CWP (Control Web Panel, antes CentOS Web Panel) ha publicado seis versiones entre el 26 de octubre y el 3 de noviembre de 2026, con soporte para distribuciones EL10 como AlmaLinux y Rocky Linux 10, PHP 8.4 y 8.5, paquetes precompilados para instalar PHP en segundos y una revisión de seguridad de casi todo el panel. El equipo del panel de hosting gratuito lo resume en un correo a sus usuarios en el que asegura que el proyecto está «under very active development», y su registro de cambios lo respalda con datos.
Las claves de las novedades de CWP en 20 segundos
- CWP ya instala en AlmaLinux, Rocky Linux y RHEL 10, además de EL7, EL8 y EL9.
- Añade PHP 8.4 y 8.5 y parches propios para versiones antiguas sin soporte.
- La API del puerto 2304 exige ya clave en todas las llamadas.
- Lleva 14 versiones en 2026, frente a dos en 2025.
CWP es uno de los paneles de control gratuitos más veteranos para servidores Linux de la familia Red Hat, con un modelo de pago opcional (CWPpro) y una alternativa habitual a cPanel o Plesk en servidores pequeños y medianos. En las pruebas que este medio hizo con CWP hace tiempo, el panel funcionaba bien y cubría lo necesario para gestionar un servidor de hosting, aunque su interfaz resultaba mejorable en usabilidad. Las últimas versiones apuntan precisamente a ese terreno, además de a la seguridad.
Seis versiones en nueve días: el cambio de ritmo del registro de cambios
El registro de cambios público de CWP muestra un salto evidente. En 2024 recogió dos versiones y en 2025 otras dos, en agosto y noviembre. En 2026 suma ya 14, desde la 0.9.8.1223 del 17 de marzo hasta la 1.30.1 del 3 de noviembre. Por el camino, el proyecto abandonó la numeración 0.9.8.x que arrastraba desde hace años y pasó a la 1.2 en julio. La aceleración más fuerte llega a finales de octubre: las versiones 1.26, 1.27, 1.28, 1.29, 1.30 y 1.30.1 aparecen en solo nueve días.
También ha cambiado el detalle. Las notas de versiones anteriores se limitaban a listas escuetas del tipo «mejoras de seguridad» o «ajustes de las versiones de PHP», mientras que las de la serie 1.26 a 1.30.1 describen cada corrección, el síntoma que provocaba y qué se ha cambiado. CWP no explica a qué se debe este cambio de ritmo, así que cualquier hipótesis sobre cómo trabaja ahora su equipo quedaría fuera de lo que publica.
EL10, PHP 8.5 y PHP antiguo con parches propios
La versión 1.29, del 31 de octubre, añade el soporte para sistemas EL10 (AlmaLinux, Rocky Linux, RHEL y derivados) en el instalador, el panel y los paquetes. El registro detalla los ajustes necesarios: el inicio de sesión del panel de usuario ahora entiende el formato de contraseñas yescrypt que usa EL10, el cortafuegos CSF instala los módulos del núcleo que EL10 no trae por defecto y Postfix pasa a mapas lmdb. Se instala con el mismo comando que en EL7 a EL9. Aun así, la propia web de CWP sigue recomendando EL9 y, como alternativa, EL8 para servidores nuevos.
En PHP, la 1.26 completa PHP 8.4 y 8.5 en los tres selectores (PHP Selector, PHP-FPM Selector y PHP Switcher). Según el correo de CWP, la versión por defecto es la 8.3.36, junto a la 8.4.27 y la 8.5.12, aunque esas cifras concretas no aparecen en el registro de cambios. La 1.28 añade dos cambios prácticos: PHP se instala desde paquetes ya compilados de CWP en lugar de compilarse en el servidor, lo que reduce la operación de minutos a segundos, y las versiones fuera de soporte que CWP compila con su propio parche de seguridad aparecen marcadas como «CWP security patch».
Ese último punto merece contexto. CWP dice que aplica a las versiones antiguas correcciones contra vulnerabilidades conocidas, algo útil para webs heredadas que no pueden migrar de inmediato. Pero no equivale a una versión con soporte oficial: el proyecto PHP dejó de publicar parches de seguridad para PHP 8.1 a finales de 2025, y el mantenimiento de esas ramas depende ya solo de CWP. Lo razonable sigue siendo usar esos parches como puente mientras se actualiza el código a PHP 8.2 o posterior.
La seguridad, el gran bloque de cambios
La 1.30.1, presentada como actualización de seguridad y estabilidad de la versión de soporte prolongado (LTS), revisa la validación de datos y el escapado de salida en decenas de módulos de los paneles de administración, revendedor y usuario. La API v1, que escucha en el puerto 2304, exige ya una clave en todas las llamadas, limita las claves de revendedor a sus propias cuentas y deja de registrar contraseñas. Los enlaces de acceso al panel de usuario llevan ahora un código de un solo uso que caduca, y las actualizaciones del panel solo se descargan por https verificado.
Hay un cambio que conviene revisar antes de actualizar: el servidor de correo limita las redes de confianza por defecto al propio servidor. Las aplicaciones de otras máquinas de la red privada que enviaban correo sin autenticarse tendrán que usar autenticación SMTP. Según el registro, solo afecta a servidores que conservaban la configuración antigua por defecto. La 1.30 incorpora además dos canales de actualización, LTS (por defecto) y Edge (novedades primero), y reconstruye CWP Secure Kernel, el núcleo endurecido de CWP, con comprobaciones de salud, modo seguro y vuelta atrás automática. El correo añade que ese núcleo se incluye ya con cualquier servicio de soporte activo, instalado por su equipo bajo petición.
El contexto explica la insistencia. CWP ha sufrido dos vulnerabilidades críticas que la agencia estadounidense CISA incluyó en su catálogo de fallos explotados: CVE-2022-44877, una ejecución remota de comandos en el inicio de sesión corregida en la 0.9.8.1147, y CVE-2025-48703, una inyección de comandos sin autenticación en el gestor de archivos, corregida en la 0.9.8.1205 y añadida al catálogo en noviembre de 2025. El correo afirma que todas las incidencias que le han comunicado están corregidas en la versión LTS actual, y recomienda limitar el puerto 2304 a las IP que usan la API o cerrarlo si no se usa. Para actualizar basta con ejecutar sh /scripts/update_cwp o esperar a la actualización automática nocturna.
Lo que no cuadra y lo que está por llegar
El correo y la web no coinciden en algunos puntos. El correo habla de la LTS 1.30.2, pero la última entrada del registro de cambios es la 1.30.1, y la misma página indica como versión actual de CWP7 la 1.30.4. El correo sitúa los parches de PHP antiguo entre la 5.6 y la 8.1, mientras que el registro los extiende de la 5.4.45 a la 8.1.34. Y la versión 1.30.6 de nginx que menciona corresponde al servidor web interno del panel (cwpsrv), no al nginx que sirve las webs. Apache se actualiza a la 2.4.69 y Roundcube a la 1.6.20.
Entre lo anunciado como próximo figuran un sistema de correo renovado con filtrado de spam rspamd y Spamhaus DQS, que según el correo ya está en el canal Edge aunque el registro no lo recoge, y una interfaz y API de nueva generación. Son planes sin fecha. Por su parte, CWP Billing es un producto comercial de facturación y soporte que gestiona servidores CWP y se presenta como sustituto de WHMCS, con importación desde sus versiones 7 y 8, nueve idiomas y un precio de 7,49 dólares al mes o 75 al año por dominio. El correo menciona 15 días de prueba gratuita, aunque la página del producto solo ofrece una demo.
Para quien compara opciones, este medio ha seguido también la evolución de otros paneles, como Plesk Obsidian y su soporte para AlmaLinux 10, y las novedades de PHP 8.5. Este artículo tiene versión en inglés en SystemAdministration.net.
Preguntas frecuentes
¿CWP funciona en AlmaLinux 10 y Rocky Linux 10?
Sí, desde la versión 1.29, del 31 de octubre de 2026, que añade soporte para EL10. CWP sigue recomendando EL9 o EL8 para servidores nuevos.
¿Qué versiones de PHP admite CWP?
Hasta PHP 8.5, y versiones antiguas desde la 5.4 a la 8.1 compiladas con parches de seguridad propios de CWP, que no sustituyen al soporte oficial del proyecto PHP.
¿Cómo se actualiza CWP?
Con el comando sh /scripts/update_cwp o mediante la actualización automática nocturna. Desde la 1.30 se puede elegir entre los canales LTS y Edge.
¿Hay que cerrar el puerto 2304 de CWP?
CWP recomienda limitarlo a las IP que usan la API o cerrarlo si no se usa. Desde la 1.30.1, todas las llamadas a esa API exigen clave.
Fuentes:
- CWP, registro de cambios
- CWP Billing
- CWP, correo de novedades a sus usuarios (noviembre de 2026)
- BleepingComputer: CVE-2025-48703
- Security Affairs: CVE-2022-44877
