CWPdoor se cache dans Control Web Panel et n’écrit rien dans le journal d’accès

Si vous hébergez un site sur un serveur qui utilise Control Web Panel, le programme qui affiche le panneau lui-même a peut-être été remplacé par une copie qui a encore l’air légitime. Le 5 novembre 2026, des chercheurs de XLab, une équipe de QiAnXin, ont publié CWPdoor : The Invisible Backdoor Living Inside Control Web Panel (en anglais). La porte dérobée ne balaie pas Internet et ne rappelle pas d’elle-même. Elle reste dans le serveur Web du panneau et ne répond que lorsque l’opérateur envoie une requête qu’elle peut vérifier.

Ce qui a été trouvé

Control Web Panel, autrefois CentOS Web Panel, est un panneau d’administration gratuit pour serveurs Linux, dans la même famille générale que cPanel et Plesk. Sa propre interface est servie par un programme appelé cwpsrv, un serveur adapté à partir de Nginx. XLab dit que la porte dérobée n’est pas un fichier déposé à côté. L’attaquant a inséré du code dans le source de cwpsrv, l’a recompilé et a remplacé le vrai binaire.

Le système de veille de XLab a capté l’installateur le 29 juin 2026 : un script nommé cwpsrv_update.sh, qui se fait passer pour une mise à jour. Il ne traite que les versions 1.15.10 et 1.24.0 de cwpsrv. Lancé en tant que root, il vérifie la version locale, télécharge un binaire correspondant depuis 136.0.141.71, arrête le service, écrase /usr/local/cwpsrv/bin/cwpsrv et le relance. Si le contrôle de santé échoue, il revient en arrière. Dans les deux cas, il remet les dates d’origine sur le fichier et son dossier, et il efface la ligne d’historique du shell, de sorte qu’un coup d’œil avec ls ou stat ne montre pas de changement récent. Il signale ensuite le résultat au même serveur.

Le 30 septembre 2026, quelqu’un au Brésil a téléversé sur VirusTotal une archive nommée evidencia.tgz. Dedans, deux fichiers malveillants. L’un, libkeyutils.so.1.5.2, était largement détecté comme Ebury, une porte dérobée Linux et un voleur d’identifiants qu’ESET suit depuis au moins 2009. L’autre, cwpsrv.suspeito, était CWPdoor, et il n’était alors détecté par aucun antivirus. XLab y voit la preuve de vraies victimes, pas d’une expérience de laboratoire. XLab dit aussi que le lien avec Ebury n’est pas clair : les deux ont pu être déposés sur le même serveur par des personnes différentes. XLab ne sait pas quelle faille, s’il y en a une, sert à propager CWPdoor.

La plateforme Hunter de QiAnXin a compté plus de 340 000 instances de CWP exposées à Internet au cours du mois précédent. C’est le bassin de serveurs qui pourraient être visés. Ce n’est pas un décompte d’infections.

Comment la porte dérobée se comporte

En usage normal, le cwpsrv modifié se comporte comme le vrai serveur du panneau. Le code ajouté ne s’exécute que lorsqu’une requête porte trois en-têtes : un horodatage, une commande chiffrée et une signature. XLab dit que l’horodatage doit tomber dans une fenêtre de cinq minutes, et que la signature doit correspondre à une clé publique intégrée au binaire. Si l’une des vérifications échoue, la requête est traitée comme du trafic ordinaire. Si les deux réussissent, un processus auxiliaire exécute la commande et la réponse revient chiffrée. Le même code modifie ensuite le module de journalisation pour que la requête déclencheuse n’apparaisse pas dans le journal d’accès.

C’est pour cela que XLab parle de discrétion : les dates du fichier ont l’air anciennes, le processus ressemble à cwpsrv, et la commande elle-même manque dans le journal. C’est aussi pour cela qu’une personne qui visite un site hébergé sur le serveur ne voit rien d’anormal.

Ce que vous pouvez faire

La plupart des gens qui ont un site personnel en hébergement mutualisé ne font pas tourner Control Web Panel eux-mêmes. Si c’est votre cas, il n’y a rien à installer et rien à cliquer. Demandez à votre hébergeur seulement s’il vous dit que le panneau est en cause.

Si vous administrez un serveur qui exécute CWP, les vérifications de XLab sont les suivantes :

1. Cherchez un socket Unix nommé ngx_http_integrity_helper. XLab suggère ss -axp | grep integrity.
2. Regardez les processus cwpsrv pour un processus auxiliaire qui ne devrait pas être là, et cherchez dans le binaire la chaîne X-Ngx-Integrity.
3. Si ces signes sont là, traitez l’hôte comme compromis. XLab dit que l’installateur laisse une copie de secours nommée comme cwpsrv.prev- suivi d’un horodatage dans /usr/local/cwpsrv/bin. Remplacez le binaire par une copie saine, passez à une version à jour, confirmez que le socket a disparu et renouvelez chaque identifiant du panneau de contrôle. Comme la porte dérobée peut exécuter des commandes arbitraires, ces mots de passe et ces clés doivent être considérés comme volés, et l’hôte doit être inspecté pour tout ce qui aurait été ajouté.

C’est un incident différent de la mise à jour cPGuard détournée plus tôt cette semaine. cPGuard est un produit de sécurité distinct, et ce cas-là était une mise à jour empoisonnée venue du canal du fournisseur. CWPdoor est une copie reconstruite du serveur Web de Control Web Panel. La même semaine a aussi vu des téléchargements du CLI d’OVHcloud remplacés par un voleur de secrets, un autre cas où un outil auquel les administrateurs font confiance a livré autre chose.

Comment Frame peut aider

Il s’agit ici du serveur qui héberge un site, pas d’une liste de courriels de clients. Les vérifications ci-dessus sont la partie utile. Si un hébergeur nomme plus tard une fuite d’adresses courriel de comptes, Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Une fausse mise à jour de cPGuard a volé les secrets root d’environ 2 950 serveurs d’hébergement web : un produit distinct et une attaque distincte, visant aussi des serveurs d’hébergement Linux.
• Des téléchargements du CLI d’OVHcloud ont été remplacés par un voleur de secrets : un autre outil d’administration de confiance remplacé par du code malveillant.

Sources

• XLab (QiAnXin), CWPdoor: The Invisible Backdoor Living Inside Control Web Panel (en anglais), 5 novembre 2026
• BleepingComputer, Hackers backdoor Linux servers using trojanized CWP web server (en anglais), 5 novembre 2026