公开 PoC 代码曝光 CVSS 9.8 分的 Control Web Panel SQL 注入漏洞 CVE-2026-57517

sec随谈
sec随谈

sec随谈

2026年7月3日 13:23
北京

在小说阅读器读本章

去阅读

安全研究人员公开披露了 Control Web Panel 中的一个严重漏洞，并同时公布了概念验证（PoC）利用代码。该漏洞编号为 CVE-2026-57517，CVSS 评分达到满分 9.8。

摘要

Control Web Panel 中存在一个严重漏洞。这个 Control Web Panel SQL 注入（SQLi）漏洞可导致远程代码执行。目前，一份公开的概念验证利用代码已可在网上获取。管理员必须立即为其服务器打补丁，以防范攻击。

为何值得关注

Control Web Panel 在全球管理着数以千计的网站托管环境。CVE-2026-57517 使这些服务器面临被完全攻陷的威胁。攻击者无需事先经过身份验证即可利用该漏洞。此外，概念验证代码的公开发布进一步加剧了当下的危险。威胁行为者往往会迅速将公开的利用代码武器化，用以攻击未打补丁的系统。因此，服务器管理员正面临数据泄露和服务器被劫持的紧迫风险。保护这些托管环境需要管理员迅速采取行动。

攻击如何运作

该漏洞源于用户端点（user endpoint）。具体而言，系统未能对\"userRes\" POST 参数中的输入进行净化处理。这一缺陷使得未经身份验证的攻击者能够执行任意 SQL 查询。据公告称，\"成功的利用可让未经身份验证的攻击者以 MySQL root 用户的权限执行任意 SQL 查询\"。该账户拥有全局文件修改能力。攻击者利用 INTO DUMPFILE 命令将任意文件写入文件系统。他们通常会将一个 PHP webshell 部署到可通过 Web 访问的 Roundcube 日志目录中。因此，他们便以 cwpsvc 账户的身份实现了远程代码执行，进而能够远程控制服务器。

受影响的版本

这个盲注型 SQL 注入（blind SQL injection）漏洞影响该软件的旧版安装。0.9.8.1225 之前的 Control Web Panel 版本均存在此漏洞。目前，研究人员已发布了一份公开的概念验证利用代码。你可在 Karma In Security 的报告中查看该利用的详细信息。不过，专家尚未确认存在野外的实际利用行为。

补丁与缓解措施

管理员必须立即更新其系统，升级至 Control Web Panel 0.9.8.1225 或更新版本。此外，请审查你的服务器日志，排查 Roundcube 目录中是否存在异常文件。在条件允许的情况下，使用防火墙规则限制对管理面板的访问。网络分段（network segmentation）也有助于隔离关键的数据库服务。

参考链接：

https://karmainsecurity.com/KIS-2026-12