تم اكتشاف باب خلفي يُدعى cwpdoor في برنامج الخادم Control Web Panel (CWP)، مما يؤثر على الإصدارات 1.15.10 و1.24.0. يتيح هذا الباب الخلفي للمهاجمين تنفيذ أوامر على الأنظمة المخترقة دون ترك آثار في سجلات الوصول.

تم التعرف على الباب الخلفي cwpdoor لأول مرة في 29 يونيو 2026، عندما التقط الباحثون سكربت مشبوه يُدعى cwpsrv_update.sh. يتطلب هذا السكربت صلاحيات الجذر للعمل، مستهدفاً إصدارات محددة من الملف الثنائي cwpsrv.

يتم تضمين الباب الخلفي في الملف الثنائي الشرعي cwpsrv، الذي يتم تعديله ليشمل وظائف خبيثة. يتم تفعيله بواسطة طلبات HTTP مصممة خصيصاً تحتوي على أوامر مشفرة وعناوين محددة، مع قمع التسجيل لتجنب الكشف.

في 30 سبتمبر 2026، تم تحميل عينة من الباب الخلفي cwpdoor إلى VirusTotal من البرازيل، مما يشير إلى إصابات في العالم الحقيقي. تم تعريض أكثر من 340,000 حالة من CWP للإنترنت في الشهر الذي سبق الاكتشاف.

أكد الباحثون الاستغلال في البرية، على الرغم من أنهم لم يحددوا بعد كيف يحصل المهاجمون على الوصول الأولي للجذر لتثبيت الباب الخلفي.