Backdoor en Control Web Panel ejecuta comandos en Linux sin dejar rastro en los logs

QiAnXin XLab: el servidor web del panel CWP ejecuta órdenes por HTTP y no las anota en access logs.

Investigadores de QiAnXin XLab hallaron un backdoor oculto en el servidor web que corre Control Web Panel (CWP), un panel gratuito para administrar hosting Linux, reportó The Hacker News el 6 de noviembre de 2026.

El servidor alterado ejecuta comandos enviados por peticiones web y esas peticiones no aparecen en los access logs. Instalarlo exige root previo: el atacante ya controlaba el equipo.

Para quien opera CWP, parchear no alcanza: hay: hay que verificar integridad del binario del web server y correlacionar actividad fuera de los logs del propio panel.

Fuente: The Hacker News: «Hackers Hide Linux Backdoor in Control Web Panel Server to Execute Commands Without Logs», 6 de noviembre de 2026.