cPGuard: قناة تحديث مخترقة زرعت بابًا خلفيًا في نحو 2950 خادم Linux

تقول OPSSHIELD، الشركة المطوّرة لحزمة أمن الخوادم cPGuard، إن مهاجمًا اخترق خادم الفوترة لديها ونشر تحديثًا مزيفًا بمفتاح مسروق في 2 نوفمبر 2026. وعلى مدى نحو 70 دقيقة، عمل السكربت بصلاحيات root على خوادم Linux لدى العملاء، وزرع صدفة مخفية ونسخ تجزئات كلمات المرور ومفاتيح SSH وبيانات الدخول إلى قواعد البيانات.

ماذا حدث

تنشر OPSSHIELD حزمة الأمن cPGuard (ماسح برمجيات خبيثة، وجدار حماية، وجدار حماية لتطبيقات الويب) المثبّتة على خوادم Linux لاستضافة المواقع. وفي 3 نوفمبر 2026 أعلنت الشركة أن قناة التحديث لديها قد اختُطفت. ووفق تقرير الحادث، أنشأ المهاجم في 1 نوفمبر حساب عميل بهوية مزيفة، وطلب ترخيصًا تجريبيًا مجانيًا، ثم استغل ثغرة في تطبيق الفوترة لتنفيذ أوامر على خادم الفوترة والتراخيص. ومن هناك، وبمفتاح وصول مسروق، رفع تحديثًا مزيفًا لـ cPGuard إلى مخزن التحديثات في 2 نوفمبر بعد الساعة 02:00 UTC بقليل.

من المتأثر

ثبّتت وكلاء cPGuard التحديث المزيف بين 02:08 و03:20 UTC يوم 2 نوفمبر، أي خلال نافذة تقارب 70 دقيقة. وعمل السكربت بصلاحيات root، فترك صدفة مخفية وأرسل إلى المهاجم ملفات حساسة: /etc/shadow و/etc/passwd، ومفاتيح SSH الخاصة بـ root، وauthorized_keys وknown_hosts، وكلمة مرور root لـ MySQL من /root/.my.cnf، وسجل أوامر root، وعلى بعض الخوادم مفاتيح S3 من /root/.s3cfg. وتقدّر OPSSHIELD عدد خوادم العملاء التي شغّلته بنحو 2950 خادمًا. كما كُشفت بيانات نحو 7900 حساب في بوابة الفوترة (الاسم، والشركة، والعنوان البريدي، والبريد الإلكتروني، وتجزئات bcrypt لكلمات المرور). وتذكر النشرة الإصدارات من 5.88.12 إلى 5.88.19.

ماذا تفعل الآن

1. حدّث كل خادم بالأمر cpgcli update --start ثم تحقق بالأمر cpgcli --version: تشترط OPSSHIELD الإصدار 5.88.25 على الأقل، ويلغي الإصدار 5.88.26 أيضًا وصول الدعم الخاص بها.
2. افحص سجل التحديثات بالأمر grep 'Successfully updated' /opt/cpguard/logs/install_log. فوجود إصدار بين 5.88.12 و5.88.19، أو تشغيل cPGuard خلال النافذة، يعني معاملة الخادم على أنه مخترق.
3. ابحث واحذف /var/tmp/.cpg91511_sh و/var/tmp/.cpg91511/ و/etc/cron.d/i93677 و/var/tmp/.i93677/، وابحث في السجلات عن عنوان IP التالي: 94.183.188.91.
4. غيّر كلمة مرور root وكلمات مرور جميع الحسابات المحلية، وكل كلمة مرور أُعيد استخدامها في مكان آخر.
5. استبدل مفاتيح SSH الخاصة بـ root، واحذف المفاتيح العامة القديمة من كل الخوادم التي كانت تثق بها، وراجع authorized_keys.
6. جدّد كلمات مرور MySQL وقواعد البيانات ومفاتيح S3 وأي رمز أو كلمة مرور وردت في سجل أوامر root.
7. غيّر كلمة مرور بوابة OPSSHIELD وفعّل المصادقة الثنائية، حتى لو لم تتعرض خوادمك.
8. إذا وجدت آثار دخول يدوي، أعد بناء الخادم من نسخة احتياطية سابقة لـ 1 نوفمبر.

رأينا

وكيل الأمن الذي يحدّث نفسه بصلاحيات root طريق مباشر إلى كل خادم يحميه: فتصبح البنية التحتية لمطوّره جزءًا من سطح الهجوم لديك. احتفظ بجرد لهذه الوكلاء، واعرف مصدر تحديثاتها، ولا تترك أسرارًا في سجل الأوامر أو في ملفات root يمكن لسكربت واحد أن يجمعها.

المصادر

• OPSSHIELD — cPGuard security advisory: update channel compromise
• OPSSHIELD — Security incident disclosure
• OPSSHIELD — cPGuard changelog
• The Hacker News — cPGuard Update Channel Hijacked to Backdoor Linux Servers and Collect Password Hashes

كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←