¿Qué es la vulnerabilidad CVE-2026-73696 en Control Web Panel?
Control Web Panel (CWP) antes de la versión 1.12 contiene una vulnerabilidad de ejecución posterior a la redirección en el flujo de autenticación del panel de usuario (CWPUserIndex). Este fallo permite que atacantes no autenticados omitan los controles de acceso aprovechando la ausencia de una llamada a exit() tras una redirección mediante header('Location:...'), un problema analizado de forma similar en la vulnerabilidad crítica en Rust para librerías de terceros.
Los atacantes pueden enviar peticiones sin autenticación para forzar la continuación de la ejecución de PHP más allá de la redirección y alcanzar funciones del panel de usuario que normalmente requerirían credenciales válidas. Este tipo de fallos lógicos en flujos web se asemejan a brechas de control de acceso como la vulnerabilidad crítica en Kaniko que comprometen flujos sensibles.
Registrada bajo el identificador CVE-2026-73696, la vulnerabilidad posee una puntuación CVSS de 9.1 y una severidad crítica, lo que representa un vector de riesgo elevado para administradores de sistemas y servidores web expuestos a la red.
¿A quién afecta este fallo de omisión de autenticación?
El problema afecta directamente a todas las instancias de Control Web Panel que ejecuten versiones anteriores a la webpanel_version 1.12. Cualquier servidor con exposición pública a internet de su panel de control corre el riesgo de sufrir accesos no autorizados.
Cualquier actor malicioso externo puede lanzar peticiones automatizadas sin necesidad de credenciales previas para interactuar con funcionalidades internas del panel, afectando a la confidencialidad e integridad del sistema.
¿Cómo me protego?
Para proteger la infraestructura frente a posibles intrusiones que exploten este fallo de redirección, los administradores deben actualizar el panel de control de inmediato. Asimismo, conviene revisar avisos de seguridad adicionales en componentes del ecosistema como los incidentes reportados en fallos críticos en SUSE Rancher para mantener la postura defensiva.
Siga estos pasos de mitigación y actualización recomendados para asegurar sus servidores:
- Compruebe la versión actual instalada de Control Web Panel en su servidor.
- Consulte el registro oficial de cambios en https://control-webpanel.com/changelog para verificar la disponibilidad del parche.
- Actualice Control Web Panel a la versión 1.12 o superior utilizando los repositorios o herramientas oficiales de actualización.
- Monitoree los registros de acceso en busca de peticiones sospechosas dirigidas al flujo de autenticación del panel de usuario.