Control Web Panel 1.16 より前のユーザーパネルに OS コマンドインジェクション CVE-2026-77876（CVSS v3.1 9.8）: protected_directory モジュールの file パラメータ経由で任意のコマンドを実行されるおそれ

NVD は 2026-11-02 に、ホスティング管理パネル Control Web Panel（CWP）のユーザーパネルにある OS コマンドインジェクション CVE-2026-77876 を登録しました。webpanel_version 1.16 より前の protected_directory モジュールで、acc=deletedp の処理が POST の file パラメータを無害化せずに shell_exec へ渡すため、ユーザーパネルの権限で任意のコマンドを実行できるとされています。

何が起きるか

• 種類（CWE-78）: OS コマンドの構成要素になる入力の無害化が不十分です。攻撃者が制御できる文字列が、そのままシェルの実行に使われます。
• 対象: Control Web Panel の webpanel_version 1.16 より前です。
• 影響: ユーザーパネルの実行権限でコマンドが実行されます。サーバー上のそのアカウントが扱うデータの読み書きや、ほかの処理への足掛かりになるおそれがあります。
• 評価: VulnCheck の評価で、CVSS v3.1 は 9.8（CRITICAL、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、v4.0 は 9.3（CRITICAL）です。いずれも必要な権限は「なし」とされています。
• 関連: 同じ 1.16 より前のユーザーパネルには、別の CVE（CVE-2026-73695・73696・73697）の欠陥も同日に登録されています。本件はそれらとは別の CVE です。
• 攻撃の具体的な手順は、本記事では扱いません。

数値と出典（2026-11-03 時点）

項目	内容
CVE	CVE-2026-77876
CVSS v3.1（VulnCheck）	9.8（CRITICAL）
CVSS v4.0（VulnCheck）	9.3（CRITICAL）
CWE	CWE-78
NVD の状態	Received（NVD 自身の分析は未実施）
EPSS	未算定（FIRST の API に該当データなし）
KEV	掲載なし
修正版	webpanel_version 1.16（NVD の記載は「1.16 より前が対象」。NVD の参照先はベンダーの更新履歴）
出典	NVD、VulnCheck の勧告

severity を critical とした理由

CVSS v3.1 が 9.8 で、ネットワーク越し・認証不要（PR:N）の評価です。基準（認証不要かつ 9.0 以上は critical）に合わせて critical としています。ただし、NVD と勧告の記載は、ユーザーパネルへのログインの要否に触れていません。評価の PR:N は VulnCheck によるもので、実際にログインが必要な構成であれば実害の見積もりは下がります（未確認）。

対応として考えられること

1. 管理しているサーバーで Control Web Panel を使っていないか、使っている場合は webpanel_version を確認します。
2. 1.16 以降へ更新します（ベンダーの更新履歴で該当の修正を確認してください。本記事では、どの版の更新履歴に本件の修正が記載されているかまでは確認していません）。
3. 更新までの間、ユーザーパネルのポートを社内ネットワークや VPN など限られたアクセス元にだけ開放します（推定）。
4. protected_directory モジュールへの acc=deletedp の不審なリクエスト、見覚えのないプロセスやファイルの作成がないかを確認します（推定）。
5. 侵害の疑いがある場合は、サーバー上の各アカウントの認証情報の再発行も検討します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• ユーザーパネルへのログインが必要かどうか、NVD と勧告の記載からは判断できません。
• NVD の分析は未実施で、CVSS は VulnCheck の評価です。
• ベンダーの更新履歴は開けることだけ確認しており、本件の修正の記載の有無までは確認していません。
• 製品の導入状況や、インターネットへの公開状況は確認できていません。