CVE-2026-73696: Bypass dell'autenticazione in Control Web Panel

Il CVE-2026-73696 descrive una vulnerabilità di 'execution after redirect' nel flusso di autenticazione del pannello utente di Control Web Panel (CWP). La falla consente a utenti non autenticati di bypassare il meccanismo di autenticazione sfruttando una mancante exit() call dopo un header('Location: ...') redirect. Quando la redirezione non termina l'esecuzione dello script, gli attaccanti possono inviare richieste che continuano l'esecuzione PHP oltre il punto di redirect, raggiungendo funzionalità del pannello che dovrebbero essere protette da autenticazione.

La vulnerabilità ha un punteggio CVSS di 9,1, classificata come critica. È stata pubblicata nell'NVD il 2 novembre 2026. Pur non essendo ancora presente un exploit pubblico confermato su repository noti, la falla sta generando discussione sui social network nelle ultime 24 ore, indicando consapevolezza della comunità di attaccanti. La mancanza di exploit strutturato non deve indurre falsa tranquillità: il meccanismo è semplice da comprendere e il rischio di sviluppo rapido è elevato.

Le azioni immediate per gli amministratori sono: verificare quale versione di CWP è in produzione; aggiornare a versione 1.12 o successiva non appena disponibile; monitorare i log di accesso per pattern anomali o tentativi di accesso al pannello utente senza credenziali valide; se l'aggiornamento non può essere fatto immediatamente, implementare regole firewall/WAF per restringere l'accesso al pannello a indirizzi IP autorizzati; disabilitare il servizio se non strettamente necessario fino alla patch.

Control Web Panel è un software di gestione hosting ampiamente utilizzato da piccole e medie aziende. Il bypass di autenticazione espone direttamente al controllo dell'infrastruttura di hosting. È essenziale comunicare al team di sicurezza e infrastruttura con urgenza massima, coordinando il rollout della patch secondo il vostro change management.