Un atacante manipuló el sistema de actualizaciones de cPGuard y puso en riesgo casi 3.000 servidores.
La infraestructura de actualización de cPGuard fue comprometida para propagar una puerta trasera y sustraer información. Esta herramienta protege servidores web con Linux mediante análisis de código malicioso, cortafuegos y otras defensas. Su canal de distribución goza, por tanto, de la confianza de empresas de alojamiento y administradores de sistemas.
La operación arrancó el 2 de noviembre de 2026. Un intruso accedió a la red de OpsShield con credenciales legítimas que habían sido robadas, aunque se ignora cómo las consiguió. Las versiones manipuladas, desde la 5.88.12 hasta la 5.88.19, circularon durante menos de doce horas antes de que el proveedor frenara su difusión.
El código recopilaba hashes de contraseñas de Linux, configuraciones de MariaDB y MySQL, el historial del superusuario y archivos de SSH. Para extraerlos, aprovechaba una cuenta comprometida y el propio servidor de licencias de OpsShield. El uso de recursos auténticos daba una apariencia legítima al tráfico y permitía al atacante recuperar después la información.
La investigación identificó 2.946 servidores afectados y 32 archivos recuperados por cliente. También se copió la base de datos de facturación de OpsShield. No todos los equipos tuvieron que ejecutar el archivo malicioso, ya que las consultas de actualización se realizaban a intervalos.
OpsShield insta a instalar la versión 5.88.25 o una posterior, que retira la puerta trasera y los archivos asociados. Sin embargo, limpiar el sistema no revoca las credenciales que ya hayan quedado expuestas. Es imprescindible restablecer las contraseñas y renovar cuanto antes las claves SSH y los accesos a bases de datos y servicios en la nube.
Basado en: Bill Toulas, BleepingComputer