Control Web Panelに任意コード実行の脆弱性、1.16で修正
ホスティング用の管理パネルControl Web Panelに、任意のファイル書き込みとOSコマンド実行につながる脆弱性が見つかりました。1.16より前を使う組織は、修正版への更新と、パネルへのアクセス制限の確認を進めてください。
急ぎ度: 早めに
CVSS v3は9.8、v4は9.3で、ネットワーク経由で認証なしに悪用できると評価されており、修正版1.16が公開されています。
関係があるか
Control Web Panel（CWP）でWebサーバーやホスティングを運用している組織が対象です。ユーザーパネルをインターネットに公開している環境ほど影響を受けやすいと考えられます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Control Web Panel（CWP） | webpanel_version 1.16より前 | 1.16 |
確かめ方
- 1CWPの管理画面で、現在のwebpanel_versionが1.16以上かを確認します。
- 2ベンダーの更新履歴（changelog）で、自社の版が1.16より前かを照らし合わせます。
- 3ユーザーパネルがインターネットから到達できる状態か、ファイアウォールやクラウドのセキュリティグループの設定で確認します。既定では2083番ポートが使われます。
- 4CWPを導入したサーバーが社内に複数あるときは、委託先や過去の構築案件も含めて洗い出します。
何が起きたか
Control Web Panel（CWP）のユーザーパネルにあるPHP設定の編集機能に、サーバー上の任意の場所へファイルを書き込める脆弱性と、任意のOSコマンドを実行できる脆弱性が見つかりました。組み合わさると、サーバーが乗っ取られるおそれがあります。
問題のあるのはphpini_editorというモジュールです。acc=updateの処理は、指定されたパスへ内容を書き込む際に、書き込み先を制限していません（CWE-22）。acc=addlabelphpiniadvの処理は、受け取った入力をエスケープせずにシェル実行へ渡しています（CWE-78）。
公表は2026年11月2日で、CWPのwebpanel_version 1.16で修正されています。
攻撃の流れ
-
1
パネルに到達
ネットワーク経由でユーザーパネルのphpini_editorモジュールに接続します。
-
2
任意ファイル書き込み
書き込み先の制限がないため、サーバー上の好きな場所に内容を置けます。
-
3
OSコマンド実行
エスケープされない入力がシェルに渡り、サーバー上でコマンドが動きます。
-
4
サーバー侵害
データの閲覧や改ざん、停止など、サーバー全体に影響が及びます。
どう悪用されるか
CVSSの評価では、攻撃元はネットワーク上の離れた場所で、攻撃の複雑さは低く、認証も利用者の操作も要りません。脆弱性の説明では、モジュールにアクセスできる攻撃者が対象とされています。
悪用されると、任意のファイルの書き込みと任意のOSコマンドの実行が可能になり、リモートからのコード実行に至ります。機密性・完全性・可用性のすべてに高い影響が出る評価で、同じサーバーに載っている複数のサイトや顧客のデータにも波及しかねません。
今すぐやること
-
1
CWPを1.16以上に更新する
CWPの更新機能で修正版へ上げます。作業前にサーバーのバックアップかスナップショットを取っておくと、戻せるので安心です。更新手順と最新の版はベンダーのchangelogで確認してください。
-
2
パネルへの到達元を絞る
更新までの間も更新後も、ユーザーパネルと管理パネルのポートは、社内ネットワークやVPN、許可したIPアドレスだけに限ります。インターネット全体に開けておく理由がなければ閉じます。
-
3
侵害の跡がないか調べる
公表直後なので可能性は高くありませんが、更新前に外部から到達できていた環境では確認しておきます。Webサーバーのアクセスログでphpini_editorへの不審な要求がないか、公開ディレクトリやシステム関連の場所に見覚えのないファイルがないか、見覚えのないプロセスや定期実行の設定がないかを見ます。
-
4
異常があれば資格情報を替える
不審な痕跡が見つかったら、サーバーを隔離したうえで、パネル・SSH・データベースなどの認証情報を入れ替え、必要ならクリーンな環境へ再構築します。
すぐ更新できないとき
すぐに更新できないときは、ユーザーパネルのポートをファイアウォールで閉じるか、VPNや許可IPからだけに限ります。これは到達できる相手を減らすつなぎの対策で、脆弱性そのものは残ります。ベンダーが個別の回避策を案内していないか、changelogや告知も確認してください。
背景
Control Web Panel（CWP）は、LinuxサーバーでWebサイト・メール・DNS・データベースなどをブラウザーから管理するための、ホスティング向け管理パネルです。以前はCentOS Web Panelの名前で知られていました。パネルは通常サーバーの管理権限で動くため、そこで任意のコマンドが実行できると、サーバー全体の乗っ取りに直結します。
今回の問題は、PHP設定を利用者ごとに編集するモジュールで起きています。CWPでは過去にも、CVE-2022-44877のようなリモートからのコード実行の脆弱性が実際に悪用されました。管理パネルは外部に公開されやすく、複数の顧客のサイトを同じサーバーで預かる運用も多いので、1か所の侵害が被害の広がりにつながりやすい製品です。
よくある質問
Q.ユーザーパネルにログインできる利用者を限っていれば、影響は小さいですか。
Q.1.16に更新したあと、追加でやることはありますか。
まだ分かっていないこと
- ユーザーパネルへのログインが実際の悪用に必要かは、脆弱性の説明とCVSSの評価で食い違っており、はっきりしません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Control Web Panel | Control Web Panel |
1.16 未満 |
1.16 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Control Web Panel (CWP) before webpanel_version 1.16 contains an arbitrary file write and OS command injection vulnerability in the phpini_editor user panel module. The acc=update action writes attacker-controlled content to an attacker-supplied path via file_put_contents with no path confinement, and the acc=addlabelphpiniadv action passes unsanitized attacker input into shell_exec without escaping. An attacker with access to the module can write arbitrary files and execute arbitrary OS commands, resulting in remote code execution.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com