התנאי שמופיע בסוף הרשומה הוא מה שהופך את החולשה הזאת למעניינת: צריך להכיר שם משתמש אחד קיים במערכת, שאינו root. זה כל מה שנדרש. משם, לפי הרשומה, אפשר להחביא תווים בעלי משמעות מיוחדת למעטפת בתוך פרמטר בבקשת שינוי הרשאות של מנהל הקבצים, ולגרום לשרת להריץ פקודות. הציון 9.0.
מה החולשה?
כשתוכנה צריכה לבצע פעולה על קובץ, היא לא תמיד עושה זאת בעצמה אלא מבקשת ממערכת ההפעלה, דרך שורת פקודה שהיא מרכיבה. אם חלק מהשורה הזאת מגיע ממה שהמשתמש שלח, והתוכנה אינה מנטרלת תווים שיש להם משמעות מיוחדת, המשתמש יכול לסיים את הפקודה המקורית ולהתחיל אחת משלו באותה שורה. לזה קוראים הזרקת פקודות אל מערכת ההפעלה.
ב-CWP זה קורה, לפי הרשומה, בפרמטר t_total שבבקשת changePerm של מנהל הקבצים. כלומר בבקשה ששייכת לפעולה שגרתית לחלוטין, שינוי הרשאות לקובץ.
הדירוג מסמן מורכבות תקיפה גבוהה, וזה משקף בדיוק את התנאי המקדים: התוקף צריך להכיר שם משתמש קיים. מלבד זה הכול פתוח. גישה מהרשת, בלי דרישת הרשאות ובלי פעולה של משתמש, והיקף ההשפעה מסומן כמשתנה, כלומר מה שקורה יוצא מהרכיב אל המכונה שמתחתיו. שלושת מדדי הנזק גבוהים.
וזה השילוב שמסביר ציון 9.0 למרות התנאי.
מי מושפע?
CWP, שנקרא גם Control Web Panel וגם CentOS Web Panel, בכל גרסה שקדמה ל-0.9.8.1205.
זהו לוח ניהול לשרתי אחסון, המקום שממנו מנהלים אתרים, תיבות דואר, מסדי נתונים ותעודות. הוא מותקן כדי להיות נגיש מהאינטרנט, כי זה תפקידו, וזה גם מה שמעמיד אותו בטווח.
והתנאי על שם המשתמש הוא הנחה שכדאי לבחון ולא להישען עליה. הרשומה מסמנת אותו כמה שמעלה את מורכבות התקיפה, לא כמה שמונע אותה.
בישראל מדובר בעיקר בשרתים של חברות אחסון קטנות ובינוניות ובשרתים פרטיים שמישהו מנהל בעצמו. בעל אתר שמתארח על שרת כזה אינו יכול לבדוק את זה בעצמו, אבל הוא כן יכול לשאול את המארח.
האם מנוצלת בפועל?
כן. ב-4 בנובמבר 2025 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, הרשימה שמרכזת חולשות שיש עליהן ראיה לניצול בשטח, עם מועד טיפול לגופים הפדרליים בארצות הברית ב-25 בנובמבר 2025. הרשומה ב-NVD פורסמה ב-19 בספטמבר 2025.
מצד היצרן אין כאן הודעת אבטחה ייעודית. מה שהרשומה מפנה אליו הוא יומן השינויים של CWP, כלומר רשימת התיקונים של המוצר. הניתוח הטכני מגיע מגורם חיצוני, מחקר של Fenrisk.
מה עושים?
עדכנו ל-0.9.8.1205 או מאוחר ממנו, ואמתו את הגרסה שרצה אצלכם מול יומן השינויים של CWP.
הגבילו את הגישה ללוח הניהול. האתרים שמתארחים על השרת צריכים להיות נגישים מהאינטרנט, אבל לוח הניהול עצמו לרוב אינו צריך, ולכן הגבלה שלו לכתובות ידועות היא ההגנה שאפשר להפעיל עוד לפני העדכון.
ואחרי העדכון בדקו את השרת ולא רק את המוצר. הזרקת פקודות משאירה סימנים במקומות הצפויים: תהליכים שרצים ואינכם מזהים, משימות מתוזמנות שנוספו, וקבצים חדשים בתיקיות של האתרים. ואם השרת מארח לקוחות, זו גם השאלה שקובעת אם מדובר בתקרית של אתר אחד או של כולם.