La propia protección abrió la puerta: una actualización de cPGuard en apenas 72 minutos instaló una puerta trasera en casi 3.000 servidores Linux

Casi 3000 servidores Linux recibieron una puerta trasera a través de las actualizaciones del programa de protección cPGuard. Un atacante comprometió la infraestructura del desarrollador OPSSHIELD y convirtió el mecanismo habitual de actualizaciones en una herramienta para robar contraseñas, claves SSH y otros datos confidenciales.

El ataque ocurrió el 2 de noviembre de 2026. Un delincuente desconocido accedió a la infraestructura de OPSSHIELD y sustituyó las actualizaciones de cPGuard, un conjunto para proteger servidores web frente a software malicioso y ataques de red. El producto lo utilizan administradores de servidores Linux y proveedores de hosting, incluido su empleo junto con los paneles de control cPanel, DirectAdmin y Plesk.

El código malicioso se distribuyó a través del canal oficial de actualizaciones en las versiones 5.88.12–5.88.19. Según datos precisos del desarrollador, las actualizaciones infectadas se instalaron entre las 02:08 y las 03:20 UTC. Puesto que cPGuard ejecuta comprobaciones periódicas, no todos los servidores llegaron a recibir la versión peligrosa. No obstante, las máquinas que ejecutaron el script alterado quedaron comprometidas.

El script malicioso se ejecutaba con privilegios de root y recopilaba los archivos del sistema /etc/shadow y /etc/passwd, la configuración de MariaDB/MySQL, el historial de comandos del administrador y los archivos SSH. La información obtenida se enviaba al propio servidor de licencias de OPSSHIELD mediante una cuenta comprometida, desde donde el atacante pudo recuperar el material más tarde.

La filtración del contenido de /etc/shadow es especialmente peligrosa, ya que allí Linux guarda los hashes de las contraseñas de los usuarios locales. Los hashes no se pueden introducir simplemente en lugar de la contraseña, pero un atacante puede descifrar combinaciones sin interactuar con el servidor. Los archivos de configuración de bases de datos y el historial de comandos, a su vez, pueden contener contraseñas vigentes y claves de acceso.

Durante la investigación OPSSHIELD determinó que el atacante primero registró una cuenta de prueba y luego accedió al servidor de facturación y de licencias mediante solicitudes especialmente formadas. Al obtener la posibilidad de ejecutar comandos, el delincuente robó la clave de publicación de actualizaciones. Ese escenario corresponde a ataques a la cadena de suministro, cuando un canal de distribución de software de confianza se convierte en un medio para propagar malware.

La empresa estimó que el número de servidores que ejecutaron la actualización falsa fue de aproximadamente 2950. Además, el atacante copió la base del portal de clientes, que contenía datos de alrededor de 7900 cuentas. Entre la información sustraída había nombres, direcciones de correo electrónico y hashes de contraseñas. El volumen exacto de datos que el delincuente logró obtener de cada servidor aún se está precisando.

El desarrollador divulgó la cronología del ataque y publicó versiones corregidas de cPGuard. Los administradores deben actualizar el programa a la versión 5.88.25 o posterior, revisar el historial de instalaciones y reemplazar contraseñas, claves SSH y tokens en la nube que puedan haber sido expuestos. La simple eliminación de la puerta trasera no invalida los secretos robados.

OPSSHIELD por ahora no recomienda reinstalar masivamente los sistemas operativos, pero admite esa medida ante indicios adicionales de intrusión. Una manipulación de actualizaciones similar afectó anteriormente al complemento WordPress Smart Slider 3 Pro. En ambos casos, el mecanismo habitual de entrega de correcciones se convirtió en un canal de distribución de código malicioso.