CVE-2026-73695: Path Traversal e RCE in Control Web Panel

CVE-2026-73695 è una vulnerabilità di path traversal nel file services/users/index.php di Control Web Panel (CWP) versioni precedenti alla 1.16. Un parametro module name non sanitizzato viene concatenato direttamente in un percorso di include, permettendo a un attaccante di iniettare sequenze di directory traversal (come ../) per includere file PHP arbitrari dal server e ottenere esecuzione di codice nel contesto del pannello utente. L'impatto è grave: il pannello di controllo rimane completamente compromesso.

La vulnerabilità è stata registrata su NVD il 2 novembre 2026. Il punteggio CVSS è 8,8 (fascia High), coerente con la capacità di esecuzione di codice remoto nel sistema di gestione. Su X si registrano 5 post nelle ultime 24 ore riguardanti CVE-2026-73695 e altre vulnerabilità correlate in CWP, con un minimo di interazioni (4 totali): è un segnale di consapevolezza nel settore. Non sono stati confermati exploit pubblici nei dati disponibili.

In difesa: identificare tutti i sistemi che eseguono Control Web Panel e verificarne la versione. Se inferiore a 1.16, aggiornare immediatamente. Esaminare i log del pannello utente e del server web alla ricerca di sequenze di traversal nei parametri, specialmente in services/users/index.php. Monitorare le richieste al pannello per anomalie dopo il patching.