Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-78

CVE-2025-48703

CWP Control Web Panel'de kimlik doğrulamasız işletim sistemi komutu enjeksiyonu

centos-webpanel CentOS Web Panel

Kritik 9,0 CVSS 3.1
Yayımlandı
Güncellendi
26 Şub 2026
Açık yaşı
404 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 4 Kas 2025 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 25 Kas 2025.

Yönetici özeti

Web hosting yönetim paneli CWP'deki bu kritik açık, saldırganların sunucuyu dışarıdan ele geçirmesine izin veriyor ve aktif olarak istismar ediliyor. Sunucudaki web siteleri, e-postalar ve müşteri verileri risk altındadır. Güncelleme gecikmeden yapılmalıdır.

ÖzetTürkçe

CWP (Control Web Panel, eski adıyla CentOS Web Panel) 0.9.8.1205 öncesi sürümlerinde, dosya yöneticisinin changePerm isteğindeki t_total parametresi yeterince filtrelenmediği için kabuk metakarakterleri ile işletim sistemi komutu enjekte edilebilmektedir (CWE-78). Saldırganın root olmayan geçerli bir kullanıcı adını bilmesi gerekir. Açık kimlik doğrulaması olmadan uzaktan kod çalıştırmaya yol açar ve CISA tarafından aktif olarak istismar edilen zafiyetler kataloğuna (KEV) eklenmiştir. 0.9.8.1205 öncesi tüm CWP kurulumları etkilenmektedir.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması olmadan sunucuda uzaktan komut çalıştırarak sistemin gizlilik, bütünlük ve erişilebilirliğini tam olarak tehlikeye atabilir. Sunucudaki diğer hesaplar ve siteler de etkilenebilir.

Kaynaktaki açıklama (İngilizce)

CWP (aka Control Web Panel or CentOS Web Panel) before 0.9.8.1205 allows unauthenticated remote code execution via shell metacharacters in the t_total parameter in a filemanager changePerm request. A valid non-root username must be known.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. CWP'yi satıcının düzeltilmiş sürümü olan 0.9.8.1205 veya daha yenisine hemen güncelleyin. Üretici
  2. Güncelleme yapılana kadar CWP yönetim paneline erişimi güvenlik duvarıyla yalnızca güvenilir IP adreslerine kısıtlayın veya paneli internetten erişilemez hale getirin. Genel öneri
  3. Satıcı talimatlarına göre azaltım önlemlerini uygulayın; bunlar mümkün değilse ürünün kullanımını bırakın. CISA
  4. Güncellemeden sonra sunucuda olası ele geçirilme belirtilerini (şüpheli kullanıcılar, zamanlanmış görevler, bilinmeyen süreçler ve dosyalar) kontrol edin. Genel öneri

Ek önlemler

  • Yönetim paneli portlarını internete açmayın; erişimi VPN veya IP beyaz listesi ile sınırlayın. Genel öneri
  • Web sunucusu ve dosya yöneticisi günlüklerinde changePerm isteklerini ve t_total parametresinde olağandışı karakterler içeren girişleri izleyin. Genel öneri
  • Panel yazılımı için otomatik güncelleme veya düzenli yama takibi uygulayın. Genel öneri
  • Sunucu yedeklerini düzenli alın ve bunları sunucudan ayrı bir yerde saklayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
centos-webpanel CentOS Web Panel < 0.9.8.1205 0.9.8.1205

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.