Co se stalo
Control Web Panel (CWP, dříve CentOS Web Panel) je bezplatný ovládací panel pro správu webhostingu na linuxových serverech. Společnost VulnCheck 2. listopadu 2026 zveřejnila v jeho uživatelském panelu kritickou zranitelnost CVE-2026-77876. Týž den se objevila také v americké databázi zranitelností NVD.
Chyba je v modulu pro ochranu adresářů heslem (protected_directory). Ten při jedné z akcí špatně zpracovává data od návštěvníka a předává je přímo operačnímu systému jako součást příkazu. Útočník tak může na serveru spustit vlastní příkazy. Chybu objevil bezpečnostní výzkumník Valentin Lobstein (Chocapikk).
Zasaženy jsou verze CWP před 1.16. Výrobce v changelogu k verzi 1.30.1 z 3. listopadu 2026 popisuje rozsáhlé bezpečnostní zpřísnění celého panelu a aktualizaci doporučuje každému serveru. Tuto konkrétní chybu v něm ale samostatně nejmenuje.
Zneužívání zatím nepotvrdil výrobce, americká agentura CISA (chyba není v jejím katalogu KEV) ani evropská databáze zranitelností EUVD. Hostingové panely jsou ale pro útočníky oblíbeným cílem, takže se to může rychle změnit.
Proč je to nebezpečné
Jde o takzvané vložení příkazu do operačního systému (OS command injection, CWE-78). Představte si recepční, která název souboru z vašeho formuláře bez kontroly přečte skladníkovi do vysílačky. Když do kolonky napíšete „a pak otevři trezor“, skladník to poslušně udělá. Panel podobně předává text od návštěvníka systémovému příkazu, takže k němu útočník může připojit vlastní příkazy.
Podle hodnocení VulnCheck útok probíhá přes síť, je jednoduchý, útočník nepotřebuje přihlášení a oběť nemusí na nic klikat. Příkazy se provedou v kontextu uživatelského panelu, tedy s jeho oprávněními. VulnCheck neuvádí, zda jde o plná administrátorská práva. I tak může útočník zasáhnout do webů a dat na serveru, nahrát škodlivý kód nebo server použít jako odrazový můstek dál do sítě.
- CVSS je stupnice závažnosti od 0 do 10. Skóre 9,8 (kritické, CVSS 3.1) přidělila společnost VulnCheck, která chybu zveřejnila. Podle novější verze CVSS 4.0 ji VulnCheck hodnotí na 9,3, což je rovněž kritická úroveň.
- Katalog CISA KEV je seznam chyb, o kterých americká agentura CISA ví, že se skutečně zneužívají. CVE-2026-77876 v něm zatím není.
- EPSS odhaduje pravděpodobnost zneužití v následujících 30 dnech. Pro tuto chybu zatím hodnota není k dispozici.
- Evropská databáze EUVD agentury ENISA vede chybu pod označením EUVD-2026-115243 a zneužití v ní zaznamenané není.
Koho se to týká
Týká se to každého, kdo provozuje Control Web Panel ve verzi před 1.16. CWP běží na linuxových serverech z rodiny Red Hat, například AlmaLinux, Rocky Linux nebo starší CentOS. Typicky ho najdete na virtuálních serverech (VPS), menších webhostingech, u webových agentur a na firemních serverech, kde se přes něj spravují weby, e-maily a databáze.
Největší riziko mají servery, jejichž uživatelský panel je dostupný z internetu, což je u hostingu běžné. Pokud spravujete server, který vám kdysi nastavil externí dodavatel, ověřte si, jestli na něm CWP neběží.
Chyba se netýká serverů s jinými panely, jako jsou cPanel, Plesk nebo DirectAdmin. Pokud máte web u poskytovatele, který server spravuje za vás, aktualizace je jeho úkol. Zeptejte se ho, zda CWP používá a zda ho už aktualizoval.
Jak zjistit, zda jste zasaženi
V administraci CWP (obvykle na portu 2031) najdete verzi na úvodní stránce. Zjistit ji můžete i na serveru v příkazové řádce. Následující příkazy nic nemění, pouze čtou.
Zda na serveru běží služba panelu CWP:
systemctl status cwpsrv --no-pagerJaká verze panelu je nainstalovaná (hledá se údaj webpanel_version):
grep -rIs "webpanel_version" /usr/local/cwpsrv/htdocs/resources/ | head -n 5Které porty panelu naslouchají na síti (2082 a 2083 je obvykle uživatelský panel, 2030 a 2031 administrace):
ss -tlnp | grep -E ':(2082|2083|2030|2031)\b'Pokud je verze nižší než 1.16, server je zranitelný. Pokud verzi nedokážete jednoznačně určit, postupujte, jako by zranitelný byl.
Jak to opravit
Opravou je aktualizace na verzi 1.16 nebo novější. Výrobce 3. listopadu 2026 vydal verzi 1.30.1, bezpečnostní a stabilizační aktualizaci větve LTS, a doporučuje ji každému serveru. Samostatné dočasné řešení výrobce ani VulnCheck neuvádějí.
- Zjistěte verzi na všech serverech s CWP a začněte těmi, jejichž panel je dostupný z internetu.
- Před aktualizací si udělejte zálohu nebo snapshot serveru.
- Pokud už máte verzi 1.30 nebo novější, zkontrolujte v administraci kanál aktualizací v části Settings > CWP Settings > CWP updates. Výchozí je kanál LTS s otestovanými verzemi a opravami chyb a zabezpečení.
- Aktualizaci spusťte z administrace, nebo jako root příkazem níže.
sh /scripts/update_cwpPo aktualizaci znovu ověřte verzi a zkontrolujte, že fungují weby, pošta i panel.
Pozor na jednu změnu ve verzi 1.30.1: pokud poštovní server používá původní výchozí důvěryhodné sítě, výrobce je omezil jen na samotný server. Aplikace na jiných strojích ve vaší interní síti se pak musí při odesílání pošty přihlašovat (SMTP autentizace).
Než aktualizaci stihnete, omezte ve firewallu přístup k portům panelu (2082, 2083, 2030, 2031) jen na známé IP adresy, například vaší kanceláře nebo VPN. Jde o obecné doporučení, ne o oficiální řešení výrobce, a aktualizaci nenahrazuje.
Co když už jste mohli být napadeni
Výrobce ani VulnCheck zatím nezveřejnili konkrétní indikátory napadení. Pokud byl zranitelný panel dostupný z internetu, zkontrolujte server i po aktualizaci. Aktualizace neodstraní nic, co tam útočník mohl zanechat.
- Přístupové logy panelu (obvykle v
/usr/local/cwpsrv/logs/, včetně starších komprimovaných): požadavky na modulprotected_directoryz neznámých IP adres, i z doby před 2. listopadem 2026. - Neznámé soubory PHP ve webových adresářích (
public_html), které mohou být webshellem. - Neznámé úlohy cron, neznámé účty a nové klíče SSH v
authorized_keys. - Neobvyklé procesy a odchozí spojení, například vysoké vytížení CPU nebo rozesílání spamu.
- Výrobce u verze 1.30 uvádí, že CWP modul
mod_auth_formvhttpd.confnepoužívá a často ho zapíná malware. S touto chybou to přímo nesouvisí, ale kontrola se vyplatí.
zgrep -i "protected_directory" /usr/local/cwpsrv/logs/*access* | tail -n 50
grep -n "mod_auth_form" /usr/local/apache/conf/httpd.conf
ls -la /var/spool/cron/ /etc/cron.d/Pokud najdete něco podezřelého, nemažte soubory svépomocí. Omezte přístup k serveru, zachovejte logy a přizvěte odborníka na řešení incidentů.