CWP管理サーバーに潜む「CWPdoor」―特殊な通信だけで動き、アクセスログを抑制

QiAnXin XLabは2026年11月5日、Linux向け管理パネルControl Web Panel（CWP）に潜伏する「CWPdoor」の解析を公表しました。最初の発見は6月29日です。更新を装うスクリプトが管理用Webサーバーcwpsrvを、バックドアを埋め込んで再構築したバイナリへ置き換えます。

解析したスクリプトはcwpsrv 1.15.10と1.24.0に対応し、実行時点でroot権限を必要とします。両バージョンに新しい未認証の侵入脆弱性が見つかったという発表ではありません。攻撃者が最初にどの経路でroot権限を得たかは不明で、CWPの正規更新基盤が侵害されたとも確認されていません。

通常の通信には本来のサーバーとして応答し、署名・暗号化された特殊なHTTPリクエストを受けたときだけ補助プロセス経由で命令を実行します。その通信のアクセスログを抑制し、設置時も時刻情報の復元や一時ファイルの削除で痕跡を減らします。外部への定期通信だけを探す監視では見逃す余地があります。

XLabが示す調査の手掛かりは、不審なcwpsrvの補助プロセスや「ngx_http_integrity_helper」というUnixソケットなどです。管理者は正規配布物との比較も含めて確認し、侵害が見つかった場合はサーバー全体の調査と認証情報の変更を進めます。ファイル一つの置換だけで、root権限を得た攻撃者を排除できたとは判断できません。