--- title: "Control Web Panel sunucusuna gizlenen Linux arka kapısı komutları günlüğe düşmeden çalıştırıyor" url: "https://teknotayf.com/haber/control-web-panel-sunucusuna-gizlenen-linux-arka-kapisi-komutlari-gunluge-dusmeden-calistiriyor" markdown_url: "https://teknotayf.com/haber/control-web-panel-sunucusuna-gizlenen-linux-arka-kapisi-komutlari-gunluge-dusmeden-calistiriyor.md" site: "teknotayf.com" language: "tr" published: "2026-11-06 08:58:54" updated: "2026-11-06 07:27:03" category: "Siber Güvenlik" tags: ["Arka Kapı","Siber Saldırı","Linux Güvenliği","QiAnXin","Control Web Panel"] source: "The Hacker News" --- # Control Web Panel sunucusuna gizlenen Linux arka kapısı komutları günlüğe düşmeden çalıştırıyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/control-web-panel-sunucusuna-gizlenen-linux-arka-kapisi-komutlari-gunluge-dusmeden-calistiriyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** QiAnXin XLab araştırmacıları, Control Web Panel'i çalıştıran web sunucusunda cwpdoor adlı bir arka kapı tespit etti. Arka kapı, özel başlıklarla gelen istekleri günlüğe yazmadan komut olarak çalıştırıyor ve yükleyici root erişimi gerektiriyor. Brezilya'dan gelen bir örnek, gerçek kurbanların var olduğunu gösteriyor. - **Yayın tarihi:** 2026-11-06 08:58 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Arka Kapı, Siber Saldırı, Linux Güvenliği, QiAnXin, Control Web Panel - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/11/hackers-hide-linux-backdoor-in-control.html) ![Control Web Panel sunucusuna gizlenen Linux arka kapısı komutları günlüğe düşmeden çalıştırıyor](https://teknotayf.com/assets/uploads/2026/11/7e327e5219795e27c6e4a85310338655.jpg) QiAnXin'in XLab araştırmacıları bu hafta, Linux barındırma sunucularını yönetmek için ücretsiz bir panel olan **Control Web Panel**'i (CWP) çalıştıran web sunucusunda gizlenen bir arka kapı bulduklarını açıkladı. Arka kapılı web sunucusu, saldırganların web istekleriyle gönderdiği komutları çalıştırıyor ve bu istekler erişim günlüklerinde hiç görünmüyor. Kurulum için root erişimi gerekiyor, yani saldırganların sunucuyu zaten kontrol etmesi gerekiyor. Araştırmacılar arka kapıya **cwpdoor** adını verdi. Yükleyiciyi, sürüm güncellemesi gibi görünen bir shell betiğini 29 Haziran'da ele geçirdiler. Yükleyici yalnızca cwpsrv 1.15.10 ve 1.24.0 sürümlerini işliyor. Araştırmacılar yükleyicinin ihtiyaç duyduğu root erişimini saldırganların nasıl elde ettiğini henüz bilmiyor. 30 Eylül'de Brezilya'dan VirusTotal'a arka kapının bir kopyasını içeren bir arşiv yüklendi. Araştırmacılar bunun "gerçek kurbanların doğada zaten var olduğuna" işaret ettiğini söylüyor. Enfekte sunucu sayısını belirtmiyorlar. Teknik analizlerinde araştırmacılar arka kapının kendisinin ek kodla yeniden oluşturulmuş cwpsrv olduğunu buldu. Program normal gibi davranıyor; X-Ngx-Integrity ile başlayan özel başlıklarda geçerli zaman damgası ve imza bulunan bir istek gelene kadar. Bu durumda istekte taşınan komutu çalıştırıyor. Yükleyici cwpsrv dosyasını değiştirdiğinde dosyanın tarihlerini orijinal değerlerine geri koyuyor, böylece ls ve stat kontrolleri dosyanın değişmemiş gibi görünmesini sağlıyor. Araştırmacılar kontrol ettiğinde arka kapı dosyası VirusTotal'da **63 antivirüs motorundan sıfır tespit** almıştı. ## Arka Kapı İçin Sunucu Kontrolü XLab üç kontrol öneriyor: Socket: ss -axp | grep integrity komutunu çalıştırın. Arka kapının kullandığı Unix soketi olan ngx_http_integrity_helper adını veren bir sonuç enfeksiyon belirtisidir. Süreç: ps aux | grep cwpsrv komutunu çalıştırın ve cwpsrv tarafından başlatılan beklenmeyen yardımcı süreçlere bakın. Araştırmacıların örneğinde soket kontrolü, açık port listesi normal görünen bir sunucuda arka kapıyı buldu. Araştırmacılar şu göstergeleri yayımladı: MD5: e505d4ffa21cf494a5dc2d7c8f4f1236 (yükleyici betik, cwpsrv_update.sh) MD5: 965aea67fb40de1bab5169ada993349f (arka kapılı cwpsrv 1.15.10) MD5: d3f4e95113d49ab3991b45e457bda75b (arka kapılı cwpsrv 1.24.0) IP: 136.0.141[.]71 (indirme sunucusu) ## Enfekte Sunucunun Temizlenmesi Sunucu enfekteyse araştırmacılar üç adım öneriyor: Orijinal cwpsrv dosyasını yükleyicinin /usr/local/cwpsrv/bin dizinine oluşturduğu yedekten geri yükleyin; dosya adı cwpsrv.prev- ile başlar ve tarih-saat ile biter. Yükleyicinin açıklamasına göre başarılı bir değişimden sonra geçici dosyaları ve yedeği sildiği belirtiliyor, bu nedenle bu kopya eksik olabilir. En son sürüme yükseltin ve ardından ss -axp | grep integrity komutunun hiçbir şey döndürmediğini doğrulayın. Tüm kontrol paneli kimlik bilgilerini değiştirin, çünkü arka kapı herhangi bir komutu çalıştırabilir. Tüm sunucuyu tehlikeye atılmış olarak kabul edin ve diğer tehditler için kontrol edin. Brezilya'dan yüklenen arşiv aynı zamanda en az 2009'dan beri aktif olan bir OpenSSH arka kapısı ve kimlik bilgisi çalıntısı olan Ebury kötücül yazılımını da içeriyordu. Araştırmacılar ikisinin ilişkili olup olmadığını bilmiyor ve farklı saldırganların aynı sunucuya yerleştirmiş olabileceğini söylüyor. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/control-web-panel-sunucusuna-gizlenen-linux-arka-kapisi-komutlari-gunluge-dusmeden-calistiriyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.