ハッカーがcPGuardのアップデートに毒を仕込み、約3,000台のサーバーが侵害される

攻撃者は、信頼されたセキュリティアップデートを悪用し、約3,000台のLinuxサーバーを侵害しました。悪意あるコードはroot権限で実行されており、ホスティング環境全体で機密性の高い認証情報が漏えいした可能性があります。

2026年11月2日、開発元OPSSHIELDのアップデート基盤が侵害され、cPGuardを稼働させる約2,950台のサーバーが改ざんされたアップデートを実行しました。このcPGuardサプライチェーン攻撃では、機密ファイルが収集されたうえ、隠しrootシェルが設置されました。影響を受けた管理者は、最初の侵害にとどまらないリスクに直面しています。

Cobaltのバイスプレジデント兼最高情報セキュリティ責任者（CISO）であるAndrew Obadiaru氏は、自動アップデート機能を備えた特権セキュリティエージェントでは、1つの認証情報が侵害されるだけで、顧客環境全体へのアクセスにつながりかねないと警告しています。OPSSHIELDのインシデント開示では、個人情報とbcryptでハッシュ化されたパスワードを含む、約7,900件の請求アカウントレコードが漏えいしたことも確認されています。

攻撃者がcPGuardのアップデートを乗っ取った手口

11月1日、攻撃者はトライアルアカウントを登録し、cPGuardのライセンス通信を調べました。その後、OPSSHIELDの課金ポータルに細工したリクエストを送り、課金・ライセンスサーバー上で不正にコマンドを実行できる状態にしました。

攻撃者はアップデート保管用のキーを入手し、悪意あるバージョン5.88.12から5.88.19までを配布しました。改ざんされたアップデートは、11月2日の02:08から03:20（UTC）にかけて配布されました。この手口は、侵害されたソフトウェア公開パイプラインでも見られたリスクを浮き彫りにしています。

スクリプトは、Linuxのパスワードハッシュ、rootのSSH鍵、（存在する場合は）データベースの認証情報、さらに追加の機密情報を含む可能性があるシェル履歴を収集しました。一部のサーバーではクラウドストレージの認証情報も狙われており、これはTerraformモジュールレジストリの侵害とも似ています。

収集されたデータは、後で取得できるようOPSSHIELDのライセンス基盤にアップロードされました。スクリプトはまた、/var/tmp/.cpg91511_shに隠しrootシェルを設置しました。

OPSSHIELDは最初のセキュリティアドバイザリで、攻撃者が収集済みの32ファイルを取得したと推定しています。各ファイルはそれぞれ別の顧客サーバーに対応しています。ただし、これはあくまで暫定的な推定であり、影響を受けた約2,950台のサーバー全体で情報窃取がどこまで及んだかは明らかになっていません。

パッチ適用だけでは足りない認証情報の漏えい対応

OPSSHIELDは修正アップデートを公開しましたが、すでに盗まれた認証情報は引き続き悪用される可能性があります。バージョン5.88.25で是正措置が導入され、続いてバージョン5.88.26と追加のクリーンアップが行われました。証拠の保全も重要であり、これは別のSiteGuard WAFの悪用インシデントでも指摘されています。

組織は次の対策を優先すべきです。

• 影響を受けたインストールの特定。 /opt/cpguard/logs/install_logで、バージョン5.88.12から5.88.19の記録を確認します。現在のバージョンが正常でも、過去に侵害されていなかったとは限りません。
• 影響を受けたサーバーの封じ込めとアップデート。 証拠を保全し、不要な接続を制限したうえで、信頼できる最新リリースを導入し、悪意あるファイルが削除されたことを確認します。
• 不正アクセスの調査。 管理者アカウント、SSHの信頼関係、スケジュールされたタスク、認証ログ、接続先システムを調べ、永続化や横展開の痕跡がないか確認します。
• 漏えいした認証情報のローテーション。 LinuxおよびデータベースのパスワードをリセットしSSH鍵を入れ替えるとともに、漏えいしたクラウドトークンを失効させ、古い信頼済み公開鍵を削除します。OPSSHIELDの課金用パスワードもリセットし、多要素認証を有効にします。
• サードパーティのアクセス制御の強化。 特権セキュリティエージェントを棚卸しし、アップデートの仕組みを見直します。不要な常時アクセスを削除し、監視を強化します。
• インシデント対応計画のテスト。 改ざんされたアップデートや認証情報の窃取を想定した演習を行い、封じ込め、調査、認証情報のローテーション、復旧の各手順を検証します。

OPSSHIELDは、攻撃者による対話的なアクセスが確認されたシステムについては、11月1日より前のクリーンなバックアップから再構築するよう推奨しています。そのほかのシステムも、完全性を証明できない場合は再構築を検討すべきでしょう。

同社は、侵害された認証情報を失効させ、影響を受けたインフラの再構築を始めたとしています。調査担当者は、情報窃取の全容や、その後の侵入の可能性をなお調べています。漏えいした可能性のある認証情報は、引き続きセキュリティ上の懸念です。

関連記事：PaperCutサーバーの侵害は、攻撃者が特権を持つ企業向けアプリケーションを利用して、認証情報や接続先システムに到達できることを示しています。