cPGuard — bộ công cụ bảo mật cho máy chủ web hosting Linux của OpsShield — đã bị biến thành công cụ tấn công chính khách hàng. Theo thông báo của OpsShield, lúc 02:06 UTC ngày 2/11/2026, một kẻ tấn công chưa xác định đã dùng thông tin đăng nhập bị lộ để vào hạ tầng phân phối cập nhật (CDN) và phát hành các bản cPGuard giả, từ 5.88.12 đến 5.88.19. OpsShield cho biết đã phát hiện sự cố trong vòng 12 giờ.
Bao nhiêu máy chủ: Help Net Security cho biết khoảng 2.950 máy chủ đã cài bản giả và chạy nó với quyền root; chỉ máy chủ có cPGuard đang trực tuyến trong khoảng thời gian đó mới nhận. Thông báo của OpsShield không đưa ra tổng số, chỉ ước tính sơ bộ kẻ tấn công đã lấy về 32 tệp thu thập, mỗi tệp tương ứng một máy chủ khách hàng.
Script thu thập gì: theo OpsShield, gồm /etc/shadow và /etc/passwd (hash mật khẩu), cấu hình MariaDB/MySQL root (my.cnf), lịch sử shell của root và các tệp xác thực SSH của root. Dữ liệu được tải lên chính máy chủ cấp phép của OpsShield qua một tài khoản bị chiếm, kèm một shell cửa hậu. OpsShield lưu ý danh sách này không có nghĩa mọi tệp đều bị lấy từ mọi máy. Help Net Security cho biết thêm khoá lưu trữ đám mây cũng có nguy cơ, và tên, địa chỉ, email, mật khẩu băm bcrypt của khoảng 7.900 khách hàng bị lấy từ máy chủ thanh toán/cấp phép; ba máy chủ đám mây của OpsShield bị sao chép.
Còn chưa rõ: theo Help Net Security, OpsShield chưa xác định kẻ tấn công lấy khoá truy cập kho cập nhật bằng cách nào. Về phiên bản đã sửa, các nguồn khác nhau: thông báo nói 5.88.25 trở lên gỡ cửa hậu và tệp đã dàn dựng, còn Help Net Security nói 5.88.26 gỡ shell root ẩn và một bản sau đó gỡ tác vụ định kỳ liên quan "i93677". Hãy cài bản mới nhất.
