Кібербезпека

Хакери підмінили автооновлення cPGuard: бекдор і крадіжка даних

Атакувальники зламали інфраструктуру оновлень cPGuard і розповсюдили шкідливий скрипт. OpsShield каже, що інцидент торкнувся майже трьох тисяч серверів.

1 хвилина читання
Хакери підмінили автооновлення cPGuard: бекдор і крадіжка даних
Фото: BleepingComputer

OpsShield повідомила про компрометацію каналу автооновлень cPGuard: 2 листопада 2026 року о 02:06 UTC зловмисник розповсюдив через CDN шкідливий скрипт, який інсталював бекдор і забирав конфіденційні дані. Зловмисну дистрибуцію зупинили менш ніж за 12 годин.

Як відбулася атака

За даними компанії, зловмисник використав легітимні облікові дані для доступу до інфраструктури розповсюдження оновлень, однак джерело цих даних невідоме. Підміна торкнулася версій cPGuard 5.88.12–5.88.19. OpsShield припускає, що частина серверів могла не отримати або не виконати скрипт через інтервали перевірки оновлень.

Кого зачепило

Представник OpsShield повідомив, що постраждали 2946 серверів; також було скопійовано базу білінгової системи компанії. Розслідування свідчить, що з кожного клієнтського сервера зловмисник забирав 32 файли. Викрадені матеріали відвантажувалися на ліцензійний сервер OpsShield через скомпрометований обліковий запис.

Які дані викрадали

  • хеші паролів Linux;
  • конфігурації root для MariaDB/MySQL;
  • історію командного рядка користувача root;
  • файли авторизації SSH і known-hosts для root.

Що робити адміністраторам

OpsShield рекомендує оновити всі інсталяції cPGuard до версії 5.88.25 або новішої. Окрім цього, слід змінити паролі та провести ротацію облікових даних баз даних, хмарних секретів і ключів SSH. За словами компанії, оновлення видаляє бекдор і проміжні файли, але потенційно викрадені облікові дані потрібно якнайшвидше відкликати.

Додатково виробник готує оновлення, яке прибере раніше інстальовані ключі доступу служби підтримки OpsShield.

Контекст

cPGuard — пакет захисту веб-серверів Linux з антивірусним сканером, фаєрволами та захистом від атак. Рішення часто використовують хостинг-провайдери й адміністратори разом із панелями cPanel, DirectAdmin і Plesk; його також пропонує Namecheap на VPS і виділених серверах.

Джерела

Читайте також