News

CWPdoor: backdoor nascosta nel server di Control Web Panel

I ricercatori di XLab (QiAnXin) hanno descritto CWPdoor, un malware per Linux nascosto in una copia manomessa di cwpsrv, il web server di Control Web Panel (CWP), un pannello per gestire server di hosting. Resta dormiente finché non riceve una richiesta speciale, che non compare nei log di accesso. Nelle fonti lette non risulta come arrivi sui server.

Fabrizio Picco
aggiornata il 6 novembre 2026 · si legge in 3 minuti

Gestisci un server con Control Web Panel? Qui trovi cosa è stato scoperto, come controllare se il tuo è toccato e cosa non si sa ancora. Il resoconto si basa su un'unica ricerca originale, quella di XLab, riportata da testate di settore: va letto con questa cautela.

Cosa è stato scoperto

Control Web Panel, già noto come CentOS Web Panel, è un pannello open source per amministrare server di hosting, simile a cPanel e Plesk. Secondo XLab, il 29 giugno 2026 i ricercatori hanno intercettato uno script che si spacciava per un aggiornamento e che sostituiva il file cwpsrv (versioni 1.15.10 e 1.24.0) con uno malevolo.

Il 30 settembre 2026 il file malevolo è stato caricato su VirusTotal, dentro un archivio che conteneva anche la backdoor Ebury, con zero rilevamenti. XLab dice che il legame fra i due malware non è chiaro. XLab sostiene inoltre che esistono già vittime reali.

Illustrazione concettuale di un pannello di controllo di server con una porta secondaria nascosta, in rosso, dietro l'interfaccia del pannello
Illustrazione concettuale di un pannello di controllo di server con una porta secondaria nascosta, in rosso, dietro l'interfaccia del pannello

Come funziona

Il malware è passivo: resta inattivo finché l'attaccante non manda una richiesta HTTP con tre header speciali: un comando cifrato, una marca temporale e una firma digitale. Se l'orario è entro 300 secondi da quello del server e la firma è valida, il comando viene eseguito e la risposta torna cifrata.

Due accorgimenti lo rendono difficile da vedere: la richiesta che lo attiva non compare nei log di accesso, quindi un log pulito non basta a dire che il server sia sano; e lo script di installazione ripristina le date dei file e cancella la cronologia dei comandi.

Cosa controllare

Questi sono gli indizi indicati da XLab:

Un controllo negativo non assicura che il server sia pulito. L'articolo non indica quale versione di CWP sia sicura. XLab non cita nessuna CVE per CWPdoor e scrive di non sapere ancora quale falla venga usata per diffonderlo: non è detto che il file venga sostituito a mano.
  1. Cerca il socket Unix ngx_http_integrity_helper sul server: puoi verificarlo con il comando ss -axp | grep integrity, che su un server pulito non deve restituire niente.
  2. Controlla processi insoliti collegati a cwpsrv.
  3. Cerca la stringa X-Ngx-Integrity dentro il file binario di cwpsrv.
  4. Controlla i log di rete per connessioni verso l'indirizzo IP 136.0.141.71: secondo XLab è il server che ospita lo script e i file malevoli.
  5. Se trovi qualcosa: ripristina il binario originale (XLab segnala che lo script salva una copia col nome cwpsrv.prev- in /usr/local/cwpsrv/bin) o reinstallalo da zero, aggiorna CWP, cambia tutte le credenziali del pannello e cerca altro malware.

Da dove vengono questi dati

Letti per intero: il rapporto originale di XLab (QiAnXin), il laboratorio che ha scoperto CWPdoor, e BleepingComputer (5 novembre 2026), che lo riprende in modo fedele. I fatti di questa pagina vengono dal rapporto di XLab.

Non risulta nelle fonti: chi sia dietro il malware, come arrivi sui server (XLab stessa scrive di non sapere ancora quale falla usi per diffondersi), quante vittime ci siano, se il produttore di CWP abbia risposto, se ci siano casi in Italia. Le oltre 340.000 installazioni CWP esposte su Internet, misurate dalla piattaforma Hunter di QiAnXin, indicano l'esposizione, non le infezioni.

Domande frequenti

Il mio server CWP è infetto da CWPdoor?

Non si può saperlo senza controllare: lo script finto aggiornatore sostituisce cwpsrv nelle versioni 1.15.10 e 1.24.0. Cerca il socket ngx_http_integrity_helper e la stringa X-Ngx-Integrity nel binario. Un log pulito non basta a escluderlo.

Quanti server sono colpiti da CWPdoor?

XLab non l'ha dichiarato. Le oltre 340.000 installazioni CWP esposte su Internet, misurate dalla piattaforma Hunter di QiAnXin, sono quelle raggiungibili dall'esterno, non quelle compromesse.

CWPdoor e Ebury sono la stessa cosa?

XLab dice che il legame non è chiaro: il campione era nello stesso archivio, ma questo non basta a dire che siano collegati.

Da dove vengono questi dati

Questa guida l’ho scritta con l’aiuto dell’intelligenza artificiale e l’ho verificata sulle fonti qui sopra prima di pubblicarla. Come lavoro

Continua da qui