CWPdoor: Hintertür im Webserver von Control Web Panel bleibt unentdeckt
XLab hat am 5. November 2026 die Hintertür CWPdoor beschrieben. Angreifer mit Root-Rechten tauschen auf Servern mit Control Web Panel das Programm cwpsrv in den Versionen 1.15.10 und 1.24.0 aus. Die präparierte Datei führt per signierter Anfrage Befehle aus und wurde von Virenscannern bisher nicht erkannt.
Das Forschungsteam XLab von QiAnXin hat am 5. November 2026 eine Hintertür beschrieben, die sich im Webserver des Hosting-Panels Control Web Panel (CWP) versteckt. Angreifer ersetzen dabei das Programm cwpsrv, das die Verwaltungsoberfläche ausliefert, durch eine selbst kompilierte Version mit Schadcode. XLab nennt die Hintertür CWPdoor und berichtet, gängige Virenscanner hätten sie bislang nicht erkannt.
Betroffen sind Server mit CWP, früher CentOS Web Panel, auf denen Angreifer bereits Root-Rechte erlangt haben. Wie sie hineinkommen, ist offen. Admins von CWP-Servern sollten die unten genannten Prüfungen zeitnah ausführen, ein Treffer bedeutet einen kompromittierten Host.
Was ist passiert?
Laut XLab erfasste das Analysesystem CTIA des Teams am 29. Juni 2026 ein Skript namens cwpsrv_update.sh auf, das sich als Versions-Update tarnt. Es lädt von der Adresse 136.0.141.71 eine präparierte Datei passend zur installierten Version und ersetzt damit /usr/local/cwpsrv/bin/cwpsrv. Das Skript braucht Root-Rechte, setzt die Zeitstempel der neuen Datei auf die alten Werte zurück und löscht den Befehlsverlauf der Sitzung. Am 30. September wurde aus Brasilien ein Archiv mit der Hintertür bei VirusTotal hochgeladen. Darin lag laut XLab auch eine Datei der Linux-Malware Ebury, deren Zusammenhang mit CWPdoor ungeklärt ist.
Wer ist betroffen?
Das Skript unterstützt laut XLab nur die cwpsrv-Versionen 1.15.10 und 1.24.0. Das passt zum Changelog des Herstellers: Mit CWP 1.29 vom 31. Oktober wurde der Panel-Webserver von 1.24.0 (EL8 und EL9) und 1.15.10 (EL7) auf nginx 1.30.6 angehoben. Ob neuere Versionen angegriffen werden, sagt keine Quelle. Zahlen zu infizierten Servern nennt XLab nicht, nur dass es reale Opfer gibt. Über die Suchmaschine Hunter zählte XLab im vergangenen Monat mehr als 340.000 aus dem Internet erreichbare CWP-Instanzen. Ein Hinweis des Herstellers zu CWPdoor fand sich auf der Website und im Changelog nicht.
Wie kritisch ist das?
CWPdoor ist eine passive Hintertür, die nur auf Anfragen mit bestimmten HTTP-Headern (X-Ngx-Integrity-Time, X-Ngx-Integrity-Data, X-Ngx-Integrity-Sig) reagiert. Diese Anfragen sind mit einem RSA-Schlüssel signiert und mit AES verschlüsselt. Laut XLab führt sie damit vom Angreifer vorgegebene Befehle aus der Ferne aus und hinterlässt keine Zugriffslogs, alle anderen sehen ein normales Panel. Da das Einschleusen Root-Rechte voraussetzt, ist ein betroffener Server als vollständig übernommen anzusehen. Die Hintertür selbst ist keine Sicherheitslücke, sondern Werkzeug nach einem Einbruch. Über welche Schwachstelle die Angreifer Root-Rechte erlangen, ist laut XLab unbekannt.
Was sollten Admins jetzt tun?
- Inventar: alle Server mit CWP erfassen und die laufende cwpsrv-Version prüfen.
- Prüfbefehle von XLab ausführen:
ss -axp | grep integrity(Unix-Socketngx_http_integrity_helper),strings /usr/local/cwpsrv/bin/cwpsrv | grep X-Ngx-Integrityundps aux | grep cwpsrvauf ungewöhnliche Kindprozesse. - Firewall- und Proxy-Logs auf Verbindungen zur von XLab genannten Adresse 136.0.141.71 durchsehen.
- Bei einem Treffer laut XLab: cwpsrv durch eine saubere Kopie ersetzen, etwa die vom Skript angelegte Sicherung
cwpsrv.prev-*in/usr/local/cwpsrv/bin, auf die aktuelle Version aktualisieren, alle Panel-Zugangsdaten wechseln und den Host als kompromittiert behandeln. Nach Einschätzung von S-EDV ist ein Neuaufbau aus sauberem Backup der sicherere Weg. - Die Verwaltungsoberfläche nicht offen ins Internet stellen, sondern auf VPN oder feste Adressen beschränken.
Einordnung für Unternehmen
CWP dient dazu, eigene Server mit Websites, Mail und Datenbanken zu verwalten, laut XLab sind mehr als 340.000 Instanzen aus dem Internet erreichbar. Weil die Hintertür im Panel-Webserver sitzt und Zeitstempel fälscht, fällt sie bei einer oberflächlichen Prüfung nicht auf. Ein Abgleich der Datei mit einer sauberen Kopie und ein abgeschottetes Admin-Panel helfen nach Einschätzung von S-EDV mehr als ein Virenscanner, der die Datei laut XLab bisher nicht erkennt.
Passende Anleitungen auf S-EDV
- Linux-Server absichern: UFW-Firewall und Fail2ban
- WireGuard-VPN für Homeoffice und Standortvernetzung einrichten
- KeyHelp: Firewall im Panel verwalten, Ports öffnen und sich nicht selbst aussperren
