Зловмисники скомпрометували оновлення cPGuard і викрали дані з серверів

Інфраструктуру оновлень пакета безпеки для вебсерверів cPGuard скомпрометували для поширення бекдора та скрипту для викрадення даних. Розробник продукту OpsShield повідомив, що атака почалася 2 листопада 2026 року о 02:06 UTC і зачепила версії cPGuard від 5.88.12 до 5.88.19.

Як BBC News, компанія виявила компрометацію та зупинила поширення шкідливих оновлень протягом 12 годин після їх розміщення. За даними OpsShield, для початкового доступу використали скомпрометовані облікові дані, однак спосіб їх отримання наразі не встановлено.

Які дані збирала шкідлива програма

cPGuard використовується для захисту Linux-вебсерверів і пропонує сканування на шкідливе програмне забезпечення, міжмережевий екран та захист від атак. Його застосовують хостинг-компанії та адміністратори серверів разом із панелями cPanel, DirectAdmin і Plesk.

Скрипт, який отримували користувачі під час вікна компрометації, був націлений на конфіденційні дані: хеші паролів Linux, конфігурації кореневого доступу до баз даних MariaDB або MySQL, історію команд root, а також файли авторизації й відомих хостів SSH. Викрадену інформацію завантажували на ліцензійний сервер OpsShield через скомпрометований обліковий запис, яким потім скористалися для її отримання.

Рекомендації для адміністраторів

OpsShield не встановила, які саме дані були зібрані з кожного сервера, але результати розслідування вказують, що з кожного клієнта зловмисник отримав 32 файли. Представник компанії повідомив, що інцидент зачепив 2946 серверів, а також було скопійовано базу даних білінгової системи.

Адміністраторам рекомендували оновити всі сервери з cPGuard до версії 5.88.25 або новішої, скинути паролі та замінити облікові дані баз даних, хмарні секрети й SSH-ключі. Оновлення видаляє бекдор і завантажені файли, але скомпрометовані облікові дані необхідно якнайшвидше анулювати. Компанія також планує випустити оновлення для видалення раніше встановлених ключів доступу технічної підтримки OpsShield.