cPGuard: canal de atualização foi sequestrado e instalou backdoor que roubou credenciais root de MySQL e SSH

Se você administra servidores Linux com cPGuard, seja em VPS, servidor dedicado ou hospedagem com cPanel, DirectAdmin ou Plesk, vale checar a versão agora. Segundo a OpsShield, desenvolvedora do cPGuard, atacantes usaram credenciais legítimas para distribuir um script malicioso pelo canal de atualização. Os dados roubados incluem configuração root do banco e arquivos SSH do root.

O que aconteceu

A OpsShield afirma que, em 2 de novembro de 2026, às 02h06 UTC, um atacante não identificado usou credenciais comprometidas para acessar a infraestrutura de distribuição de atualizações (CDN) da empresa. Com esse acesso, distribuiu um script malicioso pelo canal de atualização do cPGuard.

As versões afetadas são da 5.88.12 até a 5.88.19. A origem das credenciais usadas pelo atacante ainda é desconhecida, segundo o BleepingComputer.

O cPGuard é uma suíte de segurança para servidores web Linux, com varredura de malware, firewall e proteção contra ataques. É comum em empresas de hospedagem e entre administradores de servidores, junto com cPanel, DirectAdmin e Plesk. A Namecheap o oferece em VPS e servidores dedicados.

O que o script roubava

Quem atualizou o cPGuard durante a janela do ataque recebeu um script que buscava:

• a configuração root do banco de dados (MariaDB/MySQL);
• os arquivos de autorização SSH e known-hosts do root.

Os dados foram enviados ao servidor de licenciamento da OpsShield, por meio de uma conta comprometida. Os atacantes depois acessaram esse servidor para recuperar o material.

A OpsShield disse que ainda não definiu quais dados foram coletados de cada servidor. Pelas evidências da investigação, o atacante recuperou 32 arquivos por cliente.

Alcance e janela de exposição

A empresa diz que detectou o ataque e interrompeu a distribuição maliciosa em até 12 horas depois de o atacante publicar as versões comprometidas. Ela não pôde confirmar, mas afirma que alguns servidores podem não ter recebido nem executado o script, porque a verificação de atualizações acontece em intervalos específicos.

Em contato com o BleepingComputer, um porta-voz da OpsShield disse que 2.946 servidores foram afetados e tiveram as informações copiadas. O banco de dados do sistema de faturamento da empresa também foi copiado. A OpsShield diz que trabalha para bloquear todos os acessos, reconstruir os sistemas afetados e preparar um comunicado público.

Como a janela é incerta, não presuma que seu servidor escapou só porque a atualização pode não ter rodado. Confirme pelo histórico de atualizações.

O que conferir e fazer

A recomendação da OpsShield:

1. Atualizar todos os servidores com cPGuard para a versão 5.88.25 ou superior. Segundo a empresa, isso remove o backdoor e os arquivos preparados pelo atacante.
2. Redefinir senhas.
3. Rotacionar credenciais de banco de dados, segredos de nuvem e chaves SSH.

A atualização não invalida o que já foi roubado. As credenciais continuam válidas até você trocá-las, então a rotação é a parte urgente.

Passos práticos a partir do que o relato descreve:

• Verifique a versão instalada do cPGuard em cada servidor e se ele recebeu alguma versão entre 5.88.12 e 5.88.19. Use o método do seu painel ou o que a documentação do cPGuard indicar.
• Considere comprometidos o acesso root ao MariaDB/MySQL e as chaves SSH do root em qualquer servidor que tenha rodado essas versões. Troque as senhas e gere novas chaves.
• Revise o authorized_keys do root e remova chaves que você não reconhece. A OpsShield também prevê uma atualização para remover chaves de acesso de suporte instaladas anteriormente, como precaução extra.
• Reveja os logins SSH e as conexões ao banco desde 2 de novembro de 2026, já que os arquivos de autorização e known-hosts podem ajudar o atacante a chegar a outros hosts.
• Troque também segredos de nuvem que estejam guardados nesses servidores.

Os indicadores de comprometimento não constam nos artigos consultados. Procure-os no comunicado da OpsShield.

Fontes: BleepingComputer