Het updatekanaal van cPGuard is gehackt, waardoor een backdoor werd geïnstalleerd en wachtwoordhashes van Linux-servers werden gestolen.
Op 2 november 2026 is het updatekanaal van de beveiligingstool cPGuard gehackt. De aanvaller gebruikte het systeem om een kwaadaardig script te verspreiden naar Linux-servers van klanten. Dit script installeerde een backdoor en verzamelde wachtwoordhashes en andere gevoelige bestanden van de getroffen servers, zo meldt cPGuard-maker OPSSHIELD in een advisory.
De aanvaller heeft inmiddels een deel van de gestolen data buitgemaakt. Versies van cPGuard vanaf 5.88.25 verwijderen de backdoor en de achtergelaten bestanden, maar omdat de gestolen credentials mogelijk nog werken, moeten beheerders ook wachtwoorden en sleutels vernieuwen op servers die het script mogelijk hebben uitgevoerd. De aanval werd uitgevoerd met gecompromitteerde inloggegevens om 02:06 UTC en trof cPGuard-versies van 5.88.12 tot en met 5.88.19. OPSSHIELD ontdekte de aanval binnen 12 uur na verspreiding van deze updates en heeft de infrastructuurcredentials vernieuwd om verdere verspreiding te stoppen. Het onderzoek naar de herkomst van de gecompromitteerde credentials loopt nog.
Beheerders kunnen controleren of een server een getroffen update heeft geïnstalleerd door het update-logbestand te doorzoeken met de opdracht grep 'Successfully updated' /opt/cpguard/logs/install_log. Een vermelding van een versie tussen 5.88.12 en 5.88.19 betekent dat de update is geïnstalleerd, maar dit garandeert niet dat het script ook daadwerkelijk is uitgevoerd of data is gestolen. Servers moeten echter als mogelijk gecompromitteerd worden beschouwd, ook als ze inmiddels een latere versie draaien. Bij twijfel kunnen beheerders contact opnemen met OPSSHIELD Support.
Het kwaadaardige script verzamelde onder meer de bestanden /etc/shadow en /etc/passwd, de MariaDB- of MySQL-configuratie van root (my.cnf), de shellgeschiedenis van root en SSH-autorisatie- en known-hosts-bestanden. De /etc/shadow-file bevat eenrichtings-wachtwoordhashes die offline kunnen worden gekraakt, vooral bij zwakke of eerder gelekte wachtwoorden. Andere verzamelde gegevens, zoals databaseconfiguraties en shellgeschiedenis, zijn niet versleuteld. De verzamelde data werd geüpload naar een licentieserver van OPSSHIELD via een gecompromitteerd account, dat inmiddels is beveiligd. OPSSHIELD schat dat 32 bestanden van deze server zijn buitgemaakt, elk gekoppeld aan een klantserver, maar het totale aantal getroffen servers is onbekend.
Naast het verzamelen van data en de backdoor zijn er tot nu toe geen andere kwaadaardige activiteiten vastgesteld, al is het onderzoek nog niet afgerond. OPSSHIELD adviseert beheerders dringend om alle cPGuard-servers te updaten naar versie 5.88.25 of hoger en vervolgens de wachtwoorden en sleutels te resetten op servers waar het script mogelijk is uitgevoerd. Dit omvat het wijzigen van root- en lokale Linux-wachtwoorden, databasewachtwoorden, toegangssleutels en SSH-private sleutels, evenals het verwijderen van oude publieke sleutels op vertrouwde systemen.
