CISA предупредува за ранливост во CWP која се експлоатира во живо

Критична ранливост во Control Web Panel (CWP), евидентирана како CVE-2025-48703, овозможува далечинско извршување на команди без автентикација.

Агенцијата за сајбер-безбедност CISA во вторникот предупреди дека критична ранливост која ја засега софтверската платформа за администрирање на сервери CWP е експлоатирана во живо.

CWP, порано наречен CentOS Web Panel, е бесплатен и широко користен Linux веб хостинг контролен панел, создаден за поедноставување на управувањето со сервери.

Ранливоста во CWP (CVE-2025-48703) овозможува на далечински, неавтентицирани напаѓачи да извршуваат произволни команди на ранливите системи. Напаѓач кој располага со валидно non-root корисничко име може да заобиколи автентикација и да извршува команди преку специјално подготвени барања.

Ранливоста била пријавена на развивачите на CWP во средината на мај, а закрпа била објавена приближно еден месец подоцна со верзијата 0.9.8.1205.

Не постојат јавни извештаи кои опишуваат напади во кои CVE-2025-48703 бил експлоатиран.

Компанијата Findsec претходно предупреди дека експлоатацијата на ранливоста е неизбежна, наведувајќи дека експлоатацијата може да биде автоматизирана и дека заканувачките актери веќе започнале да развиваат и споделуваат експлоити на форуми за сајбер-криминал.

Според Netlas.io, има приближно 150.000 интернет-експонирани CWP инстанци, кои потенцијално се погодени од CVE-2025-48703, од кои мнозинството се во САД (37.510), следени од Германија, Јапонија, Индија, Франција и Канада. Shodan прикажува повеќе од 220.000 интернет-експонирани инстанци.

Со оглед на оваа широко распространета експозиција, многу е веројатно дека ранливоста веќе е експлоатирана во опортунистички напади.

CISA го додаде CVE-2025-48703 во својот каталог на познати експлоатирани ранливости (KEV) и им нареди на федералните агенции да го санираат до 25 ноември.

Експлоатацијата на ранливоста во CWP во живо (in-the-wild) претходно беше пријавена во почетокот на 2023 година.

Извори:

• SecurityWeek – „CISA Warns of CWP Vulnerability Exploited in the Wild“ SecurityWeek