OPSSHIELD ha segnalato la compromissione del canale di aggiornamento di cPGuard: le versioni dalla 5.88.12 alla 5.88.19 hanno distribuito uno script dannoso sui server Linux. Lo script poteva installare una backdoor e raccogliere file sensibili. Per gli amministratori, la prima verifica utile è il log degli aggiornamenti; una voce corrispondente segnala l’installazione di un aggiornamento coinvolto, ma non dimostra che lo script sia stato eseguito o che i dati siano stati sottratti.

Come è arrivato lo script ai server

Secondo la ricostruzione di OPSSHIELD, l’attaccante ottenne l’accesso al server aziendale di fatturazione e licenze il 1° novembre 2026. Nelle prime ore del 2 novembre caricò lo script nel sistema di distribuzione degli aggiornamenti. Le installazioni sui server dei clienti furono collocate tra le 02:08 e le 03:20 UTC dello stesso giorno. I server con cPGuard rimasto offline per tutta quella finestra non ricevettero lo script, secondo la ricostruzione dell’azienda.

Come valutare una possibile esposizione

Il resoconto indica le versioni cPGuard dalla 5.88.12 alla 5.88.19 come coinvolte. Per verificare il log degli aggiornamenti, OPSSHIELD ha indicato questo comando:

grep 'Successfully updated' /opt/cpguard/logs/install_log

Una voce corrispondente a una versione coinvolta indica che quell’aggiornamento è stato installato; da sola, però, non prova che lo script sia partito o che abbia trasferito dati all’esterno. Anche un log assente o incompleto non basta a escludere l’esposizione. Dopo gli aggiornamenti, alcune tracce possono essere rimosse: non trovare più i relativi file non dimostra che lo script non sia stato eseguito.

File raccolti e tracce di persistenza

Lo script è stato descritto come capace di raccogliere /etc/shadow, /etc/passwd, i file SSH di root, /root/.my.cnf e la cronologia della shell di root. Il file /root/.s3cfg sarebbe stato raccolto su un numero limitato di server. Questi percorsi indicano quali credenziali e segreti controllare, senza implicare che ogni file fosse presente su ogni macchina.

Tra le tracce segnalate figurano la shell nascosta con privilegi setuid-root /var/tmp/.cpg91511_sh e il task pianificato /etc/cron.d/i93677, con file associati in /var/tmp/.i93677/. Sono stati inoltre indicati /var/tmp/.cpg91511 e l’archivio /var/tmp/.cpg91511/loot.tgz come percorsi legati alla raccolta dei dati.

Impatto e sequenza delle correzioni

OPSSHIELD ha stimato che lo script sia stato eseguito su circa 2.950 server. L’azienda ha inoltre riferito il furto di dati di fatturazione relativi a circa 7.900 account e la copia di tre suoi server cloud. Una stima iniziale riguardava invece 32 file collegati a 32 server dei clienti: è una misura distinta dal successivo conteggio dei server su cui sarebbe stato eseguito lo script.

La versione 5.88.25 fu indicata inizialmente come correzione. Una precisazione successiva attribuì alla versione 5.88.26 la rimozione della backdoor; un aggiornamento separato rimuove il task pianificato. La risposta richiede quindi di considerare entrambe le tracce, non soltanto la backdoor.

Interventi per i server potenzialmente coinvolti

La sequenza di risposta riportata parte dall’aggiornamento di cPGuard e dal controllo delle tracce residue. Se lo script può essere stato eseguito, occorre poi valutare la rotazione delle password locali e riutilizzate, delle credenziali di database e cloud e delle chiavi SSH. Il controllo di authorized_keys e la rimozione delle vecchie chiavi pubbliche fidate fanno parte delle verifiche indicate. Vanno considerate anche le credenziali del portale di fatturazione OPSSHIELD e i segreti conservati nella cronologia della shell.

Aggiornare il software non rende sicure credenziali che potrebbero essere già state copiate. OPSSHIELD non indicò la ricostruzione completa del sistema come misura ordinaria: la valutazione era caso per caso, con ricostruzione da un backup pulito per i server sui quali fosse stato confermato un accesso manuale dell’attaccante.