セキュリティ保護スイート「cPGuard」を開発するOpsShield社は、アップデート配信インフラストラクチャを標的としたセキュリティ侵害を受けました。これにより、攻撃者はマルウェアを拡散し、数千台のサーバーから機密データを窃取することが可能となりました。この侵害は2026年11月2日に発生し、同社がこれを検知して不正な配信を停止するまでの12時間継続しました。
侵害の詳細と標的となったデータ
攻撃者は漏洩した認証情報を悪用してOpsShield社のアップデート配信インフラ（CDN）にアクセスし、バージョン5.88.12から5.88.19までのcPGuardのアップデート内に悪意のあるスクリプトを注入しました。サーバー管理者が侵害期間中にシステムのアップデートを行った際、以下の機密情報の収集を目的としたスクリプトが実行されました。
- 暗号化されたLinuxのパスワード
- MariaDB/MySQLのルートデータベース設定
- ルートシェル（Root shell）のコマンド履歴
- SSHキーおよび既知のホストファイル（known-hosts）
同社は、攻撃者が約2,946台のサーバーのデータに加え、同社の課金システムデータベースのコピーにアクセスしたことを確認しました。
ユーザーにとっての意味とは
この侵害は、攻撃者に影響を受けたサーバーへの完全なアクセス権を与える窃取データの性質上、非常に深刻なものです。cPGuardはホスティング企業やサーバー管理者によってcPanel、DirectAdmin、Pleskなどのプラットフォームを保護するために広く使用されているため、影響の範囲は広範なデジタルインフラストラクチャに及びます。
必要な措置
OpsShield社は、サーバーの安全性を確保するために、すべての顧客に対して直ちに以下の手順を実行することを推奨しています。
- cPGuardをバージョン5.88.25以降にアップデートする。このアップデートにより、マルウェアや埋め込まれたファイルが削除されます。
- すべてのサーバーのパスワードをリセットする。
- データベースの認証情報とクラウドシークレット（Cloud Secrets）を変更する。
- 新しいSSHキーを生成し、漏洩した可能性のある古いキーを無効化する。
同社はまた、追加の予防措置として、攻撃者によって使用された可能性のある技術サポート用のアクセスキーを削除するための追加アップデートをリリースする予定です。