Comprometen las actualizaciones de cPGuard para distribuir un backdoor y robar datos

El 2 de noviembre de 2026 a las 02:06 UTC, un atacante obtuvo acceso no autorizado a la infraestructura de distribución de actualizaciones de OpsShield, desarrolladora de cPGuard, mediante credenciales legítimas comprometidas. La intrusión permitió distribuir un script malicioso a través del canal de actualización de la suite de seguridad para servidores web Linux.

El ataque afectó a las versiones 5.88.12 a 5.88.19 y fue detectado y detenido en un plazo de 12 horas desde la distribución de las versiones manipuladas. El código buscaba hashes de contraseñas de Linux, la configuración de la base de datos root de MariaDB/MySQL, el historial del shell root y los archivos de autorización SSH y known-hosts.

Los datos extraídos se enviaron al servidor de licencias de OpsShield mediante una cuenta comprometida, que después fue utilizada por los atacantes para recuperarlos. La empresa no ha determinado qué información se obtuvo de cada servidor, aunque su investigación indica que el actor recuperó 32 archivos por cliente. Además, el sistema de base de datos de facturación de OpsShield fue copiado.

La compañía informó de que 2.946 servidores resultaron afectados. Recomienda actualizar cPGuard a la versión 5.88.25 o posterior, restablecer las contraseñas y rotar las credenciales de bases de datos, secretos en la nube y claves SSH potencialmente expuestos. La actualización elimina el backdoor y los archivos preparados, pero no invalida las credenciales ya robadas. OpsShield también prepara una actualización para retirar las claves de acceso de soporte instaladas previamente.

Fuente: BleepingComputer.