Qué pasó
- OpsShield, el desarrollador de cPGuard, publicó el 3 de noviembre de 2026 una alerta: un atacante usó el canal de actualizaciones del producto para distribuir un script malicioso. BleepingComputer lo reportó ese día.
- Según la empresa, el ataque empezó el 2 de noviembre a las 02:06 UTC, cuando alguien usó credenciales comprometidas para entrar a la infraestructura de distribución de actualizaciones (CDN) de OpsShield.
- Las versiones afectadas van de la 5.88.12 a la 5.88.19. OpsShield dice que detectó el ataque y frenó la distribución en menos de 12 horas.
- Un vocero dijo a BleepingComputer que 2.946 servidores resultaron afectados y que también se copió la base de datos del sistema de facturación de la empresa.
Por qué importa
- cPGuard es un paquete de seguridad para servidores web Linux, con escaneo de malware, cortafuegos y protección contra ataques. Lo usan empresas de hosting y administradores de servidores junto a paneles como cPanel, DirectAdmin y Plesk, y Namecheap lo ofrece en servidores virtuales y dedicados.
- Es decir, la herramienta instalada para proteger servidores fue la que los expuso.
- El script robaba datos sensibles de cada máquina y los subía al servidor de licencias de OpsShield a través de una cuenta comprometida, desde donde los atacantes los recuperaban.
El dato
32. Es la cantidad de archivos que el atacante recuperó de cada servidor, según la evidencia de la investigación de OpsShield.
Contexto
No está claro cómo se obtuvieron las credenciales con que comenzó el ataque. OpsShield advirtió que algunos servidores pueden no haber recibido el script, porque las comprobaciones de actualización ocurren a intervalos fijos, pero no pudo confirmarlo. La empresa dice que actualizar a la versión más reciente elimina la puerta trasera y los archivos preparados por el atacante, aunque las credenciales robadas deben invalidarse cuanto antes. Como precaución adicional, publicará una actualización que retira las claves de acceso de soporte de OpsShield instaladas antes.
En Mamífero seguimos las fallas en software de servidores. Contamos que PHP corrigió dos fallas de ejecución remota que llevaban dos años estancadas y que SGLang expuso ejecución remota de código sin autenticación. También que UpGuard halló 16.326 bases de Supabase abiertas y que operadores de ransomware explotaron una falla de GlobalProtect.
Qué viene
- OpsShield pide actualizar cada servidor con cPGuard a la versión 5.88.25 o posterior.
- También recomienda cambiar contraseñas y rotar credenciales de bases de datos, secretos de nube y claves SSH.
- La empresa dijo que trabaja en bloquear accesos, reconstruir los sistemas afectados y preparar un anuncio público.
Cierre
El ataque a cPGuard repite un patrón conocido de la cadena de suministro: quien controla las actualizaciones controla las máquinas que confían en ellas. Doce horas bastaron para llegar a casi 3.000 servidores.
Fuentes
- BleepingComputer, “Hackers hijack cPGuard autoupdate to deploy backdoor, steal data”, 3 de noviembre de 2026, bleepingcomputer.com. Reproduce la alerta de OpsShield y declaraciones de un vocero de la empresa.
- Imagen de portada: David Monniaux, CC BY-SA 3.0, vía Wikimedia Commons
Editado por Rodrigo Cornejo. Quiénes escriben las notas
