cPGuard : une fausse mise à jour de sécurité, publiée avec une clé volée, s'est exécutée en root sur environ 2 950 serveurs

Comment c'est arrivé

Par le portail de facturation de l'éditeur. Le 1er novembre, l'attaquant a créé un compte client sous une fausse identité, pris un essai gratuit, puis envoyé des requêtes forgées aux pages de rappel (callback) du portail et obtenu la possibilité d'exécuter des commandes sur le serveur de facturation et de licences. Il y a pris la clé qui écrit dans le stockage des mises à jour et a déposé une fausse mise à jour le 2 novembre. OPSSHIELD indique que ses journaux n'enregistrent pas la requête exacte qui a donné l'accès : le point d'entrée précis n'est pas confirmé. Son premier avis parlait d'identifiants compromis ; la divulgation suivante parle d'une clé d'accès au stockage volée.[1][2] Vérifié le 8 nov. 2026

Ce qui a été volé

Sur les serveurs clients : empreintes de mots de passe (/etc/shadow et /etc/passwd), clés SSH privées de root, mot de passe root MySQL s'il existe, historique du shell de root, et clés de stockage cloud sur un petit nombre de serveurs. Chez OPSSHIELD : des copies de trois serveurs cloud et les fiches de facturation d'environ 7 900 comptes (nom, société, adresse postale, e-mail, mot de passe haché en bcrypt). Le premier avis d'OPSSHIELD comptait 32 fichiers collectés récupérés, chacun lié à un serveur client, et parlait d'un décompte préliminaire.[1][2][3] Vérifié le 8 nov. 2026

Qui est touché

Environ 2 950 serveurs clients ont exécuté la fausse mise à jour entre 02:08 et 03:20 UTC le 2 novembre. Les versions cPGuard 5.88.12 à 5.88.19 la portaient. OPSSHIELD demande à toute personne dont cPGuard était installé et en ligne pendant cette fenêtre de considérer les secrets de niveau root comme compromis. Les serveurs hors ligne ne l'ont pas reçue.[1][2][3] Vérifié le 8 nov. 2026

Acteur

Non attribué

Chronologie

1. 1 nov. 2026L'attaquant crée un compte client sous une fausse identité et commande un essai gratuit de cPGuard. À 22:58 UTC, il peut exécuter des commandes sur le serveur de facturation et de licences. [1]
2. 2 nov. 2026La fausse mise à jour est déposée dans le stockage des mises à jour entre 02:04 et 02:09 UTC. Les agents cPGuard l'installent en root entre 02:08 et 03:20 UTC. [1]
3. 2 nov. 2026OPSSHIELD révoque la clé d'accès volée et publie une mise à jour saine. [1]
4. 3 nov. 2026OPSSHIELD publie un avis de sécurité avec les étapes de remédiation, puis une divulgation complète de l'incident avec la chronologie. Elle ne nomme aucun attaquant. The Hacker News en rend compte le jour même. [1][2][3]