VulnCheck mengungkap pada 3 November 2026 rantai sepuluh celah di Control Web Panel (CWP), panel hosting untuk server Linux. Peneliti Valentin Lobstein menamai rangkaian ini CWP2Shell. Pada versi lama, penyerang bisa melewati halaman login panel pengguna lalu memakai API internal yang berjalan sebagai root untuk menguasai server.
Celah dan versi yang terdampak
Pintu masuknya adalah CVE-2026-73696. Panel pengguna tetap menjalankan kode setelah mengarahkan pengunjung ke halaman login, sehingga versi di bawah 1.12 bisa dijangkau tanpa autentikasi. Ostorlab, yang menerbitkan analisis terpisah pada 2 November, memberi celah ini skor CVSS v4.0 9,3. Dua celah lain di jalur yang sama, CVE-2026-73695 (penyertaan file) dan CVE-2026-73697 (penulisan file dan injeksi perintah di modul editor php.ini), menyasar versi 1.12 sampai 1.15 dan baru tertutup di 1.16.
Tujuh celah sisanya, antara lain CVE-2026-77876, CVE-2026-77877, CVE-2026-77878, CVE-2026-77879, CVE-2026-77880, CVE-2026-77881, dan CVE-2026-104080, berada di injeksi perintah dan SQL pada panel serta API pengguna. Menurut VulnCheck, versi di bawah 1.29 membuat akun hosting biasa bisa naik menjadi root. Changelog resmi CWP mencatat perbaikan bertahap pada 1.27 (30 Oktober), 1.29 dan 1.30 (31 Oktober), serta 1.30.1 (3 November).
VulnCheck atau Ostorlab belum melaporkan serangan nyata terhadap kesepuluh CVE ini. Ostorlab tidak menemukan eksploit publik, sedangkan VulnCheck menyebut timnya sudah membuat modul eksploit untuk komunitas intelijennya sendiri. VulnCheck juga mencatat CVE-2025-48703, celah CWP yang lebih lama, sempat diserang dalam hitungan hari setelah eksploitnya beredar. Per 3 November, VulnCheck menghitung 118.151 layanan CWP terlihat di internet, termasuk 19.834 di port 2083, meski angka itu bisa memuat honeypot.
Langkah yang perlu diambil admin
Naikkan CWP ke 1.29 atau lebih baru, dan pilih rilis terbaru yang tersedia. Ostorlab mengingatkan agar server dicadangkan lebih dulu karena CWP tidak punya pemasang balik. Setelah pembaruan, periksa versi panel pengguna secara langsung, sebab versi panel admin tidak mencerminkan versi panel pengguna.
Bila belum bisa memperbarui, batasi akses ke port panel pengguna (2082 atau 2083) dan panel admin (2031 dan 2087) hanya untuk jaringan tepercaya. Langkah ini mengurangi paparan tetapi tidak menutup celahnya. Server yang lama terbuka ke internet pada versi lama sebaiknya diperiksa dari akun atau kunci SSH yang tidak dikenal, lalu kredensialnya dirotasi, seperti yang kami bahas pada insiden kanal pembaruan cPGuard.
Bagi penyedia hosting dan pemilik VPS yang memakai CWP, prioritaskan server yang panelnya bisa dibuka dari internet, karena versi lama di sana adalah sasaran paling jelas.
Sumber: VulnCheck, Ostorlab, dan changelog Control Web Panel. Gambar: Ostorlab.