Компания OpsShield, разработчик комплекса безопасности cPGuard, подверглась кибератаке, целью которой стала ее инфраструктура распространения обновлений. Это позволило злоумышленникам внедрить вредоносное ПО и похитить конфиденциальные данные с тысяч серверов. Инцидент произошел 2 ноября 2026 года и длился 12 часов, прежде чем компания смогла его обнаружить и остановить несанкционированное распространение.
Детали взлома и целевые данные
Злоумышленники использовали скомпрометированные учетные данные для доступа к инфраструктуре распространения обновлений (CDN) компании OpsShield и внедрили вредоносный скрипт в обновления cPGuard версий с 5.88.12 по 5.88.19. Когда администраторы серверов выполняли обновление системы во время инцидента, скрипт запускался и собирал конфиденциальную информацию, включая:
- Захешированные пароли Linux.
- Корневые настройки баз данных MariaDB/MySQL.
- Журнал команд корневой оболочки (Root shell).
- Ключи SSH и файлы известных узлов (known-hosts).
Компания подтвердила, что злоумышленники получили доступ к данным примерно 2946 серверов, а также к копиям базы данных биллинговой системы компании.
Что это означает для пользователей?
Этот взлом представляет серьезную угрозу из-за характера похищенных данных, которые предоставляют злоумышленникам полный доступ к затронутым серверам. Поскольку cPGuard широко используется хостинг-провайдерами и системными администраторами для защиты таких платформ, как cPanel, DirectAdmin и Plesk, масштабы воздействия охватывают широкую цифровую инфраструктуру.
Необходимые меры
OpsShield рекомендует всем клиентам немедленно предпринять следующие шаги для обеспечения безопасности своих серверов:
- Обновить cPGuard до версии 5.88.25 или новее, так как это обновление удаляет вредоносное ПО и внедренные файлы.
- Сбросить все пароли серверов.
- Изменить учетные данные баз данных и секретные ключи облачных сервисов (Cloud Secrets).
- Сгенерировать новые ключи SSH и отозвать старые, которые могли бытькомпрометированы.
Компания также планирует выпустить дополнительное обновление для удаления ключей доступа технической поддержки, которые могли быть использованы злоумышленниками в качестве дополнительной меры предосторожности.