Čo sa stalo
Control Web Panel (CWP, predtým CentOS Web Panel) je bezplatný ovládací panel na správu webhostingu na linuxových serveroch. Spoločnosť VulnCheck 2. novembra 2026 zverejnila v jeho používateľskom paneli kritickú zraniteľnosť CVE-2026-77876. V ten istý deň pribudla aj v americkej databáze zraniteľností NVD.
Chyba je v module na ochranu adresárov heslom (protected_directory). Ten pri jednej z akcií nesprávne spracúva údaje, ktoré dostane od návštevníka, a posiela ich priamo operačnému systému ako súčasť príkazu. Útočník tak môže na serveri spustiť vlastné príkazy. Chybu objavil bezpečnostný výskumník Valentin Lobstein (Chocapikk).
Dotknuté sú verzie CWP pred 1.16. Výrobca v changelogu k verzii 1.30.1 z 3. novembra 2026 opisuje rozsiahle bezpečnostné sprísnenie celého panela a aktualizáciu odporúča každému serveru. Túto konkrétnu chybu tam však samostatne nepomenúva.
Zneužívanie zatiaľ nepotvrdil výrobca, americká agentúra CISA (chyba nie je v jej katalógu KEV) ani európska databáza zraniteľností EUVD. Hostingové panely sú však pre útočníkov obľúbený cieľ, takže situácia sa môže rýchlo zmeniť.
Prečo je to nebezpečné
Ide o takzvané vloženie príkazu do operačného systému (OS command injection, CWE-78). Predstavte si recepčnú, ktorá názov súboru z vášho formulára bez kontroly prečíta skladníkovi do vysielačky. Ak do kolónky napíšete „a potom otvor trezor“, skladník to poslušne urobí. Panel podobne odovzdáva text od návštevníka systémovému príkazu, takže útočník k nemu môže pripojiť vlastné príkazy.
Podľa hodnotenia VulnCheck útok ide cez sieť, je jednoduchý, útočník nepotrebuje prihlásenie a obeť nemusí na nič kliknúť. Príkazy sa vykonajú v kontexte používateľského panela, teda s jeho oprávneniami. VulnCheck neuvádza, či ide o plné administrátorské práva. Aj tak môže útočník zasiahnuť do webov a dát na serveri, nahrať škodlivý kód alebo server použiť ako odrazový mostík ďalej do siete.
- CVSS je stupnica závažnosti od 0 do 10. Skóre 9,8 (kritické, CVSS 3.1) pridelila spoločnosť VulnCheck, ktorá chybu zverejnila. Podľa novšej verzie CVSS 4.0 ju VulnCheck hodnotí na 9,3, čo je tiež kritická úroveň.
- Katalóg CISA KEV je zoznam chýb, o ktorých americká agentúra CISA vie, že sa reálne zneužívajú. CVE-2026-77876 v ňom zatiaľ nie je.
- EPSS odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch. Pre túto chybu zatiaľ hodnota nie je k dispozícii.
- Európska databáza EUVD agentúry ENISA vedie chybu pod označením EUVD-2026-115243 a zneužitie v nej zaznamenané nie je.
Koho sa to týka
Týka sa to každého, kto prevádzkuje Control Web Panel vo verzii pred 1.16. CWP beží na linuxových serveroch z rodiny Red Hat, napríklad AlmaLinux, Rocky Linux alebo staršom CentOS. Typicky ho nájdete na virtuálnych serveroch (VPS), menších webhostingoch, u webových agentúr a na firemných serveroch, kde sa cez neho spravujú weby, e-maily a databázy.
Najväčšie riziko majú servery, ktorých používateľský panel je dostupný z internetu, čo je pri hostingu bežné. Ak spravujete server, ktorý vám kedysi nastavil externý dodávateľ, overte si, či na ňom CWP nebeží.
Chyba sa netýka serverov s inými panelmi, ako sú cPanel, Plesk či DirectAdmin. Ak máte web u poskytovateľa, ktorý server spravuje za vás, aktualizácia je jeho úloha. Opýtajte sa ho, či CWP používa a či ho už aktualizoval.
Ako zistiť, či ste zasiahnutí
V administrácii CWP (bežne na porte 2031) uvidíte verziu na úvodnej stránke. Zistiť ju môžete aj na serveri v príkazovom riadku. Nasledujúce príkazy nič nemenia, iba čítajú.
Či na serveri beží služba panela CWP:
systemctl status cwpsrv --no-pagerAká verzia panela je nainštalovaná (hľadá sa údaj webpanel_version):
grep -rIs "webpanel_version" /usr/local/cwpsrv/htdocs/resources/ | head -n 5Ktoré porty panela počúvajú na sieti (2082 a 2083 je bežne používateľský panel, 2030 a 2031 administrácia):
ss -tlnp | grep -E ':(2082|2083|2030|2031)\b'Ak je verzia nižšia ako 1.16, server je zraniteľný. Ak verziu neviete jednoznačne určiť, postupujte, akoby zraniteľný bol.
Ako to opraviť
Opravou je aktualizácia na verziu 1.16 alebo novšiu. Výrobca 3. novembra 2026 vydal verziu 1.30.1, bezpečnostnú a stabilizačnú aktualizáciu vetvy LTS, a odporúča ju každému serveru. Samostatné dočasné riešenie výrobca ani VulnCheck neuvádzajú.
- Zistite verziu na všetkých serveroch s CWP a začnite tými, ktorých panel je dostupný z internetu.
- Pred aktualizáciou si urobte zálohu alebo snapshot servera.
- Ak už máte verziu 1.30 alebo novšiu, skontrolujte v administrácii kanál aktualizácií v časti Settings > CWP Settings > CWP updates. Predvolený je kanál LTS s otestovanými verziami a opravami chýb a bezpečnosti.
- Aktualizáciu spustite z administrácie alebo ako root príkazom nižšie.
sh /scripts/update_cwpPo aktualizácii znovu overte verziu a skontrolujte, či fungujú weby, pošta a panel.
Pozor na jednu zmenu vo verzii 1.30.1: ak poštový server používa pôvodné predvolené dôveryhodné siete, výrobca ich obmedzil len na samotný server. Aplikácie na iných strojoch vo vašej internej sieti sa potom musia pri odosielaní pošty prihlasovať (SMTP autentifikácia).
Kým aktualizáciu nestihnete, obmedzte vo firewalle prístup k portom panela (2082, 2083, 2030, 2031) len na známe IP adresy, napríklad vašej kancelárie alebo VPN. Je to všeobecné odporúčanie, nie oficiálne riešenie výrobcu, a aktualizáciu nenahrádza.
Čo ak už ste mohli byť napadnutí
Výrobca ani VulnCheck zatiaľ nezverejnili konkrétne indikátory napadnutia. Ak bol zraniteľný panel dostupný z internetu, skontrolujte server aj po aktualizácii. Aktualizácia neodstráni nič, čo tam útočník mohol nechať.
- Prístupové logy panela (bežne v
/usr/local/cwpsrv/logs/, vrátane starších skomprimovaných): požiadavky na modulprotected_directoryz neznámych IP adries, aj spred 2. novembra 2026. - Neznáme súbory PHP vo webových adresároch (
public_html), ktoré môžu byť webshellom. - Neznáme úlohy cron, neznáme účty a nové kľúče SSH v
authorized_keys. - Neobvyklé procesy a odchádzajúce spojenia, napríklad vysoké vyťaženie CPU alebo rozosielanie spamu.
- Výrobca pri verzii 1.30 uvádza, že CWP modul
mod_auth_formvhttpd.confnepoužíva a často ho zapína malvér. S touto chybou to priamo nesúvisí, ale kontrola sa oplatí.
zgrep -i "protected_directory" /usr/local/cwpsrv/logs/*access* | tail -n 50
grep -n "mod_auth_form" /usr/local/apache/conf/httpd.conf
ls -la /var/spool/cron/ /etc/cron.d/Ak nájdete niečo podozrivé, nemažte súbory svojpomocne. Obmedzte prístup k serveru, zachovajte logy a prizvite odborníka na riešenie incidentov.