OpsShield 社の Linux ウェブホスティングサーバー向けセキュリティ製品 cPGuard が、利用者への攻撃に使われました。同社のアドバイザリーによると、2026年11月2日 02:06（UTC）、正体不明の攻撃者が漏えいした認証情報で更新配信基盤（CDN）に侵入し、偽の cPGuard 更新 5.88.12〜5.88.19 を公開しました。同社は配布開始から12時間以内に検知したとしています。
影響台数：Help Net Security によると、約2,950台のサーバーが偽の更新をインストールし root 権限で実行しました。該当時間帯に cPGuard がオンラインだったサーバーのみが受信しています。OpsShield のアドバイザリーは総数を示しておらず、暫定的に攻撃者が回収したファイルは32件（1件が顧客サーバー1台分）と推定しています。
収集された情報：アドバイザリーによれば /etc/shadow と /etc/passwd（パスワードハッシュ）、root の MariaDB/MySQL 設定（my.cnf）、root のシェル履歴、root の SSH 認証関連ファイルです。これらは侵害されたアカウントを使って OpsShield 自身のライセンスサーバーにアップロードされ、バックドア用のシェルも置かれました。同社は、すべてのサーバーから全ファイルが盗まれたと確認されたわけではないとしています。Help Net Security は、クラウドストレージの鍵も危険にさらされたこと、課金・ライセンスサーバーから約7,900人の顧客の氏名・住所・メール・bcrypt ハッシュ化パスワードが盗まれ、同社のクラウドサーバー3台が複製されたことも伝えています。
未解明の点：Help Net Security によると、攻撃者が更新ストレージのアクセスキーをどう入手したかは特定されていません。修正版については情報が分かれています。アドバイザリーは5.88.25 以降で既知のバックドアなどを削除するとし、Help Net Security は 5.88.26 で隠し root シェルを削除し、その後の更新で「i93677」関連の定期タスクを削除するとしています。最新版を入れてください。
