Zum Inhalt springen
Centoculus

Sicherheitswarnung · Hoch

Control Web Panel: Backdoor im Webserver des Panels führt Angreifer-Befehle aus

· 3 Minuten Lesezeit · Centoculus Security Team

Bekannt seit · Angriffe bestätigt seit

Betroffen: Linux-Server mit Control Web Panel (CWP)

Was ist passiert

Am 6. November 2026 haben Forscher eine Backdoor gemeldet, die im Webserver von Control Web Panel (CWP), einem Hosting-Panel für Linux-Server, versteckt ist. Die Backdoor führt Befehle aus, die Angreifer über Webanfragen senden, und hinterlässt dabei keine Einträge in den Zugriffsprotokollen. Dadurch ist sie mit einer üblichen Protokollprüfung schwer zu erkennen.

Diese Schwachstelle lässt sich nicht mit einem Patch beheben. Zur Installation der Backdoor sind Root-Rechte nötig, daher ist jeder Server, auf dem sie gefunden wird, bereits vollständig kompromittiert. Die Backdoor dient dazu, diesen Zugriff zu behalten und später weitere Befehle auszuführen.

Wer ist betroffen

Gefährdet sind Betreiber von Linux-Servern mit Control Web Panel, insbesondere Hosting-Anbieter und Agenturen, die CWP-Server für Kunden verwalten. Ein Server enthält die Backdoor nur, wenn sich ein Angreifer bereits Root-Zugriff verschafft hat. Der Quellbericht nennt nicht, wie die Angreifer ursprünglich Root-Zugriff erlangt haben, daher sollte jeder CWP-Server geprüft werden.

Was jetzt zu tun ist

  1. Stellen Sie sicher, dass Control Web Panel und das Betriebssystem vollständig aktualisiert sind, damit bekannte Schwachstellen nicht erneut für einen Zugriff genutzt werden können.
  2. Beschränken Sie den Zugriff auf die Weboberfläche des Panels: Erlauben Sie ihn nur von vertrauenswürdigen IP-Adressen über die Firewall oder ein VPN und machen Sie sie nicht dem gesamten Internet zugänglich.
  3. Prüfen Sie jeden CWP-Server wie im nächsten Abschnitt beschrieben. Da die Backdoor keine Einträge in den Zugriffsprotokollen schreibt, verlassen Sie sich nicht allein auf die Webserver-Logs.
  4. Wenn Sie Anzeichen für eine Kompromittierung finden, behandeln Sie den Server als nicht vertrauenswürdig. Sichern Sie zunächst die Beweise, bauen Sie den Server dann aus einer sauberen Installation neu auf und stellen Sie nur Daten (Websites, Datenbanken, E-Mails) aus Backups wieder her, die vor der Kompromittierung erstellt wurden, nicht aber Systemdateien oder Binärdateien.
  5. Ändern Sie nach einer Kompromittierung alle Zugangsdaten, die auf dem Server gespeichert waren oder mit ihm verwendet wurden: Root- und Benutzerpasswörter, SSH-Schlüssel, Panel-Konten, Datenbankpasswörter, E-Mail-Konten und API-Schlüssel. Informieren Sie betroffene Kunden, sofern erforderlich.
  6. Überprüfen Sie Backups und andere Server, die Zugangsdaten oder SSH-Schlüssel mit einem betroffenen System teilen, da Angreifer mit Root-Rechten möglicherweise weitergezogen sind.

So prüfen Sie, ob Sie betroffen sind

Der Bericht veröffentlicht keine konkreten Dateinamen oder Indikatoren. Prüfen Sie deshalb folgende Punkte auf jedem CWP-Server und vergleichen Sie die Ergebnisse mit den unten verlinkten Hinweisen des Herstellers:

  • Prüfen Sie die Integrität installierter Pakete und Systembinärdateien, etwa mit rpm -Va auf RHEL-basierten Systemen, und suchen Sie nach veränderten Dateien, die zum Webserver des Panels oder zu zentralen Systemwerkzeugen gehören.
  • Vergleichen Sie die Dateien des Panel-Webservers mit denen eines frisch installierten, bekanntermaßen sauberen CWP-Servers derselben Version oder mit Prüfsummen des Herstellers, sofern verfügbar.
  • Suchen Sie nach unerwarteten Prozessen, die vom Webserver des Panels gestartet wurden, und nach ungewöhnlichen ausgehenden Netzwerkverbindungen (ps auxf, ss -tunap).
  • Prüfen Sie die Authentifizierungsprotokolle auf Root-Anmeldungen oder SSH-Zugriffe von unbekannten Adressen und kontrollieren Sie /root/.ssh/authorized_keys sowie die Schlüssel anderer Benutzer auf Einträge, die Sie nicht hinzugefügt haben.
  • Prüfen Sie Crontabs, systemd-Units und andere Autostart-Stellen auf Einträge, die Sie nicht kennen.
  • Wenn Sie externes Monitoring des ausgehenden Datenverkehrs oder der Dateiintegrität nutzen, prüfen Sie es auf Änderungen seit dem letzten bekanntermaßen sauberen Zustand des Servers.

Wenn Sie eine Kompromittierung nicht mit Sicherheit ausschließen können, ist die Neuinstallation des Servers die sicherere Wahl, da ein Angreifer mit Root-Rechten Spuren direkt im System verbergen kann.

Quellen

Weitere Beiträge

Sicherheitswarnungen ·

WordPress-Plugins mit Sicherheitslücken: 12 Plugins, darunter WS Form LITE

Für zwölf WordPress-Plugins wurden neue Sicherheitslücken veröffentlicht. Die gravierendste ist eine kritische Rechteerweiterung im Plugin Registration Form for WooCommerce, mit der nicht angemeldete Angreifer Administratorkonten anlegen können.