cPGuardの更新システムが侵害され、悪意あるスクリプトがLinuxサーバーにバックドアを設置し、認証情報などを持ち出しました。開発元のOpsShieldは2,946台への影響を確認し、修正版への更新に加えて、流出した可能性のあるパスワードや鍵の変更を求めています。
正規の更新を通じて悪意あるスクリプトを配布
cPGuardは、マルウェア検査やファイアウォールなどを備えたLinuxサーバー向けセキュリティ製品です。攻撃者は2026年11月2日2時6分（UTC）、漏えいした認証情報を使ってOpsShieldの更新配布基盤に侵入しました。
影響したのはバージョン5.88.12から5.88.19です。攻撃者はcPGuardの更新経路を通じてスクリプトを配布し、実行されたサーバーにバックドアを設置しました。
OpsShieldは侵害を検知し、攻撃者が改変版を配布してから12時間以内に配布を停止しました。サーバーは一定間隔で更新を確認するため、対象バージョンを受け取ってもスクリプトを実行していない場合があります。
パスワード関連情報やSSH設定を収集
スクリプトが収集対象にしたのは、Linuxのパスワード情報、root権限のMariaDB/MySQL設定、rootのシェル履歴、SSHのauthorized_keysとknown_hostsなどです。各サーバーで実際に持ち出された情報は異なる可能性があり、OpsShieldは個別の収集内容を調べています。
パスワード情報に含まれるハッシュは一方向に変換された値ですが、弱いパスワードなどはオフラインで推測される可能性があります。データベース設定やシェル履歴に含まれる秘密情報は、ハッシュ化によって保護されているとは限りません。
SSH関連ファイルも収集対象となりました。OpsShieldは、影響した可能性のあるサーバーについて、保存されたSSH秘密鍵の交換と、対応する古い公開鍵の削除を推奨しています。
更新後も認証情報の変更が必要
OpsShieldによると、バージョン5.88.25以降への更新でバックドアとスクリプトが残したファイルを削除できます。ただし、すでにコピーされた認証情報や鍵は更新後も有効な可能性があるため、rootを含むアカウントのパスワード、データベースの認証情報、クラウドの秘密情報、SSH鍵を変更するよう求めています。
OpsShieldは、cPGuardをすべてのサーバーで5.88.25以降に更新するよう案内しました。同社は追加の予防措置として、過去に導入したサポートアクセス用の鍵を削除する更新も予定しています。
影響サーバー数について、OpsShieldは2,946台で情報が取得され、同社の請求システムのデータベースも複製されたと説明しました。侵入に使われた認証情報の入手経路は、同社が調査を続けています。
更新経路の侵害が顧客側へ及ぶ仕組み
ソフトウェアのサプライチェーン攻撃は、ソフトウェア提供元のネットワークに侵入し、顧客へ届ける前の製品や更新に悪意あるコードを混入させる手口です。定期更新が中央の配布サーバーから顧客へ送られる仕組みでは、配布経路の侵害が顧客システムに波及し得ます。
米国サイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は、コード署名がコードの作成者と完全性を検証するために使われると説明しています。更新を受け取る側が署名を検証すれば、信頼する提供元による改変されていないコードかを確かめる手段になります。
一方、攻撃者は偽の証明書や署名システムの侵害、アカウント権限の設定不備などを利用して、コード署名の検証を弱めることがあります。今回も更新配布基盤への不正アクセスが確認されており、正規の更新経路が侵害されると、通常の保守更新が顧客サーバーへの侵入経路になり得ます。
