攻撃者がWebセキュリティスイート「cPGuard」の更新インフラを侵害し、バックドアとデータ窃取スクリプトを配布しました。
cPGuardの開発元であるOpsShieldは本日早く、注意喚起を公開しました。それによると、攻撃は11月2日の02:06 UTCに始まり、バージョン5.88.12から5.88.19までが影響を受けました。
同社は、攻撃者が侵害したバージョンのcPGuardを公開してから12時間以内に侵害を検知し、悪意ある配布を止めたとしています。
同社は確認できていないとしつつも、更新の確認が特定の間隔で行われるため、悪意あるスクリプトを受信・実行しなかったサーバーもある可能性があると述べています。
攻撃者は正規の認証情報を使って最初の侵入に成功しました。ただし、その認証情報をどう入手したのかは不明です。
OpsShieldは、次のように述べています。「2026年11月2日02:06 UTC、身元不明の攻撃者が、侵害した認証情報を使ってOpsShieldの更新配布インフラ（CDN）に不正アクセスしました」
「攻撃者はこのアクセスを利用し、cPGuardの更新チャネルを通じて悪意あるスクリプトを配布しました」
cPGuardは、マルウェアスキャン、ファイアウォール、攻撃防御の機能を備えたLinux向けWebサーバーセキュリティスイートです。
ホスティング事業者やサーバー管理者が、cPanel、DirectAdmin、Pleskなどのパネルと併用するケースが多く、NamecheapもVPSや専用サーバー向けに提供しています。
侵害期間中にcPGuardを更新したユーザーには、マシン上の機密データを狙うスクリプトが配信されました。標的となったデータは次のとおりです。
- Linuxのパスワードハッシュ
- root用のデータベース（MariaDB/MySQL）設定
- rootのシェル履歴
- rootのSSH認証ファイルおよびknown-hostsファイル
窃取されたデータは、侵害されたアカウントを通じてOpsShieldのライセンスサーバーにアップロードされ、攻撃者がそこから回収しました。
OpsShieldは、各サーバーからどのデータが収集されたのかまでは特定していません。ただし、調査で得られた証拠から、攻撃者が顧客1件につき32個のファイルを取得したことが分かっています。
システム管理者は、すべてのcPGuardサーバーをバージョン5.88.25以降に更新し、パスワードをリセットしたうえで、データベースの認証情報、クラウドのシークレット、SSH鍵を更新（ローテーション）するよう推奨されています。
OpsShieldによると、最新版のcPGuardに更新すればバックドアと配置されたファイルは削除されます。ただし、窃取された認証情報は一刻も早く無効化する必要があります。
同社は追加の予防措置として、過去にインストールされたOpsShieldのサポート用アクセスキーを削除する更新も公開する予定だとしています。
BleepingComputerがOpsShieldに問い合わせたところ、同社の広報担当者は、このインシデントの影響は約3,000台のサーバーに及んだと説明しました。
「影響を受けたサーバーは2946台で、前述の情報がコピーされたことを確認しています。請求システムのデータベースもコピーされました。現在、すべてのアクセスの遮断と影響を受けたシステムの再構築を進めており、できるだけ早く公式に発表できるよう準備しています」と、同社の担当者は述べました。
同社は顧客に対しても、手順に従ってcPGuardをバージョン5.88.25以降に更新し、侵害された可能性のあるサーバー上で漏えいした恐れのある認証情報をリセットまたはローテーションするよう呼びかけています。
