cPGuard güncelleme kanalı ele geçirildi: sunuculara arka kapı kuruldu, parola hash'leri çalındı

Linux güvenlik paketi cPGuard'ın 5.88.12–5.88.19 sürümlerine zararlı bir betik dağıtıldı; güncelleme yapılsa bile kopyalanan kimlik bilgileri geçerli kalabilir, bu yüzden etkilenen sunucuların tüm parolaları ve anahtarları yenilenmeli.

OpsShield, cPGuard Linux güvenlik paketinin üreticisi. Şirketin açıklamasına göre kimliği belirsiz bir saldırgan, 2 Kasım 2026'da ele geçirilmiş kimlik bilgilerini kullanarak güncelleme dağıtım altyapısına erişti ve 02:06 UTC'de zararlı bir betiği güncelleme kanalı üzerinden yaydı. Etkilenen sürümler 5.88.12 ile 5.88.19 arasında.

Betik bir arka kapı kurdu ve sunucudan parola hash'lerini, root veritabanı yapılandırmasını, root kabuk geçmişini ve root'a ait SSH yetkilendirme ile bilinen ana makineler dosyalarını topladı. Bu veriler OpsShield'a ait bir lisans sunucusuna yüklendi ve saldırgan oradan her biri bir müşteri sunucusuna bağlı 32 dosyayı aldı. Şirket saldırıyı, sorunlu sürümlerin yayınlanmasından itibaren 12 saat içinde tespit ettiğini belirtiyor.

OpsShield, arka kapıyı 5.88.25 ve sonraki sürümlerde kaldırdığını söylüyor. Yöneticilerin güncellemeyi yapması, sürüm numarasını doğrulaması ve betiği çalıştırmış olabilecek her sunucuyu olası ihlal altında kabul etmesi isteniyor. Betiğin kopyaladığı kimlik bilgileri güncellemeden sonra da çalışmaya devam edebileceği için etkilenen sunucularda yeni parolalar, veritabanı kimlik bilgileri, bulut sırları ve SSH anahtarları gerekiyor.

Bir sözcü daha sonra etkilenen sunucu sayısının 2.946 olduğunu açıkladı; ancak şirket bu sayıyı resmi duyurusunda yayımlamadı.