Бэкдор через обновления cPGuard затронул почти 3000 Linux-серверов

В начале ноября инфраструктура вендора OPSSHIELD была скомпрометирована. Злоумышленник проник во внутренние системы, похитил ключ публикации обновлений и скопировал базу клиентского портала, содержащую почти 7900 учётных записей. Это позволило атакующему распространить вредоносный код, замаскированный под легитимные патчи продукта cPGuard.

Атака носила автоматический характер. В период с 02:08 до 03:20 по UTC 2 ноября 2026 года заражённые версии (с 5.88.12 по 5.88.19) были отправлены на серверы клиентов. Около 2950 машин успели применить поддельное обновление. Вредоносный скрипт запускался с правами root и собирал файлы /etc/shadow и /etc/passwd, конфигурации MariaDB/MySQL, историю команд администратора и SSH-ключи. Все похищенные данные направлялись на легитимный сервер лицензирования OPSSHIELD, что могло затруднить обнаружение аномалий.

Чем угроза cPGuard отличается от рядового взлома

Атака на цепочку поставок, подобная этой, особенно опасна для российской инфраструктуры. cPGuard работает в связке с популярными панелями управления хостингом cPanel, DirectAdmin и Plesk. В российской практике такие панели массово используют хостинг-провайдеры и администраторы веб-серверов. Компрометация компонента, изначально призванного защищать от угроз, мгновенно превращает его в легитимный канал доставки бэкдора. Кража ключа публикации ставит под вопрос доверие к автоматическим обновлениям без дополнительной верификации на стороне клиента, а сбор SSH-ключей и истории команд грозит горизонтальным перемещением атакующих в смежные системы.

Действия для восстановления после инцидента cPGuard

OPSSHIELD уже выпустила очищенную версию 5.88.25, обновление до которой или более новых сборок является критичным. Администраторам серверов необходимо проверить историю установок пакетов за указанные даты. Ключевая мера — немедленная замена всех паролей, закрытых ключей SSH и облачных токенов, которые могли быть скомпрометированы. OPSSHIELD не советует переустанавливать системы массово, но при обнаружении дополнительных следов компрометации допускает такой вариант.