Kompromittierter cPGuard-Updatekanal verbreitete Backdoor auf Linux-Servern
Ein Angreifer hat am 2. November 2026 das Update-System des Linux-Sicherheitstools cPGuard kompromittiert und darüber ein schädliches Skript an Kundensysteme ausgeliefert. Das teilte der Hersteller OPSSHIELD in einem Advisory mit. Das Skript wurde mit den cPGuard-Versionen 5.88.12 bis 5.88.19 verteilt, installierte eine Backdoor und sammelte sensible Serverdateien ein.
Nach Angaben von OPSSHIELD umfassten die gesammelten Daten /etc/shadow und /etc/passwd, die MariaDB- oder MySQL-Konfiguration von root, die Shell-Historie von root sowie die SSH-Dateien für autorisierte Schlüssel und bekannte Hosts. Das Skript übertrug die Dateien an einen von OPSSHIELD betriebenen Lizenzserver, damit der Angreifer sie später abrufen konnte. OPSSHIELD fand bislang keine weitere bösartige Aktivität, betonte aber, dass diese Einschätzung nicht endgültig ist.
Der Angreifer verschaffte sich laut OPSSHIELD um 02:06 UTC mit kompromittierten Zugangsdaten Zugriff auf das Update-System. Das Unternehmen entdeckte den Angriff innerhalb von zwölf Stunden, löschte die Infrastruktur-Zugangsdaten und stoppte die weitere Auslieferung. Wie der Angreifer an die Zugangsdaten gelangte, untersucht OPSSHIELD noch.
OPSSHIELD schätzte am späten 2. November nach UTC, dass der Angreifer 32 Dateien von dem Lizenzserver entwendet hatte. Jede Datei war einem Kundensystem zugeordnet. Die Zahl umfasst nach Angaben des Unternehmens nur bereits bekannte Dateien und kann sich ändern; sie lässt keinen Schluss auf die Gesamtzahl möglicherweise betroffener Server zu. OPSSHIELD hat nicht mitgeteilt, wie viele Server eines der kompromittierten Updates installiert haben.
Version und Update-Log prüfen
Administratoren sollen laut OPSSHIELD auf jedem Server cpgcli update –start ausführen und anschließend mit cpgcli –version prüfen, ob Version 5.88.25 oder höher installiert ist. Diese Version entfernt die Backdoor und die vom Skript hinterlassenen Dateien. Zugangsdaten, die das Skript kopiert haben könnte, können nach dem Update weiter gültig sein.
Ein betroffener Server lässt sich laut OPSSHIELD mit diesem Befehl prüfen: grep 'Successfully updated' /opt/cpguard/logs/install_log. Ein Eintrag für Version 5.88.12 bis 5.88.19 zeigt, dass das Update installiert wurde. Er belegt jedoch nicht, dass das Skript ausgeführt wurde oder Daten den Server verlassen haben. OPSSHIELD empfiehlt trotzdem, solche Systeme auch nach einem Update auf Version 5.88.25 oder höher als potenziell kompromittiert zu behandeln.
Fehlende oder unvollständige Logs schließen eine Ausführung des Skripts nach Angaben von OPSSHIELD ebenfalls nicht aus. Die Server prüfen in unterschiedlichen Intervallen auf Updates, sodass ein schädliches Update nicht zwingend auf jedem betroffenen System ausgeführt wurde. Das Skript sammelte möglicherweise nicht jede genannte Datei auf jedem Server; OPSSHIELD untersucht noch, welche Daten einzelne Systeme verlassen haben.
Für Server, auf denen das Skript ausgeführt wurde oder ausgeführt worden sein könnte, empfiehlt OPSSHIELD das Zurücksetzen der Passwörter für root und alle anderen lokalen Linux-Konten mit Passwort. Administratoren sollen außerdem Datenbankpasswörter, S3-Zugangsschlüssel, DigitalOcean-Token und Geheimnisse aus der Shell-Historie austauschen. Die privaten SSH-Schlüssel unter /root/.ssh sollen ersetzt und die zugehörigen alten öffentlichen Schlüssel aus allen vertrauenden Systemen entfernt werden.
OPSSHIELD rät, Passwörter aus einer vertrauenswürdigen Wiederherstellungsumgebung zurückzusetzen und wiederverwendete Passwörter von einem vertrauenswürdigen Gerät aus zu ändern. Einen vollständigen Reset oder Neuaufbau des Betriebssystems empfiehlt das Unternehmen derzeit nicht generell. Diese Einschätzung könne sich während der Untersuchung ändern; bei weiteren Anzeichen einer Kompromittierung oder unklarer Systemlage sollen Administratoren den Support von OPSSHIELD einschalten.