情報取得日: 2026/11/02／最終確認: 2026/11/03・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-77876 |
|---|---|
| 製品 | Control Web Panel / Control Web Panel（CWP、旧 CentOS Web Panel）webpanel_version 1.16 未満 |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-78 OS コマンドインジェクション |
| 登録／公開日 | 2026/11/02 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-77876 |
**Linux サーバ向けのホスティング管理パネル Control Web Panel（CWP）で、ユーザーパネルの保護ディレクトリ（protected_directory）機能に OS コマンドインジェクションがある。** NVD に載った VulnCheck（CNA）の記述によれば、acc=deletedp 操作の file パラメータの値がエスケープされずに shell_exec に渡るため、ユーザーパネルの権限で任意のコマンドが実行される。対象は **webpanel_version 1.16 未満**。 **評価値。** VulnCheck の CVSS 3.1 は **9.8 Critical**、CVSS 4.0 は 9.3（いずれも PR:N＝認証不要の扱い）。NVD の分析状況は Deferred。 **修正状況。** VulnCheck のアドバイザリ（2026-11-02）は修正版を 1.16 とし、根拠として CWP の変更履歴を挙げている。ただし CWP の変更履歴ページの版番号は 1.16 という表記と一致せず、2026年10月31日の版 1.29 で「ユーザーパネル内部 API の強化（保護ディレクトリ、リセラー、ストリーミングの各操作）」がセキュリティ修正として載っている。2026-11-03 時点で実際の悪用の報告は確認できず、CISA KEV にも未収載（CWP は過去に CVE-2022-44877 が KEV に収載された製品である）。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 上の CWP はパネルの更新機能で最新版へ上げ、セキュリティグループでパネルのポートの到達元を絞る。
AWS 側の修正ではなくパネル側の対処。AWS から本 CVE 個別の告知は確認できていない（2026-11-03 時点）。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine 上の CWP は最新版へ上げ、ファイアウォールルールでパネルのポートを絞る。
Google Cloud から本 CVE 個別の告知は確認できていない（2026-11-03 時点）。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM 上の CWP は最新版へ上げ、NSG でパネルのポートを絞る。
Microsoft から本 CVE 個別の告知は確認できていない（2026-11-03 時点）。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
CWP はディストリのパッケージではなく独自の更新機構で配布されるため、CWP 自身の更新で最新版へ上げる。
Ubuntu USN / Red Hat RHSA / Debian security tracker には載らない。修正版の番号（1.16 と変更履歴の版番号の対応）は公式で要確認。
参照リンク
|
**CWP を最新版へ更新し、パネルの公開範囲を絞る。** 修正版の番号は、VulnCheck の表記（1.16）と CWP の変更履歴の版番号が対応しないため公式で要確認。10月31日以降の最新版に上がっていることを確認する。 - CWP の更新機能でパネルを最新にする（自動更新を切っている場合は手動で実行する） - ユーザーパネル（既定のポート 2082/2083）と管理パネル（2030/2031）をインターネットへ広く公開しない。ファイアウォールで到達元を管理用のネットワークに限る - 更新前に、パネルのログや /tmp 配下に不審なファイル・プロセスが無いかを確認する **完了条件**は、（1）全サーバの CWP が 10月31日以降の版であることを確認した、（2）パネルのポートの公開範囲を確認した、の2点である。
Critical（CVSS 9.8）に分類されるControl Web Panel Control Web Panel（CWP、旧 CentOS Web Panel）webpanel_version 1.16 未満の脆弱性です。**Linux サーバ向けのホスティング管理パネル Control Web Panel（CWP）で、ユーザーパネルの保護ディレクトリ（protected_directory）機能に OS コマンドインジェクションがある。** NVD に載った VulnCheck（CNA）の記述によれば、acc=deletedp 操作の file パラメータの値がエスケープされずに shell_exec に渡るため、ユーザーパネルの権限で任意のコマンドが実行される。対象は **webpanel_version 1.16 未満**。 **評価値。** VulnCheck の CVSS 3.1 は **9.8 Critical**、CVSS 4.0 は 9.3（いずれも PR:N＝認証不要の扱い）。NVD の分析状況は Deferred。 **修正状況。** VulnCheck のアドバイザリ（2026-11-02）は修正版を 1.16 とし、根拠として CWP の変更履歴を挙げている。ただし CWP の変更履歴ページの版番号は 1.16 という表記と一致せず、2026年10月31日の版 1.29 で「ユーザーパネル内部 API の強化（保護ディレクトリ、リセラー、ストリーミングの各操作）」がセキュリティ修正として載っている。2026-11-03 時点で実際の悪用の報告は確認できず、CISA KEV にも未収載（CWP は過去に CVE-2022-44877 が KEV に収載された製品である）。
**CWP を最新版へ更新し、パネルの公開範囲を絞る。** 修正版の番号は、VulnCheck の表記（1.16）と CWP の変更履歴の版番号が対応しないため公式で要確認。10月31日以降の最新版に上がっていることを確認する。 - CWP の更新機能でパネルを最新にする（自動更新を切っている場合は手動で実行する） - ユーザーパネル（既定のポート 2082/2083）と管理パネル（2030/2031）をインターネットへ広く公開しない。ファイアウォールで到達元を管理用のネットワークに限る - 更新前に、パネルのログや /tmp 配下に不審なファイル・プロセスが無いかを確認する **完了条件**は、（1）全サーバの CWP が 10月31日以降の版であることを確認した、（2）パネルのポートの公開範囲を確認した、の2点である。
Control Web Panel Control Web Panel（CWP、旧 CentOS Web Panel）webpanel_version 1.16 未満 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-77876）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/11/03）。