보안 보호 솔루션 제품군 cPGuard의 개발사인 OpsShield가 업데이트 배포 인프라를 타겟으로 한 보안 침해 사고를 겪었으며, 이로 인해 공격자들이 악성 소프트웨어를 배포하고 수천 대의 서버에서 민감한 데이터를 탈취하는 일이 발생했습니다. 이번 해킹은 2026년 11월 2일에 발생했으며, 회사가 이를 감지하고 무단 배포를 중단할 때까지 12시간 동안 지속되었습니다.
해킹 세부 정보 및 타겟팅된 데이터
공격자들은 손상된 자격 증명을 악용하여 OpsShield의 업데이트 배포 인프라(CDN)에 접근하였으며, cPGuard 버전 5.88.12부터 5.88.19까지의 업데이트 내에 악성 스크립트를 주입했습니다. 해킹 기간 동안 서버 관리자들이 시스템을 업데이트할 때 해당 스크립트가 실행되었으며, 이는 다음과 같은 민감한 정보 수집을 목표로 했습니다.
- 암호화된 Linux 비밀번호
- MariaDB/MySQL 루트 데이터베이스 설정
- Root shell 명령어 기록
- SSH 키 및 알려진 호스트 파일(known-hosts)
회사는 공격자들이 약 2,946대의 서버 데이터뿐만 아니라 회사 빌링 시스템 데이터베이스의 복사본에도 접근했다고 확인했습니다.
사용자에게 의미하는 바
이번 침해 사고는 공격자에게 피해 서버에 대한 완전한 권한을 부여하는 탈취된 데이터의 특성상 매우 위험합니다. cPGuard는 cPanel, DirectAdmin, Plesk와 같은 플랫폼을 보호하기 위해 호스팅 회사와 서버 관리자들에 의해 광범위하게 사용되기 때문에, 영향 범위는 광범위한 디지털 인프라로 확장됩니다.
필요한 조치
OpsShield는 모든 고객에게 서버 보안을 보장하기 위해 즉시 다음 단계를 수행할 것을 권장합니다.
- cPGuard를 버전 5.88.25 이상으로 업데이트하십시오. 이 업데이트는 악성 소프트웨어와 심어진 파일을 제거합니다.
- 모든 서버 비밀번호를 재설정하십시오.
- 데이터베이스 자격 증명 및 클라우드 보안 비밀(Cloud Secrets)을 변경하십시오.
- 새로운 SSH 키를 생성하고 유출되었을 수 있는 기존 키를 무효화하십시오.
회사는 또한 추가적인 예방 조치로서 공격자들이 사용했을 수 있는 기술 지원 액세스 키를 제거하기 위한 추가 업데이트를 출시할 계획입니다.