab es weder eine Meldung noch einen Rückbau in den Zweig Proxmox VE 7, wo die Lücke offen blieb, bis Angreifer sie fanden.