サーバー管理パネルCWPに乗っ取りの脆弱性 CVE-2026-57517、現行版へ

レンタルサーバーやVPSの管理に広く使われている無料の管理画面「Control Web Panel（CWP、旧CentOS Web Panel）」に、ログイン不要でサーバーを乗っ取られる恐れのある脆弱性が見つかりました。管理番号はCVE-2026-57517、危険度は10点満点中9.8点（CVSS 3.1、重要度「緊急」）、新しい算定方式のCVSS 4.0では9.3点です。

攻撃者はログイン（セッション）を一切持たないまま、細工した通信を送るだけで、CWPが使うデータベースを自由に操作できてしまいます。そこから最終的に、サーバー上に不正なプログラム（Webシェル）を仕込んでサーバーを乗っ取る手口につながる恐れがあります。ただし完全に手ぶらで撃てるわけではなく、そのサーバーに存在する非root（一般利用者）のCWPユーザー名を知っているか、言い当てる必要があります。攻撃コードはすでに公開されている一方、実際に攻撃へ使われたという報告は2026年7月29日時点でありません。CWPを使っているサーバーは、更新履歴に載っている現行リリースへ今すぐ上げてください。

誰が、何のために狙うのか

狙うのはインターネットに公開されたCWPの管理画面に接続できる、不特定多数の攻撃者です。CWPの管理画面はサーバーを操作するための入口としてネット越しに開かれていることが多く、パスワードも特別な権限も要らずに試せてしまう点が、この脆弱性の危険なところです。攻撃者は公開サーバーを機械的に探し出し、片っ端から攻撃を仕掛けてきます。

ひとつだけ攻撃側に条件があります。発見者の公式アドバイザリ（KIS-2026-12）によると、攻撃の入口は https://[サーバー]:2083/[CWPユーザー名]/ という形のURLで、そのサーバーに実在する非root（一般利用者）のCWPユーザー名を知っているか、正しく言い当てられることが成立の前提です。パスワードもセッションも不要という意味では無認証ですが、完全に何の情報もなしに撃てるわけではありません。とはいえ、ユーザー名は独自ドメイン名や公開されているメールアドレスから推測できることが多く、辞書を使った総当たりも効きます。防御の頼りにできる条件ではありません。

攻撃者ができるのは、細工した通信でCWPのデータベースを自由に操作し、そこを足がかりにサーバー上へ不正なプログラム（Webシェル）を設置してサーバーを乗っ取ることです。Webシェルとは、攻撃者がブラウザ越しにサーバーへ命令を送り込むための裏口プログラムのことです。

サーバー管理パネルを乗っ取られると、被害は一台にとどまりません。CWPは1台のサーバーで多数のWebサイトやメール、データベースをまとめて管理する用途で使われるため、乗っ取られるとその上で動くすべてのサイトの改ざん、顧客データの流出、フィッシングサイトや迷惑メールの踏み台化に一気につながります。レンタルサーバー事業者が使っていれば、そこに同居する多数の利用者のサイトが巻き添えになる恐れもあります。だからこそ、後述する更新を最優先で進める必要があります。

Control Web Panel（CWP）とは何か

Control Web Panelは、Linuxサーバーの管理を画面操作だけで行えるようにする無料の管理ツール（コントロールパネル）です。以前は「CentOS Web Panel」という名前で知られていました。Webサイトの公開、メールアカウントの作成、データベースの管理、SSL証明書の設定などを、コマンドを打たずにブラウザ上でまとめて扱えるため、有料の「cPanel」などの代替として、個人から小規模なレンタルサーバー事業者まで幅広く使われています。

では、インターネットに公開されているCWPは何台あるのか。正確な台数を示す公開データは見当たりませんでした。Shodan、Censys、Shadowserverのいずれにも、CWPを対象にした集計は公開されていません。海外の専門媒体が使う表現も「数万台規模」にとどまります。国別の設置数についても、信頼できる集計は確認できませんでした。台数の大小にかかわらず、自分のサーバーが対象かどうかはバージョンを見れば分かります。数字ではなく手元の確認を優先してください。

問題は、このCWPが攻撃者にとって長年の「定番の標的」である点です。管理画面がインターネットに露出しやすく、乗っ取れば見返りが大きいため、過去にも認証不要の乗っ取り脆弱性が繰り返し悪用されてきました。今回のCVE-2026-57517も、その系譜に連なる新たな1件です。

何が起きるのか、脆弱性の中身

原因は、CWPが受け取った入力を、データベースへの命令文に組み込む際のチェック不足です。NVD（米国立標準技術研究所の脆弱性データベース）の説明によると、userResという送信項目（POSTパラメータ）に細工した文字列を入れることで、攻撃者が任意のデータベース命令（SQL）を実行できてしまいます。これはSQLインジェクション（CWE-89）と呼ばれる古典的だが影響の大きい欠陥です。

今回の型は「ブラインドSQLインジェクション」と呼ばれるもので、画面に結果が直接表示されなくても、システムの反応の違いからデータベースの中身を一文字ずつ推測して抜き出せます。管理者アカウントのパスワード情報や設定など、データベースに入っている機密情報が読み取られる恐れがあります。しかもこれらがパスワードもセッションも持たない相手に行えるため、危険度はCVSS 3.1で9.8（緊急）、CVSS 4.0で9.3と評価されています。

さらに深刻なのは、実行されるSQLの権限です。発見者のアドバイザリによれば、この命令はMySQLのroot権限で動きます。root権限にはサーバー上のファイルを書き出す権限（FILE権限）が付いているため、SQLの機能を使って任意の場所にファイルを作れます。Web経由で読み出せるディレクトリに悪意あるPHPファイルを書き込めば、そのままサーバー上でのプログラム実行（RCE）に届きます。NVDが「最終的に任意プログラム実行につながり得る」と記しているのは、この経路のことです。SQLの実行自体は確実に成立し、そこからのファイル書き込みは環境や設定に左右されますが、CWPのように管理者権限に近い場所で動くソフトでは現実的な脅威です。

攻撃コードは公開済み、ただし実際の悪用は未確認

この脆弱性を「まだ誰も使っていないから急がなくていい」と扱うのは危険です。動作する攻撃コード（PoC）はすでに公開されています。発見者自身がアドバイザリと同時に実証コードを出しているほか、第三者が作った公開版も2026年7月上旬に複数出ています。そのうちの1本は、ネット全体を機械的に走査して脆弱なサーバーを探す機能と、見つけたサーバーを対話的に操作する機能まで備えています。米政府機関CISAもNVD上の追加評価で、2026年7月1日時点の悪用状況を「Proof-of-Concept（実証コードあり）」、自動化の可否を「可能」と判定しています。技術力の高くない攻撃者でも実行に移せる段階にある、ということです。

一方で、実際に攻撃へ使われたという報告は2026年7月29日時点で確認できていません。CISAの「実際に攻撃されている脆弱性リスト（KEV）」に本CVEは登録されておらず、観測データを公開している組織からの報告も、主要な専門媒体の報道もありません。なお「CWPが実際に攻撃されている」という記事を見かけた場合は、日付とCVE番号を確認してください。CVE-2025-48703（2025年11月）やCVE-2022-44877（2023年1月）という別の脆弱性の話である場合がほとんどです。

つまり現状は「武器は出回っているが、使われた記録はまだない」という状態です。過去のCWP脆弱性では、公開から数日で自動化された攻撃が始まった例が複数あります。悪用報告の有無を待つ理由にはなりません。

自分のサーバーは危ないか、バージョン別の早見表

CWPの管理画面にログインし、バージョン表示を確認してください。ここで実務上の注意がひとつあります。CWPはバージョンの付け方を「0.9.8.1225」のような4桁形式から、「1.2」のような1.x形式へ切り替えました。数字だけを見比べると1.2のほうが0.9.8.1235より古く見えますが、逆です。0.9.8系は1.x系より前の世代にあたります。下の早見表もこの前提で読んでください。

管理画面への接続元を信頼できるIPアドレスだけに絞っている場合は、不特定多数からの攻撃が届きにくくなるため切迫度は下がります。とはいえ設定ミスや内部からの攻撃の可能性は残るため、いずれにせよ更新が安全です。

CWPは無認証乗っ取りの「常襲的な標的」だという背景

今回のCVE-2026-57517を、単発の脆弱性として片付けるべきではありません。CWPは認証不要でサーバーを乗っ取れる脆弱性が、過去に何度も見つかり、実際に大規模な攻撃に使われてきた製品です。米政府機関CISAの「実際に攻撃されている脆弱性リスト（KEV）」にも複数回登録されています。時系列で並べると、その常習性が見えてきます。

なぜCWPが繰り返し狙われるのか。背景には、サーバー管理パネルという「最も権限の強い入口」を、インターネットに直接さらしてしまいがちという構造があります。管理パネルは便利さと引き換えに、乗っ取られれば即座にサーバー全体を明け渡すことになる、攻撃者にとって費用対効果の高い標的です。なお、上の表の2件は本件とは別の脆弱性です。「CWPが攻撃されている」という報道の多くはこの2件を指しており、CVE-2026-57517の実悪用が確認されたという意味ではありません。とはいえ過去のCWP脆弱性は公開後まもなく自動化された攻撃が始まった例が多く、攻撃コードが出回っている今回も「まだ悪用報告がない」ことに安心はできません。実際に攻撃へ使われた脆弱性はCISA KEV ダッシュボード（日本語版）で追えるようにまとめており、CWP関連は今後もここに載る可能性があります。

いま何をすべきか

最優先は、CWPを公式の更新履歴に載っている現行リリースへ上げることです。CVE-2026-57517そのものは0.9.8.1225で塞がれていますが、その版で止めるのはおすすめしません。以降のリリースでログインとセッション、ファイル操作、APIの安全性を高める修正が重ねて入っており、0.9.8.1235には「最近の脆弱性の問題を解決する新しいセキュリティ修正」という記述もあります。更新は、サーバー上のコマンド（yum update や CWP付属の更新機能）で行えます。上げる先は公式の更新履歴で確認してください。

その更新履歴を見るときに、2つ注意があります。【2026年8月4日 追記】ひとつは、ページ上部のバナーの数字と、下に並ぶ一覧の数字が合わないことです。これは誤りではなく、性質の違いでした。バナーの「Current Version」は実際に配布中の最新ビルド番号を自動で反映する数字で、一覧のほうは主要なリリースだけを後から書き足す形になっています。実際、7月9日の時点でもバナーは0.9.8.1244、一覧の最新は0.9.8.1235で、9ビルド分ずれていました。2026年8月4日時点のバナーは「CWP7: 1.7」、一覧に記述があるのは「Version 1.2」（7月27日）までで、1.3から1.7の内容は公開されていません。バナーの数字は数日単位で進むため、読者がご覧になる時点では1.8以降になっている可能性があります。判断の基準は「一覧に載っているか」ではなく「バナーの現行版に追いついているか」です。もうひとつは日付の読み方で、更新履歴の日付は「27/07/2026」のような日／月／年の順です。月／日と読み違えると、リリースの前後関係を取り違えます。検索で上位に出る wiki.centos-webpanel.com や centos-webpanel.com の更新履歴ページは、消えているか2018年で更新が止まっています。参照するのは control-webpanel.com/changelog です。

更新に加えて、管理パネル特有の守りも見直しておくと安全です。まず、管理画面（初期設定では2030番・2031番などのポート）をインターネット全体に公開せず、接続元を自分の使うIPアドレスに絞ることです。会社や自宅の固定回線、VPN経由のみに限定するだけで、不特定多数からの自動攻撃はほぼ遮断できます。次に、前段にWAF（不正な通信を検知して止める仕組み）を置くこと、そしてすでに侵入されていないかの点検です。見慣れないPHPファイルや管理者アカウント、身に覚えのないデータベースの変更、不審な通信がないかを確認し、疑わしい場合はパスワードとデータベースの認証情報をすべて入れ替えてください。

まとめ

CVE-2026-57517は、サーバー管理パネルCWPで、パスワードもセッションも持たない相手にデータベースを操作され、最終的にサーバーを乗っ取られる恐れのある脆弱性です。危険度はCVSS 3.1で9.8、CVSS 4.0で9.3と最高クラス。成立には非rootのCWPユーザー名を知るか言い当てる必要がありますが、推測は難しくありません。攻撃コードはすでに公開されており、実際に攻撃へ使われた報告は現時点でありません。

CWPは過去にも無認証の乗っ取り脆弱性が繰り返し悪用されてきた、攻撃者にとっての定番の標的です。自動化された攻撃がいつ始まってもおかしくない前提で、すぐに更新し、あわせて管理画面をインターネットに晒さない運用へ切り替えることを強くおすすめします。上げる先は0.9.8.1225ではありません。公式の更新履歴に載っている現行リリースです。まずは自分のサーバーのCWPが今どのバージョンかを、今すぐ確認してください。

参照元

• ▸NVD - CVE-2026-57517 Detail（米国立標準技術研究所）
• ▸Karma(In)Security - KIS-2026-12（発見者による公式アドバイザリ）
• ▸Control Web Panel 公式 - Changelog（現行リリースの確認先）
• ▸VulnCheck - Control Web Panel Blind SQL Injection via userRes Parameter
• ▸NVD - CVE-2025-48703（本件とは別件・過去の無認証RCE・KEV登録）
• ▸NVD - CVE-2022-44877（本件とは別件・過去の無認証RCE・大規模悪用）
• ▸BleepingComputer - CISA warns of critical CentOS Web Panel bug exploited（CVE-2025-48703の報道）
• ▸CISA - Known Exploited Vulnerabilities Catalog（KEV）