اختراق بنية التحديث في cPGuard وزرع باب خلفي

اخترق المهاجمون بنية التحديث الخاصة بحزمة الأمن السيبراني cPGuard، ووزعوا باباً خلفياً وسكربتاً لسرقة البيانات.

أصدرت OpsShield، مطورة cPGuard، تنبيهاً في 3 نوفمبر، ذكرت فيه أن الهجوم بدأ في 2 نوفمبر عند الساعة 02:06 بالتوقيت العالمي المنسق، وأصاب الإصدارات من 5.88.12 إلى 5.88.19.

أفادت الشركة بأنها اكتشفت الاختراق وأوقفت التوزيع الخبيث خلال 12 ساعة بعد أن دفع المهاجم الإصدارات المخترقة من cPGuard.

أشارت OpsShield إلى أن بعض الخوادم ربما لم تتلقَّ السكربت الخبيث ولم تنفذه بسبب إجراء فحوص التحديث على فترات محددة.

حصل المهاجم على وصول أولي باستخدام بيانات اعتماد شرعية، لكن طريقة الحصول على هذه البيانات لا تزال غير واضحة.

ووفقاً لـ OpsShield: «في 2 نوفمبر 2026 عند الساعة 02:06 بالتوقيت العالمي المنسق، استخدم مهاجم لم تُحدد هويته بيانات اعتماد مخترقة للحصول على وصول غير مصرح به إلى بنية توزيع التحديثات الخاصة بـ OpsShield (CDN)». ثم وزع المهاجم سكربتاً خبيثاً عبر قناة تحديث cPGuard.

cPGuard هي حزمة أمنية لخوادم الويب العاملة بنظام Linux، توفر فحص البرمجيات الخبيثة وجدران الحماية والحماية من الهجمات. وتستخدمها عادة شركات الاستضافة ومديرو الخوادم إلى جانب لوحات التحكم مثل cPanel وDirectAdmin وPlesk.

خلال الاختراق، تلقى المستخدمون الذين حدّثوا cPGuard سكربتاً استهدف بيانات حساسة على أجهزتهم، شملت:

• تجزئات كلمات المرور في Linux
• إعدادات قاعدة بيانات الجذر (MariaDB/MySQL)
• سجل shell الخاص بالجذر
• ملفات تفويض SSH وknown-hosts الخاصة بالجذر

رُفعت البيانات المسروقة إلى خادم التراخيص الخاص بـ OpsShield عبر حساب مخترق، ثم وصل إليه المهاجمون لاسترداد المعلومات.

ورغم أن OpsShield لم تؤكد البيانات المحددة التي جُمعت من كل خادم، تشير أدلة التحقيق إلى أن الفاعل استرد 32 ملفاً من كل عميل متأثر.

يُنصح مديرو الأنظمة بتحديث كل خادم cPGuard إلى الإصدار 5.88.25 أو أحدث، وإعادة تعيين كلمات المرور، وتدوير بيانات اعتماد قواعد البيانات والأسرار السحابية ومفاتيح SSH.

ذكرت OpsShield أن التحديث إلى أحدث إصدار من cPGuard يزيل الباب الخلفي والملفات المرحلية؛ غير أنه يجب إبطال بيانات الاعتماد المسروقة في أقرب وقت ممكن.

وكإجراء احترازي إضافي، تخطط الشركة لإصدار تحديث يزيل مفاتيح الوصول الداعم الخاصة بـ OpsShield المثبتة سابقاً.

أبلغت OpsShield بأن نحو ثلاثة آلاف خادم تأثرت بالحادث. وقال ممثل الشركة: «اكتشفنا تأثر 2946 خادماً ونسخ المعلومات المذكورة، كما نُسخت قاعدة بيانات نظام الفوترة لدينا. نعمل على حظر كل الوصول، وإعادة بناء الأنظمة المتأثرة، والتحضير لإعلان عام في أقرب وقت ممكن».

تواصل الشركة نصح عملائها باتباع التعليمات لتحديث cPGuard إلى الإصدار 5.88.25 أو أحدث، وإعادة تعيين أو تدوير بيانات الاعتماد التي ربما انكشفت على خوادم يُحتمل اختراقها.

المصدر: BleepingComputer