黑客劫持 cPGuard 自动更新以部署后门并窃取数据

攻击者攻陷了 cPGuard Web 安全套件的更新基础设施，以分发一个后门和一个数据窃取脚本。

cPGuard 的开发商 OpsShield 今天早些时候发布警报称，攻击始于 11 月 2 日 UTC 时间 02:06，影响了 5.88.12 至 5.88.19 版本。

该厂商表示，它在攻击者推送被入侵的 cPGuard 版本后 12 小时内检测到入侵并停止了恶意分发。

尽管公司无法确认，但它表示由于更新检查在特定间隔进行，部分服务器可能未收到并运行该恶意脚本。

攻击者利用合法凭据获得初始访问权限，尽管这些凭据如何获得仍不清楚。

"2026 年 11 月 2 日 UTC 时间 02:06，一名身份不明的攻击者使用被攻陷的凭据未经授权访问了 OpsShield 的更新分发基础设施（CDN），" OpsShield 表示。

"攻击者利用该访问权限通过 cPGuard 更新通道分发了一个恶意脚本。"

cPGuard 是一个 Linux Web 服务器安全套件，提供恶意软件扫描、防火墙和攻击防护。

它通常被托管公司和服务器管理员与 cPanel、DirectAdmin 和 Plesk 等面板一起使用。Namecheap 在 VPS 和独立服务器上提供它。

在入侵窗口期间更新 cPGuard 的用户收到了一个针对其机器上敏感数据的脚本：

• Linux 密码哈希
• Root 数据库（MariaDB/MySQL）配置
• Root shell 历史记录
• Root SSH 授权和 known-hosts 文件

被盗数据通过一个被攻陷的账户上传到 OpsShield 的许可服务器，攻击者随后利用该账户取回数据。

尽管 OpsShield 尚未确定从每台服务器收集了哪些数据，但公司调查中的证据显示，威胁行为者从每个客户处取回了 32 个文件。

建议系统管理员将每台 cPGuard 服务器更新到 5.88.25 或更高版本，重置密码，并轮换数据库凭据、云密钥和 SSH 密钥。

OpsShield 指出，更新到最新的 cPGuard 版本会移除后门和暂存文件；然而，被盗凭据必须尽快作废。

该厂商还表示，作为额外预防措施，它将发布一个更新，以移除此前安装的 OpsShield 支持访问密钥。

BleepingComputer 联系了 OpsShield 以了解有关此次攻击的更多信息，一位发言人告诉我们，该事件已影响近三千台服务器。

"我们检测到有 2946 台服务器受到影响并复制了上述信息，我们的计费系统数据库也被复制。我们正在努力封锁所有访问、重建受影响的系统，并准备尽早发布公开公告，" 该公司代表表示。

该公司还建议客户遵循说明，将 cPGuard 更新到 5.88.25 或更高版本，并重置或轮换可能在潜在受入侵服务器上暴露的凭据。