Actuar ahoraAtaques no establecidosExploit demostrado
Seguí las novedades de seguridad
Alertas prioritarias y resúmenes de Radar por correo.
Comprobando disponibilidad…
Aviso de seguridad
VulnCheck demonstrated a chain from the hosting panel to root access, with a valid hosting username needed for entry without a password. Real-world attacks using these ten CVEs have not been established in the reviewed sources.
Quiénes deben revisar: Hosting providers and teams administering servers with Control Web Panel, particularly internet-accessible panels.
Acción recomendadaCorrección disponible
Install the vendor-recommended 1.30.1 security update or a later supported release, restrict access to the panels and verify the installed webpanel build.
The demonstrated path starts at the user panel and reaches a privileged internal API. A valid hosting account name is a prerequisite for the password-free entry. The API is bound to loopback; it is not a separate public entry point.
Fixes arrived in stages. The CNA ranges below identify each group; do not interpret every build before 1.29 as remotely exploitable without authentication. VulnCheck reports all ten corrected by 1.29 and checked 1.30 for regressions. The vendor subsequently recommended the 1.30.1 security release.
Known exploitation of the older CVE-2025-48703 does not establish attacks using these ten CVEs. Oktsec recommends treating the demonstrated chain as an urgent exposure and patching decision, with investigation driven by local evidence.
Before 1.29, according to the CNA records; hosting-account access can reach remaining user API escalation paths.
1.29 completes the ten-CVE fixes; use 1.30.1 or a later supported security release
Usá las indicaciones para tu producto y rama. Confirmá con el proveedor las correcciones adaptadas a tu distribución; el nombre del producto por sí solo no establece exposición.
¿Qué se sabe de la explotación?
Ataques observados
Ataques no establecidos
Exploit público
Exploit demostrado
Research demonstrated the CWP2Shell chain on CWP7 webpanel 1.8. The password-free entry requires a valid hosting username and was closed in 1.12; later affected builds require hosting-account access for the remaining escalation paths. This is not evidence of attacks in the wild.
A working research chain reaches root on affected builds. Internet-accessible panels warrant immediate remediation; this priority does not imply confirmed attacks in the wild.
¿Qué implica para los entornos de IA?
Oktsec recommends including hosted agent services and their credentials in the impact review: root access can cross application and tenant boundaries.
Added source-backed scope, evidence distinctions and response guidance.
Acciones de respuesta
Prepará tu respuesta
0 de 4 acciones registradas como completadas
Usá esta lista para evaluar si el aviso afecta a tus sistemas, registrar las acciones de tu equipo y compartir el resultado. Radar no escanea ni verifica tu entorno.
Los cambios se guardan automáticamente en este navegador. No se sincronizan con tu equipo ni se envían a Oktsec.
Indicá el sistema y la persona o equipo responsable. Actualizá cada acción y agregá una referencia al ticket o notas sobre lo revisado.
1
Identify the installed panel build
Record the internal webpanel version, hosting accounts and network reachability. A CWP7 label alone is not a patch level.
Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
2
Apply the supported security update
Use the official update procedure for 1.30.1 or a later supported release. Verify the installed build and panel operation after the change; do not stop at an intermediate fix.
Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
3
Limit who can reach the panels
Place user and administration panels behind an allowlist or controlled remote access where practical. Review exceptions with hosting customers and administrators.
Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
4
Check for earlier unauthorized activity
Oktsec recommends reviewing unexpected privileged processes, account changes, panel access and modified web content. If suspicious activity is found, preserve evidence and escalate to incident response; an update does not establish that a host is clean.
Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
3. Compartí el plan
Descargá un archivo Markdown con tu decisión, los estados de las acciones, las notas y las fuentes. Compartilo con tu equipo o adjuntalo a un ticket.
Before 1.29, according to the CNA records; hosting-account access can reach remaining user API escalation paths.
1.29 completes the ten-CVE fixes; use 1.30.1 or a later supported security release
Confirmá con el proveedor las correcciones adaptadas a tu distribución. Coincidir en el producto no basta para establecer exposición.
Acceso necesarioDepende de la aplicación o configuración
EVIDENCIA CON FUENTES
Evidencia y fuentes
Revisado 4 nov 2026 UTC
Por qué tiene esta prioridad
A working research chain reaches root on affected builds. Internet-accessible panels warrant immediate remediation; this priority does not imply confirmed attacks in the wild.
No hay un CVE coincidente en el corte del catálogo revisado. Esto no demuestra ausencia de explotación. Revisá las fuentes del incidente y las indicaciones del proveedor.
Evidencia de respaldo
Producto / CVE
Evidencia de ataques
Indicaciones de la fuente
Control Web PanelCVE-2026-73695
Ataques no establecidos
La evidencia revisada no establece si esta vulnerabilidad se usó en ataques.
Estimación no disponible. No equivale a un puntaje de cero.
CVE-2026-73696
Estimación no disponible. No equivale a un puntaje de cero.
CVE-2026-73697
Estimación no disponible. No equivale a un puntaje de cero.
CVE-2026-77876
Estimación no disponible. No equivale a un puntaje de cero.
CVE-2026-77877
Estimación no disponible. No equivale a un puntaje de cero.
CVE-2026-77878
Estimación no disponible. No equivale a un puntaje de cero.
CVE-2026-77879
Estimación no disponible. No equivale a un puntaje de cero.
CVE-2026-77880
Estimación no disponible. No equivale a un puntaje de cero.
CVE-2026-77881
Estimación no disponible. No equivale a un puntaje de cero.
CVE-2026-104080
Estimación no disponible. No equivale a un puntaje de cero.
FIRST EPSS · Revisado 2026-10-27 15:30 UTC
La prioridad corresponde al aviso, no a cada producto o CVE por separado. Cada fila muestra solo la evidencia atribuida a ese CVE. La falta de evidencia de ataques no permite descartar una vulnerabilidad. Tu entorno no fue escaneado.
Fuentes
Los datos técnicos provienen de estas fuentes. Las prioridades y las acciones recomendadas son el análisis de Oktsec.
Research demonstrated the CWP2Shell chain on CWP7 webpanel 1.8. The password-free entry requires a valid hosting username and was closed in 1.12; later affected builds require hosting-account access for the remaining escalation paths. This is not evidence of attacks in the wild.