A OpsShield, desenvolvedora do conjunto de proteção de segurança cPGuard, sofreu uma invasão de segurança que teve como alvo sua infraestrutura de distribuição de atualizações, permitindo que os invasores implantassem software malicioso e roubassem dados sensíveis de milhares de servidores. A invasão ocorreu em 2 de novembro de 2026 e durou 12 horas antes que a empresa pudesse detectá-la e interromper a distribuição não autorizada.
Detalhes da invasão e dados visados
Os invasores exploraram credenciais comprometidas para acessar a infraestrutura de distribuição de atualizações (CDN) da OpsShield e injetaram um script malicioso nas atualizações do cPGuard para as versões 5.88.12 a 5.88.19. Quando os administradores de servidores atualizaram o sistema durante o período da invasão, o script foi executado, visando a coleta de informações sensíveis, incluindo:
- Senhas do Linux criptografadas.
- Configurações de bancos de dados MariaDB/MySQL root.
- Histórico de comandos do shell root.
- Chaves SSH e arquivos de autenticação conhecidos (known-hosts).
A empresa confirmou que os invasores conseguiram acessar os dados de aproximadamente 2.946 servidores, além de cópias do banco de dados do sistema de faturamento da empresa.
O que isso significa para os usuários?
Esta invasão é grave devido à natureza dos dados roubados, que concedem aos invasores acesso total aos servidores afetados. Como o cPGuard é amplamente utilizado por empresas de hospedagem e administradores de servidores para proteger plataformas como cPanel, DirectAdmin e Plesk, o escopo do impacto se estende a uma ampla infraestrutura digital.
Ações necessárias
A OpsShield recomenda que todos os clientes tomem as seguintes medidas imediatamente para garantir a segurança de seus servidores:
- Atualizar o cPGuard para a versão 5.88.25 ou mais recente, pois esta atualização remove o software malicioso e os arquivos que foram implantados.
- Redefinir todas as senhas do servidor.
- Alterar as credenciais dos bancos de dados e os tokens de acesso em nuvem (Cloud Secrets).
- Gerar novas chaves SSH e revogar as chaves antigas que possam ter sido vazadas.
A empresa também planeja lançar uma atualização adicional para remover as chaves de acesso de suporte técnico que possam ter sido usadas pelos invasores como medida de precaução extra.