OPSSHIELD meldde dat het updatekanaal van cPGuard was misbruikt om een schadelijk script naar Linux-servers te verspreiden. Het bedrijf koppelde het incident aan cPGuard-versies 5.88.12 tot en met 5.88.19. Het script kon gevoelige bestanden verzamelen en een achterdeur installeren. Voor beheerders draait de eerste controle om de updategeschiedenis; daarna volgen controle van de server en vervanging van mogelijk blootgestelde inloggegevens.

Hoe het updatekanaal werd misbruikt

Volgens OPSSHIELD begon de aanval op 1 november 2026 met een klantaccount op een valse identiteit en een gratis proefversie van cPGuard. Diezelfde dag kreeg de aanvaller om 22.58 uur UTC toegang tot de facturatie- en licentieserver. Op 2 november werd het schadelijke script tussen 02.04 en 02.09 uur UTC naar het updatesysteem geüpload. De installatie op klantservers vond volgens de melding plaats tussen 02.08 en 03.20 uur UTC.

Zo controleer je of een server een getroffen update installeerde

De betrokken versies waren 5.88.12 tot en met 5.88.19. Een regel in het installatielog kan aantonen dat een getroffen update is geïnstalleerd. Controleer dat met:

grep 'Successfully updated' /opt/cpguard/logs/install_log

Een treffer registreert de installatie van de update; scriptuitvoering en eventuele gegevensdiefstal zijn afzonderlijke vragen. Ontbrekende of onvolledige logs laten blootstelling mogelijk, net als een server waarop na een update geen sporen meer zichtbaar zijn.

Welke sporen en gegevens het script kon achterlaten

OPSSHIELD meldde dat het script onder meer /etc/shadow, /etc/passwd, SSH-bestanden van root, /root/.my.cnf en de shellgeschiedenis van root verzamelde. Op een klein aantal servers werd ook /root/.s3cfg genoemd. Die bestanden kunnen wachtwoordhashes, SSH-sleutels, databasegegevens of cloudgegevens bevatten.

Het script installeerde volgens de melding een verborgen setuid-root-shell op /var/tmp/.cpg91511_sh. Setuid-root betekent dat een programma met rootrechten kan draaien. De melding noemt ook een geplande taak in /etc/cron.d/i93677, bestanden in /var/tmp/.i93677/ en een verzamelmap met archief op /var/tmp/.cpg91511/loot.tgz.

Gemelde impact en herstelupdates

OPSSHIELD schatte dat het script op ongeveer 2.950 klantservers was uitgevoerd. De latere melding noemde daarnaast buitgemaakte facturatiegegevens van ongeveer 7.900 klantaccounts en kopieën van drie cloudservers van het bedrijf. Een eerdere melding telde 32 bestanden van de licentieserver, elk gekoppeld aan een klantserver.

De eerste herstelmelding noemde cPGuard 5.88.25. Een latere toelichting schrijft het verwijderen van de achterdeur toe aan versie 5.88.26; een afzonderlijke vervolgupdate verwijdert de geplande taak. Die stappen horen dus bij verschillende updates.

Welke stappen beheerders moeten nemen

De gemelde responsvolgorde is: werk cPGuard bij, controleer de server op resterende sporen en verwijder die, en vervang daarna inloggegevens die mogelijk zijn buitgemaakt. Denk aan lokale en hergebruikte wachtwoorden, databasegegevens, cloudsleutels zoals S3- en DigitalOcean-gegevens, SSH-sleutels en inloggegevens voor het OPSSHIELD-facturatieportaal. Controleer ook authorized_keys en verwijder oude vertrouwde openbare sleutels.

Een software-update maakt mogelijk gekopieerde geheimen niet ongeldig. OPSSHIELD adviseerde een beoordeling per geval; bij bevestigde handmatige toegang door de aanvaller adviseerde het bedrijf herstel vanaf een schone back-up.