Un atacante manipuló el sistema de actualizaciones de cPGuard y puso en riesgo casi 3.000 servidores.
Un atacante comprometió el sistema de actualización de cPGuard para distribuir una puerta trasera y robar datos. Esta herramienta protege servidores web Linux mediante análisis de software malicioso, cortafuegos y otras defensas. Por ello, es habitual entre empresas de alojamiento y administradores de sistemas.
La intrusión comenzó el 2 de noviembre de 2026. El responsable entró en la red de distribución de OpsShield con credenciales legítimas que habían sido robadas, aunque se desconoce cómo las obtuvo. El archivo malicioso se incluyó en las versiones 5.88.12 a 5.88.19. OpsShield detectó el incidente e interrumpió el envío en menos de doce horas.
El código recopilaba hashes de contraseñas de Linux, configuraciones de MariaDB y MySQL, el historial del usuario raíz y archivos relacionados con SSH. A continuación, enviaba la información al servidor de licencias de OpsShield a través de una cuenta comprometida. El intruso podía recuperarla desde allí. Al utilizar infraestructura auténtica, la actividad resultaba más difícil de distinguir del funcionamiento normal.
La compañía contabilizó 2.946 servidores afectados y 32 archivos recuperados por cliente. Además, los atacantes copiaron su base de datos de facturación. Algunos servidores podrían no haber ejecutado el código, pues comprobaban las actualizaciones a intervalos concretos.
La principal medida es instalar cPGuard 5.88.25 o una versión posterior, que elimina la puerta trasera y los archivos asociados. Aun así, actualizar el programa no invalida las credenciales ya expuestas. Los administradores deben restablecer contraseñas y renovar cuanto antes las claves SSH y los accesos a bases de datos y servicios en la nube.
Basado en: Bill Toulas, BleepingComputer