Un atacante manipuló el sistema de actualizaciones de cPGuard y puso en riesgo casi 3.000 servidores.
Un atacante tomó el control del sistema de actualizaciones de cPGuard, una herramienta que protege servidores web con Linux. El programa busca software malicioso y ayuda a frenar ataques. Lo usan empresas de alojamiento web y administradores de servidores.
El incidente comenzó el 2 de noviembre de 2026. El intruso accedió a la red de distribución de OpsShield con credenciales auténticas que habían sido robadas. Aún no se sabe cómo las consiguió. Desde allí, incluyó un archivo malicioso en las versiones 5.88.12 a 5.88.19. La empresa detectó la actividad y detuvo el envío antes de que pasaran doce horas.
La falsa actualización instalaba una puerta trasera y buscaba información sensible. Recogía datos de contraseñas de Linux, configuraciones de bases de datos, órdenes anteriores del administrador y archivos de acceso por SSH. Luego enviaba todo a un servidor de licencias de OpsShield mediante una cuenta comprometida. El atacante podía descargarlo desde allí sin usar un servidor desconocido.
OpsShield confirmó que había 2.946 servidores afectados y que se habían recuperado 32 archivos por cliente. Los delincuentes también copiaron la base de datos de facturación de la compañía. Es posible que algunos equipos no ejecutaran el archivo, ya que solo comprobaban las actualizaciones en determinados momentos.
La empresa recomienda instalar cPGuard 5.88.25 o una versión posterior. Esta medida elimina la puerta trasera y los archivos relacionados, pero no resuelve el robo de credenciales. Los responsables deben cambiar también las contraseñas, las claves SSH y los accesos a bases de datos y servicios en la nube.
Basado en: Bill Toulas, BleepingComputer