cPGuard güncelleme kanalı ele geçirildi: yaklaşık 2.950 Linux sunucuya backdoor ve kimlik bilgisi toplayan script dağıtıldı
OpsShield, web hosting sunucularında kullanılan cPGuard güvenlik paketinin güncelleme altyapısına sızıldığını ve 5.88.12–5.88.19 sürümleriyle zararlı script dağıtıldığını açıkladı. Güncelleme backdoor'u siliyor ama çalınan parolaları geçersiz kılmıyor.
Linux web sunucuları için malware tarama ve WAF hizmeti sunan cPGuard paketinin geliştiricisi OpsShield, güncelleme dağıtım altyapısının ele geçirildiğini doğruladı. Şirketin açıklamasına göre kimliği belirlenemeyen bir saldırgan, 2 Kasım 2026'da ele geçirilmiş kimlik bilgileriyle güncelleme sistemine erişti ve otomatik güncelleme kanalı üzerinden müşteri sunucularına zararlı bir script gönderdi.
Etkilenen sürümler cPGuard 5.88.12 ile 5.88.19 arası. Raporlara göre zararlı güncelleme yaklaşık 2.950 sunucuya ulaştı; OpsShield, saldırganın topladığı verilerden 32 dosyayı geri çektiğini bildirdi. Saldırının web hosting firmalarının paylaşımlı sunucularını kapsaması, etkinin tek sunucuyla sınırlı kalmayıp o sunucularda barınan siteleri de ilgilendirdiği anlamına geliyor.
Script ne yaptı?
Kaynaklara göre script; Linux parola hash'lerini, root yetkili MariaDB/MySQL yapılandırmasını ve root kullanıcısının shell geçmişini topladı, ardından sunucuda bir backdoor shell bıraktı. Toplanan veriler, OpsShield'in kendi lisans sunucusundaki ele geçirilmiş bir hesaba yüklendi. Bu yöntem, trafiğin meşru üretici altyapısına gidiyor gibi görünmesini sağladığı için ağ tarafında fark edilmeyi zorlaştırıyor.
Şirketin yayımladığı göstergeler arasında cpguard-v58812-i91511.sh adlı script, /var/tmp/.cpg91511_sh backdoor dosyası ve /var/tmp/.cpg91511/loot.tgz arşivi yer alıyor. OpsShield, başka zararlı faaliyet bulmadığını ancak bu değerlendirmenin henüz kesin olmadığını belirtiyor.
Güncellemek yetmiyor
cPGuard 5.88.25 ve sonrası backdoor'u ve scriptin bıraktığı dosyaları kaldırıyor. Ancak script çalıştıysa kopyalanan parolalar, veritabanı kimlik bilgileri ve anahtarlar güncellemeden sonra da geçerli kalıyor. Ayrıca güncelleme bu dosyaları sildiği için, güncel bir sunucuda dosyaların bulunmaması scriptin hiç çalışmadığını kanıtlamaz.
Sunucunuzda cPGuard sürümünü ve göstergeleri salt okunur olarak kontrol etmek için:
ls -la /var/tmp/ | grep cpg
grep -i cpguard /var/log/messagesNe yapılmalı?
- cPGuard kullanıyorsanız sürümün 5.88.25 veya üzeri olduğunu doğrulayın; 2 Kasım ve sonrasında 5.88.12–5.88.19 aralığında herhangi bir sürüm çalıştırmış sunucuları etkilenmiş kabul edin.
- Bu sunuculardaki tüm sistem kullanıcı parolalarını, root dahil MariaDB/MySQL kimlik bilgilerini, SSH anahtarlarını ve shell geçmişinde geçmiş olabilecek API anahtarlarını yenileyin.
- Barındırılan sitelerin veritabanı parolalarını ve uygulama yapılandırmalarındaki gizli bilgileri de yenileme planına ekleyin; müşterilerinizi bilgilendirin.
- Sunucu ve ağ loglarında beklenmedik SSH oturumlarını, yeni kullanıcıları ve yetkisiz cron girdilerini inceleyin.
- Uzun vadede otomatik güncelleme kanallarını değişiklik yönetimi kapsamında değerlendirin; kritik sunucularda güncellemeleri önce sınırlı bir grupta deneyin.
