cPGuard güvenlik paketinin geliştiricisi OpsShield şirketi, güncelleme dağıtım altyapısını hedef alan ve saldırganların zararlı yazılım yaymasına ve binlerce sunucudan hassas veri çaldırmasına olanak tanıyan bir güvenlik ihlaline maruz kaldı. İhlal 2 Kasım 2026 tarihinde gerçekleşti ve şirketin bunu fark edip yetkisiz dağıtımı durdurmasından önce 12 saat boyunca devam etti.
İhlalin Detayları ve Hedeflenen Veriler
Saldırganlar, OpsShield'ın güncelleme dağıtım altyapısına (CDN) erişmek için ele geçirilmiş kimlik bilgilerini kullandılar ve cPGuard'ın 5.88.12 ile 5.88.19 arasındaki sürümlerinin güncellemelerine kötü amaçlı bir betik enjekte ettiler. Sunucu yöneticileri ihlal döneminde sistemi güncellediğinde, aşağıdakiler dahil olmak üzere hassas bilgileri toplamayı amaçlayan betik çalıştırıldı:
- Şifrelenmiş Linux parolaları.
- MariaDB/MySQL kök veritabanı ayarları.
- Root shell komut geçmişi.
- SSH anahtarları ve bilinen kimlik doğrulama dosyaları (known-hosts).
Şirket, saldırganların yaklaşık 2.946 sunucunun verilerine ve ayrıca şirketin faturalandırma sistemi veritabanı kopyalarına erişmeyi başardığını doğruladı.
Bu, Kullanıcılar İçin Ne Anlama Geliyor?
Bu ihlal, saldırganlara etkilenen sunuculara tam erişim sağlayan çalınan verilerin doğası gereği tehlikelidir. cPGuard, cPanel, DirectAdmin ve Plesk gibi platformları korumak için barındırma şirketleri ve sunucu yöneticileri tarafından yaygın olarak kullanıldığından, etki alanı geniş bir dijital altyapıyı kapsamaktadır.
Gerekli Eylemler
OpsShield, tüm müşterilere sunucularının güvenliğini sağlamak için derhal aşağıdaki adımları atmalarını tavsiye etmektedir:
- cPGuard'ı zararlı yazılımları ve ekilen dosyaları kaldıran 5.88.25 veya daha yeni bir sürüme güncellemek.
- Tüm sunucu parolalarını sıfırlamak.
- Veritabanı kimlik bilgilerini ve bulut erişim belirteçlerini (Cloud Secrets) değiştirmek.
- Yeni SSH anahtarları oluşturmak ve sızdırılmış olabilecek eski anahtarları iptal etmek.
Şirket ayrıca, ek bir ihtiyati tedbir olarak saldırganlar tarafından kullanılmış olabilecek teknik destek erişim anahtarlarını kaldırmak için ek bir güncelleme yayınlamayı planlıyor.