cPGuard 安全防护套件的开发商 OpsShield 遭遇了一场安全入侵，目标是其更新分发基础设施，这使得攻击者能够部署恶意软件并从数千台服务器中窃取敏感数据。此次入侵发生于 2026 年 11 月 2 日，在公司发现并停止未经授权的分发之前，入侵持续了 12 小时。
入侵详情与目标数据
攻击者利用被盗的凭据访问了 OpsShield 的更新分发基础设施 (CDN)，并在 cPGuard 版本 5.88.12 至 5.88.19 的更新中注入了恶意脚本。当服务器管理员在入侵期间更新系统时，该脚本会被执行，旨在收集包括以下内容在内的敏感信息：
- Linux 加密密码。
- MariaDB/MySQL 根数据库设置。
- Root shell 命令历史记录。
- SSH 密钥和已知主机文件 (known-hosts)。
公司确认，攻击者已成功访问了约 2946 台服务器的数据，此外还获取了公司计费系统数据库的副本。
这对用户意味着什么？
由于被盗数据的性质可以赋予攻击者对受影响服务器的完全访问权限，此次入侵非常严重。由于 cPGuard 被托管公司和服务器管理员广泛用于保护 cPanel、DirectAdmin 和 Plesk 等平台，其影响范围延伸到了广泛的数字基础设施。
所需采取的措施
OpsShield 建议所有客户立即采取以下步骤以确保其服务器的安全：
- 将 cPGuard 更新至 5.88.25 或更高版本，此更新将移除植入的恶意软件和文件。
- 重置所有服务器密码。
- 更改数据库凭据和云访问密钥 (Cloud Secrets)。
- 生成新的 SSH 密钥，并作废可能已泄露的旧密钥。
作为额外的预防措施，公司还计划发布一次额外更新，以移除可能已被攻击者使用的技术支持访问密钥。