Des mises à jour cPGuard du 2 novembre 2026 ont installé une porte dérobée

Le 2 novembre 2026 à 2 h 06 UTC, un attaquant non identifié a utilisé des identifiants compromis pour entrer dans l’infrastructure de distribution des mises à jour de cPGuard, l’outil de pare-feu et de protection contre les logiciels malveillants pour serveurs Linux édité par OPSSHIELD. Il y a fait passer un script malveillant dans les versions 5.88.12 à 5.88.19. L’éditeur dit avoir détecté l’attaque dans les douze heures suivant la mise en ligne de ces versions, avoir cessé de le distribuer et renouvelé les identifiants de son infrastructure.

Des mises à jour officielles ont copié des secrets

Le script installait une porte dérobée, rassemblait des données du serveur, puis les envoyait vers le serveur de licences d’OPSSHIELD, via un compte lui aussi compromis, pour que l’attaquant les récupère ensuite. Ce compte a été sécurisé. L’avis, dont la dernière mise à jour affichée est le 3 novembre 2026 à 3 h 19, heure de l’Inde (21 h 49 UTC le 2 novembre), cite les fichiers de comptes Linux /etc/shadow et /etc/passwd, la configuration MariaDB ou MySQL du compte root, l’historique des commandes de ce compte, et ses fichiers d’autorisation SSH et d’hôtes connus. Cette liste ne veut pas dire que chaque fichier a quitté chaque machine.

Les mots de passe des comptes locaux ne sont pas en clair dans /etc/shadow : ce sont des empreintes à sens unique, inutilisables telles quelles pour ouvrir une session. Un mot de passe court, courant ou déjà exposé peut être retrouvé en testant des listes hors ligne. OPSSHIELD demande donc de les changer. Les secrets écrits dans la configuration de la base ou dans l’historique des commandes n’ont pas cette protection.

La version 5.88.25 efface le programme, pas les accès

Le journal des versions place au 2 novembre 2026 le correctif 5.88.25, qui referme le canal, et le 5.88.26, qui retire l’accès support s’il était activé. L’avis demande la version 5.88.25 ou ultérieure sur chaque serveur, avec la commande cpgcli update --start, puis cpgcli --version. Si la mise à jour échoue ou reste en dessous de 5.88.25, il faut écrire au support d’OPSSHIELD.

Là où le script a tourné ou a pu tourner, l’avis demande de changer, depuis un environnement de confiance, le mot de passe de root et ceux des autres comptes locaux, ainsi que les mots de passe réutilisés ailleurs. Il faut renouveler les mots de passe de bases, les clés S3, les jetons DigitalOcean et les secrets de l’historique root, remplacer les clés privées SSH de root et retirer les anciennes clés publiques partout où elles étaient acceptées.

OPSSHIELD ne recommande pas, avec ce qu’il a vu, de réinstaller le système en routine. Si d’autres signes apparaissent, un examen au cas par cas peut conduire à reconstruire le serveur.

Trente-deux fichiers repris, un périmètre encore ouvert

Dans un point daté du 3 novembre 2026 à 2 h 42, heure de l’Inde (21 h 12 UTC le 2 novembre), OPSSHIELD estime que l’attaquant a récupéré 32 fichiers déposés sur son serveur de licences, chacun lié à un serveur client. Il ne dit pas combien de serveurs ont installé une version touchée, ni combien ont exécuté le script. Hors cette collecte et la porte dérobée connue, l’éditeur n’a pas vu d’autre activité malveillante, un constat qu’il dit préliminaire.

Les clés d’accès support sont retirées par précaution

À 3 h 17, heure de l’Inde, le 3 novembre 2026 (21 h 47 UTC le 2 novembre), OPSSHIELD a annoncé un correctif qui retire ses clés d’accès support des serveurs où elles avaient été ajoutées. Cet accès de dépannage ajoute une clé publique SSH de l’éditeur au compte root. Elle ne remplace ni la montée de version ni le changement des secrets. L’avis ne dit pas si la clé privée correspondante a été exposée.

KLYNLABS a déjà décrit cinq versions piégées de l’outil en ligne de commande d’OVHcloud, déposées sur GitHub pour voler des secrets. Ici, le canal touché est celui de l’éditeur lui-même. Prendre la mise à jour officielle n’a pas protégé les serveurs qui ont installé 5.88.12 à 5.88.19 pendant la fenêtre.

Sources

Avis d’OPSSHIELD, 3 novembre 2026, dernière mise à jour affichée à 3 h 19, heure de l’Inde : cPGuard security advisory, Update channel compromise. Journal des versions : changelog cPGuard. The Hacker News, 3 novembre 2026 : cPGuard Update Channel Hijacked to Backdoor Linux Servers and Collect Password Hashes.