Hijackean el canal de actualización de cPGuard y roban datos de servidores Linux

OpsShield detectó el ataque el 2 de noviembre. Afectó casi 3,000 servidores con las versiones 5.88.12 a 5.88.19.

Atacantes comprometieron la infraestructura de actualización de cPGuard, suite de seguridad web para Linux, para repartir un backdoor y un script que roba datos, informó BleepingComputer el 3 de noviembre de 2026.

OpsShield, el desarrollador, dijo que el ataque empezó el 2 de noviembre a las 02:06 UTC con credenciales legítimas contra su CDN de distribución. Afectó las versiones 5.88.12 a 5.88.19. Detectaron y cortaron la distribución maliciosa en menos de 12 horas.

Quien actualizó en esa ventana recibió un script que buscaba hashes de contraseñas de Linux, configuración root de MariaDB/MySQL, historial de shell root y archivos SSH. Los datos se subían al servidor de licencias de OpsShield vía una cuenta comprometida.

Un portavoz dijo a BleepingComputer que detectaron 2,946 servidores afectados y que también copiaron la base de facturación. Piden actualizar a la 5.88.25 o superior, rotar contraseñas, credenciales de base de datos, secretos en la nube y llaves SSH.

Fuente: BleepingComputer: «Hackers hijack cPGuard autoupdate to push backdoor, steal data», 3 de noviembre de 2026.