Control Web Panel: puerta trasera oculta en el servidor web del panel ejecuta comandos de atacantes

Qué ha ocurrido

El 6 de noviembre de 2026, investigadores informaron de una puerta trasera oculta en el servidor web de Control Web Panel (CWP), un panel de alojamiento para servidores Linux. La puerta trasera ejecuta comandos que los atacantes envían mediante solicitudes web, y lo hace sin dejar entradas en los registros de acceso. Esto dificulta detectarla con una revisión normal de los registros.

No se trata de una vulnerabilidad que pueda corregirse con un parche. Instalar la puerta trasera requiere acceso root, por lo que cualquier servidor en el que se encuentre ya ha sido comprometido por completo. La puerta trasera se usa para mantener ese acceso y ejecutar más comandos en el futuro.

Quién está afectado

Están en riesgo los operadores de servidores Linux que ejecutan Control Web Panel, en particular proveedores de alojamiento y agencias que gestionan servidores CWP para sus clientes. Un servidor solo contiene la puerta trasera si un atacante ya ha obtenido root en él. El informe original no indica cómo los atacantes obtuvieron ese acceso root, por lo que debe revisarse todo servidor CWP.

Qué hacer ahora

1. Asegúrese de que Control Web Panel y el sistema operativo estén totalmente actualizados, para que las debilidades conocidas no puedan usarse de nuevo para acceder.
2. Restrinja el acceso a la interfaz web del panel: permítalo solo desde direcciones IP de confianza mediante el cortafuegos o una VPN, y no lo exponga a todo Internet.
3. Revise cada servidor CWP como se describe en la siguiente sección. Como la puerta trasera no escribe entradas en los registros de acceso, no confíe únicamente en los registros del servidor web.
4. Si encuentra indicios de compromiso, considere el servidor como no fiable. Haga una copia de las pruebas y, después, reconstruya el servidor desde una instalación limpia y restaure solo los datos (sitios web, bases de datos, correo), no los archivos ni binarios del sistema, a partir de copias de seguridad realizadas antes del compromiso.
5. Tras un compromiso, cambie todas las credenciales almacenadas en el servidor o usadas con él: contraseñas de root y de usuarios, claves SSH, cuentas del panel, contraseñas de bases de datos, cuentas de correo y claves de API. Informe a los clientes afectados cuando sea necesario.
6. Revise las copias de seguridad y otros servidores que compartan credenciales o claves SSH con una máquina afectada, ya que un atacante con root puede haberse desplazado a ellos.

Cómo comprobar si está afectado

El informe no publica nombres de archivo ni indicadores concretos, así que compruebe lo siguiente en cada servidor CWP y compárelo con las indicaciones del fabricante enlazadas más abajo:

• Verifique la integridad de los paquetes instalados y de los binarios del sistema, por ejemplo con rpm -Va en sistemas basados en RHEL, y busque archivos modificados que pertenezcan al servidor web del panel o a las herramientas básicas del sistema.
• Compare los archivos del servidor web del panel con los de un servidor CWP recién instalado, de la misma versión y en buen estado, o con las sumas de comprobación del fabricante cuando estén disponibles.
• Busque procesos inesperados iniciados por el servidor web del panel y conexiones de red salientes inusuales (ps auxf, ss -tunap).
• Revise los registros de autenticación en busca de inicios de sesión de root o accesos SSH desde direcciones desconocidas, y compruebe /root/.ssh/authorized_keys y las claves de otros usuarios por entradas que usted no haya añadido.
• Revise los crontab, las unidades de systemd y otras ubicaciones de arranque en busca de entradas que no reconozca.
• Si utiliza monitorización externa del tráfico saliente o de la integridad de archivos, revísela en busca de cambios desde la última vez que el servidor se consideró limpio.

Si no puede descartar un compromiso con seguridad, reconstruir el servidor es la opción más prudente, ya que un atacante con root puede ocultar sus huellas en el propio sistema.

Fuentes

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/hackers-hide-linux-backdoor-in-control.html