---
title: "Control Web Panel の webpanel_version 1.16 より前に認証回避・ローカルファイルインクルージョン・任意ファイル書き込みと OS コマンドインジェクション 3 件（CVE-2026-73695〜73697、CVSS v3.1 9.8）"
url: https://n-t-p.io/worldsecurity/articles/control-web-panel-user-panel-auth-bypass-lfi-file-write-command-injection-cve-2026-73695-73696-73697
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月2日
updated: 2026年11月2日
severity: 緊急
cve: CVE-2026-73695, CVE-2026-73696, CVE-2026-73697
---

# Control Web Panel の webpanel_version 1.16 より前に認証回避・ローカルファイルインクルージョン・任意ファイル書き込みと OS コマンドインジェクション 3 件（CVE-2026-73695〜73697、CVSS v3.1 9.8）

> **TL;DR:** Control Web Panel の webpanel_version 1.16 より前に、ユーザーパネルの認証回避（CVE-2026-73696）、ローカルファイルインクルージョン（73695）、任意ファイル書き込みと OS コマンドインジェクション（73697）がある。CVSS v3.1 は 3 件とも 9.8（VulnCheck 評価）、KEV なし、EPSS は未算定。

**要点**
- Control Web Panel のユーザーパネルに 3 件の脆弱性（CVE-2026-73695・73696・73697）。73696 は 1.12 より前、ほか 2 件は 1.16 より前が対象
- 73696 は有効なホスティングのユーザー名だけで認証を回避してモジュールに到達でき、NVD は root 取得に至る認証前の連鎖につながると説明している
- 73695 は任意のローカル PHP ファイルの読み込み、73697 は任意ファイルの書き込みと OS コマンドの実行（リモートコード実行）
- CVSS v3.1 は 3 件とも 9.8・v4.0 は 9.3（いずれも VulnCheck の評価）。KEV 掲載なし、EPSS は未算定、NVD は Received で分析は未実施
- 1.16 以降への更新を確認し、それまでユーザーパネルの公開範囲を絞る（推定）。悪用の有無とベンダー側の修正詳細は未確認

NVD は 2026-11-02 に、ホスティング管理パネル Control Web Panel（CWP）のユーザーパネルに関する 3 件の脆弱性、CVE-2026-73695・CVE-2026-73696・CVE-2026-73697 を登録しました。いずれも webpanel_version 1.16 より前（73696 は 1.12 より前）が対象とされ、組み合わせると、ホスティングのユーザー名が分かっているだけでサーバー上のコード実行に至るおそれがあります。

## 3 件の内容

| CVE | 対象 | 問題 | CWE |
|---|---|---|---|
| CVE-2026-73696 | webpanel_version 1.12 より前 | ユーザーパネルの認証処理で、未認証時にログイン画面へリダイレクトする際に処理を終了しない（exit() がない）ため、PHP の処理が続き、モジュールの呼び出しが認証なしで実行される。有効なホスティングのユーザー名さえ分かっていれば、認証を回避してユーザーパネルのモジュールに到達できるとされる | CWE-698 |
| CVE-2026-73695 | webpanel_version 1.16 より前 | services/users/index.php が、リクエストで渡されたモジュール名を許可リスト・basename()・パス検証なしに include のパスへ連結する。ディレクトリを遡る文字列で、サーバー上の任意の .php ファイルを読み込ませるローカルファイルインクルージョンになる | CWE-98 |
| CVE-2026-73697 | webpanel_version 1.16 より前 | phpini_editor モジュールで、更新処理が攻撃者の指定したパスへ指定した内容を書き込み（パスの制限なし）、別の処理が無害化されていない入力を shell_exec に渡す。任意ファイルの書き込みと OS コマンドの実行ができ、リモートコード実行になるとされる | CWE-22 |

- **つながり方**: 73696 でユーザーパネルのモジュールへ認証なしで到達でき、73695 と 73697 はそのモジュール側の欠陥です。NVD は 73696 について、root 権限の取得に至る認証前の連鎖につながると説明しています。ただし、73695・73697 が認証なしで単独に悪用できるかどうかは、NVD の記載からは判断できません（73697 は「モジュールにアクセスできる攻撃者」を前提としています）。
- **前提**: 73696 は、有効なホスティングのユーザー名を知っていることが条件です。
- 攻撃の具体的な手順は、本記事では扱いません。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| CVSS v3.1（VulnCheck、3 件とも） | 9.8（CRITICAL）AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| CVSS v4.0（VulnCheck、3 件とも） | 9.3（CRITICAL） |
| NVD の状態 | 3 件とも Received（NVD 自身の分析は未実施） |
| EPSS | 3 件とも未算定（FIRST の API に該当データなし） |
| KEV | 3 件とも掲載なし |
| 修正版 | 73695・73697 は 1.16 より前が対象、73696 は 1.12 より前が対象。NVD の参照先はベンダーの更新履歴（changelog） |
| 出典 | NVD |

## severity を critical とした理由

CVSS v3.1 が 3 件とも 9.8 で、ネットワーク越し・認証不要の評価です。基準（認証不要かつ 9.0 以上は critical）に合わせて critical としています。実際には 73696 のユーザー名の把握や、73697 のモジュールへのアクセスが前提となる点は、実害の見積もりで考慮が必要です。

## 対応として考えられること

1. 管理しているサーバーで Control Web Panel を使っていないか、使っている場合は webpanel_version を確認します。
2. 1.16 以降へ更新します（ベンダーの更新履歴で該当の修正を確認してください。本記事では、どの版の更新履歴に各修正が記載されているかまでは確認していません）。
3. 更新までの間、ユーザーパネルのポートを社内ネットワークや VPN など限られたアクセス元にだけ開放します（推定）。
4. ユーザーパネルへの不審なリクエスト、phpini_editor モジュールの操作履歴、PHP 設定ファイルの意図しない変更や、見覚えのないファイルの作成がないかを確認します（推定）。
5. 侵害の疑いがある場合は、サーバー上の各アカウントの認証情報の再発行も検討します（推定）。

## 未確認の点

- 実際の攻撃での悪用は確認していません。
- NVD の分析は未実施で、CVSS は VulnCheck の評価です。
- NVD が参照するベンダー・VulnCheck の個別ページは、本記事の作成時点では内容を確認できませんでした。修正の詳細は未確認です。
- 製品の導入状況や、インターネットへの公開状況は確認できていません。


## 出典
- [NVD CVE-2026-73695](https://nvd.nist.gov/vuln/detail/CVE-2026-73695) — NIST NVD
- [NVD CVE-2026-73696](https://nvd.nist.gov/vuln/detail/CVE-2026-73696) — NIST NVD
- [NVD CVE-2026-73697](https://nvd.nist.gov/vuln/detail/CVE-2026-73697) — NIST NVD
- [Control Web Panel 更新履歴（NVD の参照先）](https://control-webpanel.com/changelog) — Control Web Panel
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-73697) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/control-web-panel-user-panel-auth-bypass-lfi-file-write-command-injection-cve-2026-73695-73696-73697