Kompromitácia aktualizačného kanála cPGuard zasiahla približne 2 950 serverov
OPSSHIELD potvrdil supply-chain útok na aktualizačný kanál cPGuard. Škodlivá aktualizácia bežala s právami root, zbierala citlivé údaje a zanechávala zadné vrátka.
Kompromitácia cPGuard zasiahla podľa výrobcu OPSSHIELD približne 2 950 zákazníckych linuxových serverov. Útočník získal prístup k časti infraštruktúry spoločnosti a cez dôveryhodný aktualizačný kanál distribuoval škodlivý kód, ktorý sa spúšťal s právami root.
Škodlivá aktualizácia sa podľa OPSSHIELD doručovala 2. novembra 2026 medzi 02:08 a 03:20 UTC. Incident sa týka verzií cPGuard 5.88.12 až 5.88.19. Výrobca vydal čistú verziu 5.88.26 a zverejnil indikátory kompromitácie.
Kompromitácia cPGuard a rozsah zásahu
Podľa upozornenia OPSSHIELD škodlivý skript zbieral lokálne hashy hesiel, root SSH materiál, konfigurácie MySQL a MariaDB aj históriu shellu. V niektorých prípadoch mohol získať aj cloudové kľúče. Falošná aktualizácia zároveň zanechávala zadné vrátka.
Spoločnosť odhaduje, že škodlivý balík spustilo približne 2 950 serverov. BleepingComputer s odvolaním sa na zástupcu OPSSHIELD nezávisle uviedol zásah takmer 3 000 serverov a skopírovanie databázy fakturačného systému.
OPSSHIELD zároveň uviedol únik záznamov približne 7 900 účtov zákazníckeho portálu. Podľa spoločnosti zahŕňali kontaktné údaje a hashované heslá.
Čo majú správcovia dotknutých serverov urobiť
Dotknuté systémy treba považovať za potenciálne kompromitované na úrovni root. Nasadenie čistej verzie 5.88.26 odstráni známe implantáty, samo však nezneplatní údaje, ktoré mohol útočník predtým získať.
- Overiť, či server nainštaloval niektorú z verzií 5.88.12 až 5.88.19.
- Preveriť systém z dôveryhodného prostredia s využitím zverejnených indikátorov kompromitácie.
- Aktualizovať cPGuard na čistú verziu 5.88.26.
- Rotovať heslá, SSH kľúče, databázové prístupy a cloudové API tajomstvá, ktoré mohli byť na serveri dostupné.
Neobjasnený zostáva presný spôsob, akým útočník získal možnosť spúšťať príkazy na billingovom a licenčnom serveri. OPSSHIELD uviedol, že nemá záznam presnej požiadavky, ktorá vstup umožnila. Nie je potvrdený ani úplný rozsah exfiltrácie z jednotlivých serverov, následné zneužitie ukradnutých údajov či identita útočníka.
Pri ďalších informáciách bude dôležité, či OPSSHIELD spresní počet postihnutých systémov, zverejní výsledky vyšetrovania vstupného bodu a doplní indikátory kompromitácie alebo odporúčania k obnove serverov.
Zdroje
- OPSSHIELD – Security Incident Disclosure: manage.opsshield.com – Potvrdzuje časovú os útoku, približne 2 950 zasiahnutých serverov, kompromitáciu zákazníckeho portálu, čistú verziu 5.88.26 a indikátory kompromitácie.
- OPSSHIELD – cPGuard security advisory: Update channel compromise – Potvrdzuje dotknuté verzie 5.88.12–5.88.19, charakter zbieraných dát, zadné vrátka a potrebu rotácie poverení.
- BleepingComputer – Hackers hijack cPGuard autoupdate to deploy backdoor, steal data – Nezávisle koroboruje kompromitáciu aktualizácií a vyjadrenie OPSSHIELD o približne 2 946 zasiahnutých serveroch.
Overené a aktualizované: 04. 11. 2026 06:25
