Un atacante manipuló el sistema de actualizaciones de cPGuard y puso en riesgo casi 3.000 servidores.
Un atacante entró en el sistema de actualizaciones de cPGuard. Este programa protege servidores web que usan Linux. Busca programas peligrosos y ayuda a detener ataques. Lo utilizan muchas empresas de alojamiento web y muchos administradores.
El ataque empezó el 2 de noviembre de 2026. El intruso usó datos de acceso verdaderos, pero robados. Así pudo enviar un archivo peligroso como si fuera una actualización normal. El archivo llegó con las versiones 5.88.12 a 5.88.19. OpsShield descubrió el problema y detuvo el envío en menos de doce horas.
La falsa actualización podía instalar una puerta trasera. También buscaba datos privados, como información sobre contraseñas, bases de datos y accesos por SSH. Además, copiaba las órdenes anteriores del administrador. Después enviaba los archivos a un servidor de licencias de OpsShield. Por eso, el tráfico parecía normal.
La empresa encontró 2.946 servidores afectados y 32 archivos recogidos por cada cliente. El atacante también copió la base de datos de facturación de OpsShield. Sin embargo, algunos servidores quizá no abrieron el archivo porque no buscaron actualizaciones durante esas horas.
Los administradores deben instalar cPGuard 5.88.25 o una versión posterior. Esta actualización borra la puerta trasera, pero no puede proteger una clave que ya ha sido robada. Por eso, también deben cambiar las contraseñas, las claves SSH y los accesos a bases de datos y servicios en la nube cuanto antes.
Basado en: Bill Toulas, BleepingComputer