La empresa OpsShield, desarrolladora de la suite de seguridad cPGuard, sufrió una brecha de seguridad que afectó su infraestructura de distribución de actualizaciones, permitiendo a los atacantes desplegar software malicioso y robar datos sensibles de miles de servidores. El ataque ocurrió el 2 de noviembre de 2026 y duró 12 horas antes de que la empresa pudiera detectarlo y detener la distribución no autorizada.
Detalles de la brecha y datos objetivo
Los atacantes utilizaron credenciales comprometidas para acceder a la infraestructura de distribución de actualizaciones (CDN) de OpsShield, e inyectaron un script malicioso dentro de las actualizaciones de cPGuard para las versiones 5.88.12 a 5.88.19. Cuando los administradores de servidores actualizaron el sistema durante el período del ataque, se ejecutó el script que apuntaba a recopilar información sensible, incluyendo:
- Contraseñas de Linux cifradas.
- Configuraciones de bases de datos raíz de MariaDB/MySQL.
- Historial de comandos de la shell de Root.
- Claves SSH y archivos de autenticación conocidos (known-hosts).
La empresa confirmó que los atacantes lograron acceder a los datos de aproximadamente 2,946 servidores, además de copias de la base de datos del sistema de facturación de la compañía.
¿Qué significa esto para los usuarios?
Esta brecha es grave debido a la naturaleza de los datos robados, que otorgan a los atacantes acceso completo a los servidores afectados. Dado que cPGuard es ampliamente utilizado por empresas de alojamiento y administradores de servidores para proteger plataformas como cPanel, DirectAdmin y Plesk, el alcance del impacto se extiende a una amplia infraestructura digital.
Acciones requeridas
OpsShield recomienda a todos los clientes tomar las siguientes medidas de inmediato para garantizar la seguridad de sus servidores:
- Actualizar cPGuard a la versión 5.88.25 o posterior, ya que esta actualización elimina el software malicioso y los archivos que fueron sembrados.
- Restablecer todas las contraseñas de los servidores.
- Cambiar las credenciales de las bases de datos y los tokens de acceso a la nube (Cloud Secrets).
- Generar nuevas claves SSH y revocar las claves antiguas que puedan haber sido filtradas.
La empresa también planea lanzar una actualización adicional para eliminar las claves de acceso de soporte técnico que pudieron haber sido utilizadas por los atacantes como medida de precaución adicional.