Das Unternehmen OpsShield, Entwickler der Sicherheits-Suite cPGuard, wurde Opfer eines Sicherheitsvorfalls, der auf die Infrastruktur zur Verteilung von Updates abzielte. Dies ermöglichte es Angreifern, Schadsoftware zu verbreiten und sensible Daten von tausenden Servern zu stehlen. Der Angriff ereignete sich am 2. November 2026 und dauerte 12 Stunden an, bevor das Unternehmen ihn entdeckte und die unbefugte Verteilung stoppen konnte.
Details zum Angriff und den betroffenen Daten
Die Angreifer nutzten kompromittierte Zugangsdaten, um Zugriff auf die Update-Infrastruktur (CDN) von OpsShield zu erhalten. Sie injizierten ein bösartiges Skript in die cPGuard-Updates der Versionen 5.88.12 bis 5.88.19. Als Serveradministratoren das System während des Zeitraums des Angriffs aktualisierten, wurde das Skript ausgeführt, das darauf abzielte, sensible Informationen zu sammeln, darunter:
- Verschlüsselte Linux-Passwörter.
- Root-Konfigurationen von MariaDB/MySQL-Datenbanken.
- Root-Shell-Befehlsprotokolle.
- SSH-Schlüssel und bekannte Authentifizierungsdateien (known-hosts).
Das Unternehmen bestätigte, dass die Angreifer Zugriff auf Daten von etwa 2946 Servern sowie auf Kopien der Datenbank des unternehmenseigenen Abrechnungssystems erlangten.
Was bedeutet das für die Nutzer?
Dieser Angriff ist aufgrund der Art der gestohlenen Daten, die den Angreifern vollen Zugriff auf die betroffenen Server gewähren, als schwerwiegend einzustufen. Da cPGuard von Hosting-Unternehmen und Serveradministratoren weit verbreitet zum Schutz von Plattformen wie cPanel, DirectAdmin und Plesk eingesetzt wird, erstreckt sich das Ausmaß der Auswirkungen auf eine breite digitale Infrastruktur.
Erforderliche Maßnahmen
OpsShield empfiehlt allen Kunden, sofort die folgenden Schritte zu unternehmen, um die Sicherheit ihrer Server zu gewährleisten:
- Aktualisierung von cPGuard auf Version 5.88.25 oder neuer, da dieses Update die Schadsoftware und die eingeschleusten Dateien entfernt.
- Zurücksetzen aller Server-Passwörter.
- Änderung der Datenbank-Zugangsdaten und Cloud-Zugangsschlüssel (Cloud Secrets).
- Generierung neuer SSH-Schlüssel und Widerruf der alten Schlüssel, die möglicherweise kompromittiert wurden.
Das Unternehmen plant zudem als zusätzliche Vorsichtsmaßnahme die Veröffentlichung eines weiteren Updates, um technische Support-Zugangsschlüssel zu entfernen, die möglicherweise von den Angreifern verwendet wurden.