La société OpsShield, développeur de la suite de sécurité cPGuard, a subi une faille de sécurité ciblant son infrastructure de distribution de mises à jour, permettant aux attaquants de déployer des logiciels malveillants et de voler des données sensibles à partir de milliers de serveurs. L'intrusion s'est produite le 2 novembre 2026 et a duré 12 heures avant que l'entreprise ne parvienne à la détecter et à arrêter la distribution non autorisée.
Détails de l'intrusion et données ciblées
Les attaquants ont exploité des identifiants compromis pour accéder à l'infrastructure de distribution des mises à jour (CDN) d'OpsShield et ont injecté un script malveillant dans les mises à jour de cPGuard pour les versions 5.88.12 à 5.88.19. Lorsque les administrateurs de serveurs ont mis à jour le système pendant la période de l'intrusion, le script a été exécuté, visant à collecter des informations sensibles comprenant :
- Les mots de passe Linux hachés.
- Les configurations des bases de données racine MariaDB/MySQL.
- L'historique des commandes du shell Root.
- Les clés SSH et les fichiers d'authentification connus (known-hosts).
L'entreprise a confirmé que les attaquants ont eu accès aux données de près de 2 946 serveurs, ainsi qu'aux copies de la base de données du système de facturation de l'entreprise.
Qu'est-ce que cela signifie pour les utilisateurs ?
Cette intrusion est grave en raison de la nature des données volées, qui accordent aux attaquants un accès complet aux serveurs concernés. Étant donné que cPGuard est largement utilisé par les sociétés d'hébergement et les administrateurs de serveurs pour protéger des plateformes telles que cPanel, DirectAdmin et Plesk, l'impact s'étend à une vaste infrastructure numérique.
Actions requises
OpsShield recommande à tous les clients de prendre immédiatement les mesures suivantes pour garantir la sécurité de leurs serveurs :
- Mettre à jour cPGuard vers la version 5.88.25 ou ultérieure, car cette mise à jour supprime les logiciels malveillants et les fichiers implantés.
- Réinitialiser tous les mots de passe du serveur.
- Modifier les identifiants des bases de données et les jetons d'accès au cloud (Cloud Secrets).
- Générer de nouvelles clés SSH et révoquer les anciennes clés qui auraient pu être compromises.
L'entreprise prévoit également de publier une mise à jour supplémentaire pour supprimer les clés d'accès du support technique qui auraient pu être utilisées par les attaquants, à titre de mesure de précaution supplémentaire.