• ひとことでサーバー管理画面 CWP のログイン部分で、ログインなしに OS の命令を実行される弱点
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることCWP 7 の版を調べる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2022-44877
製品CWP Control Web Panel
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2023-01-17
米国政府機関の対応期限2023-02-07
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-78（OSコマンドインジェクション）

何が起きた

サーバーを管理するための Web 画面 CWP Control Web Panel（以前の名前は CentOS Web Panel）のログインのページ（login/index.php）に、入力に特別な記号を混ぜると OS の命令を実行されてしまう弱点（OS コマンドインジェクション）が見つかりました。ログイン不要で、ネットワーク経由で離れた場所から悪用できます。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がログインページに接続する → 2. 入力欄に特別な記号と命令を混ぜて送る → 3. サーバーで OS の命令が実行される1攻撃者がログインページに接続する2入力欄に特別な記号と命令を混ぜて送る3サーバーで OS の命令が実行される攻撃の流れ: 1. 攻撃者がログインページに接続する → 2. 入力欄に特別な記号と命令を混ぜて送る → 3. サーバーで OS の命令が実行される1攻撃者がログインページに接続する2入力欄に特別な記号と命令を混ぜて送る3サーバーで OS の命令が実行される攻撃の流れ: 1. 攻撃者がログインページに接続する → 2. 入力欄に特別な記号と命令を混ぜて送る → 3. サーバーで OS の命令が実行される1攻撃者がログインページに接続する2入力欄に特別な記号と命令を混ぜて送る3サーバーで OS の命令が実行される

誰が影響を受ける

CWP Control Web Panel を使ってサーバーを管理している人・組織が対象です。CVE の記録によると、CWP 7 の 0.9.8.1147 より前の版が影響を受けます。

何をすればいい

CWP 7 を 0.9.8.1147 以降に更新されているか確認し、古ければ更新してください。公式の案内（CWP の更新情報）も確認してください。

やることチェックリスト

  • CWP 7 の版を調べる
  • CWP 7 を0.9.8.1147以降に更新する
  • 更新後に版が0.9.8.1147以降か確認する

用語メモ

OS コマンドインジェクション 用語集で見る
入力に命令を混ぜ込み、サーバーの OS にその命令を実行させてしまう攻撃や弱点のことです。
CentOS
サーバーでよく使われてきた、Linux という OS の種類の一つです。

次に読む

同じ製品・メーカーの脆弱性CWP Control Web Panel（CVE-2025-48703）9.0 緊急CVSS v3.1サーバー管理ソフト CWP のファイル管理機能に、外から命令を実行される弱点です基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

CWP Control Web Panel OS Command Injection Vulnerability

概要

CWP Control Web Panel (formerly CentOS Web Panel) contains an OS command injection vulnerability that allows remote attackers to execute commands via shell metacharacters in the login parameter.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る