Angrepet mot cPGuard-utvikleren OpsShield startet 2. november 2026 klokken 02.06 UTC. Angriperne brukte kompromitterte tilgangsopplysninger for å få adgang til selskapets infrastruktur for distribusjon av oppdateringer, et såkalt innholdsleveringsnettverk (CDN).

Derfra ble et ondsinnet skript sendt ut gjennom cPGuards oppdateringskanal. OpsShield opplyser at selskapet oppdaget og stanset distribusjonen av de kompromitterte versjonene innen tolv timer etter at de ble lagt ut. Noen servere kan likevel ha mottatt eller kjørt skriptet, fordi systemene bare sjekker etter oppdateringer med bestemte mellomrom. Selskapet har ikke opplyst hvordan angriperne fikk tak i de legitime tilgangsopplysningene som ble brukt til inntrengningen.

Søkte etter sensitive data

cPGuard er en sikkerhetspakke for Linux-baserte webservere, med blant annet skadevareskanning, brannmur og beskyttelse mot angrep. Løsningen brukes av hosting­-selskaper og serveradministratorer sammen med kontrollpanelene cPanel, DirectAdmin og Plesk. Tjenesten tilbys også på Namecheaps virtuelle private servere og dedikerte servere.

Brukere som oppdaterte cPGuard i den berørte perioden, fikk et skript som lette etter sensitive data på serverne. Informasjonen ble lastet opp til OpsShields lisensieringsserver ved hjelp av en kompromittert konto, som angriperne senere brukte til å hente ut data.

OpsShield har ikke fastslått nøyaktig hvilke data som ble samlet inn fra hver enkelt server. Etterforskningen konkluderer imidlertid med at angriperen hentet ut 32 filer fra hver kunde.

Anbefaler versjon 5.88.25 eller nyere

Systemadministratorer anbefales å installere cPGuard versjon 5.88.25 eller nyere på alle berørte servere. De bør også bytte passord og fornye databaseopplysninger, hemmeligheter til skytjenester og SSH-nøkler.

OpsShield opplyser at den nyeste cPGuard-versjonen fjerner bakdøren og de forberedte skadevarefilene. Stjålne tilgangsopplysninger bør likevel gjøres ugyldige så raskt som mulig. Selskapet planlegger dessuten en oppdatering som skal fjerne forhåndsinstallerte tilgangsnøkler for OpsShields support.

Kunder bør følge anbefalingene, oppdatere cPGuard til minst versjon 5.88.25 og tilbakestille eller endre opplysninger som kan ha blitt eksponert på kompromitterte servere. En representant for OpsShield opplyser at hendelsen rammet 2946 servere, og at angriperne kopierte informasjonen som er beskrevet over. Også databasen til selskapets faktureringssystem ble kopiert.