---
title: "Control Web Panel 1.16 より前のユーザーパネルに OS コマンドインジェクション CVE-2026-77876（CVSS v3.1 9.8）: protected_directory モジュールの file パラメータ経由で任意のコマンドを実行されるおそれ"
url: https://n-t-p.io/worldsecurity/articles/control-web-panel-protected-directory-os-command-injection-cve-2026-77876
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月2日
updated: 2026年11月2日
severity: 緊急
cve: CVE-2026-77876
---

# Control Web Panel 1.16 より前のユーザーパネルに OS コマンドインジェクション CVE-2026-77876（CVSS v3.1 9.8）: protected_directory モジュールの file パラメータ経由で任意のコマンドを実行されるおそれ

> **TL;DR:** Control Web Panel の webpanel_version 1.16 より前のユーザーパネルで、protected_directory モジュールの acc=deletedp が POST の file パラメータを無害化せず shell_exec に渡し、任意のコマンドを実行できるおそれ（CVE-2026-77876、CWE-78）。CVSS v3.1 9.8・v4.0 9.3（VulnCheck 評価、PR:N）、KEV なし、EPSS は未算定。

**要点**
- Control Web Panel の webpanel_version 1.16 より前のユーザーパネルに、OS コマンドインジェクション（CVE-2026-77876、CWE-78）
- protected_directory モジュールの acc=deletedp で、POST の file パラメータが無害化されないまま shell_exec に渡り、ユーザーパネルの権限で任意のコマンドが実行される
- CVSS v3.1 は 9.8・v4.0 は 9.3（いずれも VulnCheck の評価、必要な権限なし）。NVD は Received で分析は未実施
- KEV 掲載なし。EPSS は未算定。1.16 以降への更新を確認し、それまでユーザーパネルの公開範囲を絞る（推定）
- 悪用の有無、ログインの要否、ベンダー側の修正の詳細は未確認

NVD は 2026-11-02 に、ホスティング管理パネル Control Web Panel（CWP）のユーザーパネルにある OS コマンドインジェクション CVE-2026-77876 を登録しました。webpanel_version 1.16 より前の protected_directory モジュールで、acc=deletedp の処理が POST の file パラメータを無害化せずに shell_exec へ渡すため、ユーザーパネルの権限で任意のコマンドを実行できるとされています。

## 何が起きるか

- **種類（CWE-78）**: OS コマンドの構成要素になる入力の無害化が不十分です。攻撃者が制御できる文字列が、そのままシェルの実行に使われます。
- **対象**: Control Web Panel の webpanel_version 1.16 より前です。
- **影響**: ユーザーパネルの実行権限でコマンドが実行されます。サーバー上のそのアカウントが扱うデータの読み書きや、ほかの処理への足掛かりになるおそれがあります。
- **評価**: VulnCheck の評価で、CVSS v3.1 は 9.8（CRITICAL、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、v4.0 は 9.3（CRITICAL）です。いずれも必要な権限は「なし」とされています。
- **関連**: 同じ 1.16 より前のユーザーパネルには、別の CVE（CVE-2026-73695・73696・73697）の欠陥も同日に登録されています。本件はそれらとは別の CVE です。
- 攻撃の具体的な手順は、本記事では扱いません。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-77876 |
| CVSS v3.1（VulnCheck） | 9.8（CRITICAL） |
| CVSS v4.0（VulnCheck） | 9.3（CRITICAL） |
| CWE | CWE-78 |
| NVD の状態 | Received（NVD 自身の分析は未実施） |
| EPSS | 未算定（FIRST の API に該当データなし） |
| KEV | 掲載なし |
| 修正版 | webpanel_version 1.16（NVD の記載は「1.16 より前が対象」。NVD の参照先はベンダーの更新履歴） |
| 出典 | NVD、VulnCheck の勧告 |

## severity を critical とした理由

CVSS v3.1 が 9.8 で、ネットワーク越し・認証不要（PR:N）の評価です。基準（認証不要かつ 9.0 以上は critical）に合わせて critical としています。ただし、NVD と勧告の記載は、ユーザーパネルへのログインの要否に触れていません。評価の PR:N は VulnCheck によるもので、実際にログインが必要な構成であれば実害の見積もりは下がります（未確認）。

## 対応として考えられること

1. 管理しているサーバーで Control Web Panel を使っていないか、使っている場合は webpanel_version を確認します。
2. 1.16 以降へ更新します（ベンダーの更新履歴で該当の修正を確認してください。本記事では、どの版の更新履歴に本件の修正が記載されているかまでは確認していません）。
3. 更新までの間、ユーザーパネルのポートを社内ネットワークや VPN など限られたアクセス元にだけ開放します（推定）。
4. protected_directory モジュールへの acc=deletedp の不審なリクエスト、見覚えのないプロセスやファイルの作成がないかを確認します（推定）。
5. 侵害の疑いがある場合は、サーバー上の各アカウントの認証情報の再発行も検討します（推定）。

## 未確認の点

- 実際の攻撃での悪用は確認していません。
- ユーザーパネルへのログインが必要かどうか、NVD と勧告の記載からは判断できません。
- NVD の分析は未実施で、CVSS は VulnCheck の評価です。
- ベンダーの更新履歴は開けることだけ確認しており、本件の修正の記載の有無までは確認していません。
- 製品の導入状況や、インターネットへの公開状況は確認できていません。


## 出典
- [NVD CVE-2026-77876](https://nvd.nist.gov/vuln/detail/CVE-2026-77876) — NIST NVD
- [VulnCheck 勧告: Control Web Panel (CWP) < 1.16 OS Command Injection via protected_directory](https://www.vulncheck.com/advisories/control-web-panel-cwp-os-command-injection-via-protected-directory) — VulnCheck
- [Control Web Panel 更新履歴（NVD の参照先）](https://control-webpanel.com/changelog) — Control Web Panel
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-77876) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/control-web-panel-protected-directory-os-command-injection-cve-2026-77876