cPGuard: ערוץ עדכונים שנחטף התקין דלת אחורית בכ-2,950 שרתי Linux

‏OPSSHIELD, יצרנית חבילת אבטחת השרתים cPGuard, מסרה שתוקף חדר לשרת החיוב שלה ופרסם עדכון מזויף באמצעות מפתח גנוב ב-2 בנובמבר 2026. במשך כ-70 דקות רץ הסקריפט בהרשאות root על שרתי Linux של לקוחות, התקין מעטפת נסתרת והעתיק גיבובי סיסמאות, מפתחות SSH ופרטי גישה למסדי נתונים.

מה קרה

‏OPSSHIELD מפרסמת את cPGuard, חבילת אבטחה (סורק נוזקות, חומת אש, חומת אש ליישומי רשת) המותקנת על שרתי Linux לאירוח אתרים. ב-3 בנובמבר 2026 הודיעה החברה שערוץ העדכונים שלה נחטף. לפי דוח האירוע, התוקף פתח ב-1 בנובמבר חשבון לקוח בזהות בדויה, הזמין רישיון ניסיון חינמי ואז ניצל פגיעות ביישום החיוב כדי להריץ פקודות על שרת החיוב והרישוי. משם, בעזרת מפתח גישה גנוב, העלה עדכון מזויף של cPGuard לאחסון העדכונים ב-2 בנובמבר, זמן קצר אחרי 02:00 UTC.

מי מושפע

סוכני cPGuard התקינו את העדכון המזויף בין 02:08 ל-03:20 UTC ב-2 בנובמבר, חלון של כ-70 דקות. הסקריפט רץ בהרשאות root, השאיר מעטפת נסתרת ושלח לתוקף קבצים רגישים: /etc/shadow ו-/etc/passwd, מפתחות ה-SSH של root, ‏authorized_keys ו-known_hosts, סיסמת root של MySQL מתוך /root/.my.cnf, היסטוריית המעטפת של root, ובחלק מהשרתים גם מפתחות S3 מתוך /root/.s3cfg. ‏OPSSHIELD מעריכה שכ-2,950 שרתי לקוחות הריצו אותו. בנוסף נחשפו פרטי כ-7,900 חשבונות בפורטל החיוב (שם, חברה, כתובת דואר, דוא״ל, גיבובי bcrypt של סיסמאות). ההודעה מציינת את הגרסאות 5.88.12 עד 5.88.19.

מה לעשות עכשיו

1. עדכנו כל שרת עם cpgcli update --start ובדקו עם cpgcli --version: ‏OPSSHIELD דורשת לפחות 5.88.25, וגרסה 5.88.26 גם מבטלת את גישת התמיכה שלה.
2. בדקו את היסטוריית העדכונים עם grep 'Successfully updated' /opt/cpguard/logs/install_log. גרסה בין 5.88.12 ל-5.88.19, או cPGuard שפעל בחלון הזמן, מחייבים להתייחס לשרת כפרוץ.
3. חפשו ומחקו את /var/tmp/.cpg91511_sh, ‏/var/tmp/.cpg91511/, ‏/etc/cron.d/i93677 ו-/var/tmp/.i93677/, וחפשו ביומנים את כתובת ה-IP‏ 94.183.188.91.
4. החליפו את סיסמת root ואת סיסמאות כל החשבונות המקומיים, וכן כל סיסמה שנעשה בה שימוש חוזר במקום אחר.
5. החליפו את מפתחות ה-SSH של root, הסירו את המפתחות הציבוריים הישנים מכל השרתים שסמכו עליהם ובדקו את authorized_keys.
6. חדשו את סיסמאות MySQL ומסדי הנתונים, את מפתחות S3 וכל אסימון או סיסמה שמופיעים בהיסטוריית המעטפת של root.
7. שנו את הסיסמה לפורטל של OPSSHIELD והפעילו אימות דו-שלבי, גם אם השרתים שלכם לא נחשפו.
8. אם נמצאו סימני גישה ידנית, בנו מחדש את השרת מגיבוי שנלקח לפני 1 בנובמבר.

הדעה שלנו

סוכן אבטחה שמתעדכן בעצמו בהרשאות root הוא נתיב ישיר לכל שרת שהוא מגן עליו: התשתית של היצרן הופכת לחלק ממשטח התקיפה שלכם. נהלו מצאי של סוכנים כאלה, דעו מאין מגיעים העדכונים שלהם, ואל תשאירו סודות בהיסטוריית המעטפת או בקבצים של root שסקריפט אחד יכול לאסוף.

מקורות

• OPSSHIELD — cPGuard security advisory: update channel compromise
• OPSSHIELD — Security incident disclosure
• OPSSHIELD — cPGuard changelog
• The Hacker News — cPGuard Update Channel Hijacked to Backdoor Linux Servers and Collect Password Hashes

איך אנחנו בוחרים, מאמתים וכותבים את הניתוחים שלנו ←