Des attaquants ont compromis l’infrastructure de mise à jour de cPGuard d’OpsShield et l’ont utilisée pour diffuser une porte dérobée et un script de vol de données, a déclaré l’entreprise. L’incident a commencé le 2 novembre 2026 à 02:06 UTC et a touché les versions 5.88.12 à 5.88.19. OpsShield a indiqué avoir détecté l’intrusion et interrompu la diffusion malveillante dans les 12 heures suivant la mise en ligne des mises à jour compromises.
L’attaquant a accédé au réseau de distribution de contenu de l’entreprise à l’aide d’identifiants légitimes. OpsShield n’a pas déterminé comment ces identifiants ont été obtenus. Les serveurs qui ont recherché des mises à jour pendant la période concernée ont pu recevoir un script conçu pour collecter les hachages de mots de passe Linux, la configuration des bases de données, l’historique du shell root ainsi que les fichiers d’autorisation SSH et des hôtes connus.
Les informations volées ont été téléversées sur le serveur de licences d’OpsShield par l’intermédiaire d’un compte compromis. L’entreprise a déclaré que son enquête avait mis au jour des preuves indiquant que l’attaquant avait récupéré 32 fichiers auprès de chaque client, mais qu’elle n’avait pas établi quelles informations avaient été collectées sur chaque serveur. OpsShield a indiqué à BleepingComputer que 2 946 serveurs avaient été touchés et que la base de données de son système de facturation avait également été copiée.
OpsShield conseille aux administrateurs de mettre à jour cPGuard vers la version 5.88.25 ou une version ultérieure, de réinitialiser les mots de passe et de renouveler les identifiants de base de données, les secrets cloud et les clés SSH qui ont pu être exposés. L’éditeur affirme que la mise à jour supprime la porte dérobée et les fichiers déposés, mais avertit que les identifiants potentiellement volés doivent également être invalidés. Il prévoit de publier une autre mise à jour pour supprimer les clés d’accès au support d’OpsShield installées précédemment.
Sources: BleepingComputer.