Почти 3000 Linux-серверов получили бэкдор через обновления защитной программы cPGuard. Злоумышленник взломал инфраструктуру разработчика OPSSHIELD и превратил штатный механизм обновлений в инструмент кражи паролей, SSH-ключей и других конфиденциальных сведений.
Атака произошла 2 ноября 2026 года. Неизвестный преступник проник в инфраструктуру OPSSHIELD и подменил обновления cPGuard, комплекса для защиты веб-серверов от вредоносных программ и сетевых атак. Продукт используют администраторы Linux-серверов и хостинг-провайдеры, в том числе вместе с панелями управления cPanel, DirectAdmin и Plesk.
Вредоносный код распространялся через официальный канал обновлений в версиях 5.88.12–5.88.19. По уточнённым сведениям разработчика, заражённые обновления устанавливались с 02:08 до 03:20 UTC. Поскольку cPGuard запускает проверки периодически, не каждый сервер успел получить опасную версию. Однако машины, выполнившие подменённый сценарий, оказались под угрозой.
Вредоносный скрипт запускался с правами root и собирал системные файлы /etc/shadow и /etc/passwd, конфигурацию MariaDB/MySQL, историю команд администратора и файлы SSH. Полученные сведения отправлялись на собственный сервер лицензирования OPSSHIELD через скомпрометированную учётную запись, откуда преступник мог позднее забрать добычу.
Особенно опасна утечка содержимого /etc/shadow, где Linux хранит хеши паролей локальных пользователей. Хеши нельзя просто ввести вместо пароля, однако злоумышленник способен подбирать к ним комбинации без обращения к серверу. Конфигурационные файлы баз данных и история команд, в свою очередь, могут содержать действующие пароли и ключи доступа.
В ходе расследования OPSSHIELD выяснила, что атакующий сначала зарегистрировал пробную учётную запись, затем проник на сервер биллинга и лицензирования через специально сформированные запросы. Получив возможность выполнять команды, преступник похитил ключ публикации обновлений. Такой сценарий относится к атакам на цепочку поставок, когда доверенный канал доставки программ превращается в средство заражения.
Компания оценила число серверов, запустивших поддельное обновление, примерно в 2950. Кроме того, злоумышленник скопировал базу клиентского портала, содержавшую сведения приблизительно о 7900 учётных записях. Среди похищенной информации оказались имена, адреса электронной почты и хеши паролей. Точный объём данных, которые преступник успел получить с каждого сервера, ещё уточняется.
Разработчик раскрыл хронологию взлома и выпустил исправленные версии cPGuard. Администраторам необходимо обновить программу до 5.88.25 или новее, проверить историю установок и заменить потенциально раскрытые пароли, SSH-ключи и облачные токены. Простое удаление бэкдора не делает украденные секреты недействительными.
OPSSHIELD пока не рекомендует массово переустанавливать операционные системы, но допускает такую меру при дополнительных признаках взлома. Похожая подмена обновления ранее затронула плагин WordPress Smart Slider 3 Pro. В обоих случаях привычный механизм доставки исправлений стал каналом распространения вредоносного кода.