何が起きたか
- cPGuardの開発元であるOpsShieldは2026年11月3日、攻撃者が同製品の更新チャネルを使って悪意あるスクリプトを配布したと警告を出した。BleepingComputerが同日に報じた。
- 同社によると、攻撃は11月2日のUTC 02:06に始まった。何者かが侵害された認証情報を使い、OpsShieldの更新配信インフラ（CDN）に入り込んだ。
- 影響を受けたバージョンは5.88.12から5.88.19。OpsShieldは、12時間以内に攻撃を検知し、配信を止めたとしている。
- 広報担当者はBleepingComputerに、2,946台のサーバーが影響を受け、同社の課金システムのデータベースもコピーされたと語った。
なぜ重要か
- cPGuardはLinuxのウェブサーバー向けセキュリティスイートで、マルウェアスキャン、ファイアウォール、攻撃対策を備える。ホスティング会社やサーバー管理者が、cPanel、DirectAdmin、Pleskなどのパネルとあわせて使っており、Namecheapも仮想サーバーと専用サーバーで提供している。
- つまり、サーバーを守るために入れたツールが、サーバーをさらしたことになる。
- スクリプトは各マシンから機密データを盗み、侵害されたアカウントを通じてOpsShieldのライセンスサーバーにアップロードした。攻撃者はそこからデータを回収した。
数字で見る
32。 OpsShieldの調査で得られた証拠によると、攻撃者が各サーバーから回収したファイルの数だ。
背景
攻撃の発端となった認証情報がどう入手されたかは分かっていない。OpsShieldは、更新確認が決まった間隔で行われるため、スクリプトを受け取らなかったサーバーもあるかもしれないと注意を促したが、確認はできていない。同社は、最新バージョンに更新すればバックドアと攻撃者が置いたファイルが除去されるとしているが、盗まれた認証情報はできるだけ早く無効にしなければならない。念のための追加措置として、以前にインストールしたOpsShieldのサポート用アクセスキーを除去するアップデートを公開する予定だ。
Mamíferoはサーバーソフトウェアの欠陥を追っている。これまでにPHPが2年間止まっていた2件のリモート実行の欠陥を修正したこと、SGLangがキーなしのリモートコード実行を露呈したことを報じた。また、UpGuardが16,326件の公開状態のSupabaseデータベースを見つけたこと、ランサムウェアの運用者がGlobalProtectの欠陥を悪用したことも報じている。
今後
- OpsShieldは、cPGuardを動かすすべてのサーバーをバージョン5.88.25以降に更新するよう求めている。
- パスワードの変更と、データベースの認証情報、クラウドのシークレット、SSH鍵のローテーションも勧めている。
- 同社は、アクセスの遮断、影響を受けたシステムの再構築、公式発表の準備を進めているという。
まとめ
cPGuardの攻撃は、おなじみのサプライチェーンの型を繰り返した。更新を握る者が、その更新を信頼するマシンを握る。12時間で、3,000台近いサーバーに届くには十分だった。
出典
- BleepingComputer、「Hackers hijack cPGuard autoupdate to deploy backdoor, steal data」、2026年11月3日、bleepingcomputer.com。OpsShieldの警告と、同社の広報担当者の発言を転載している。
- カバー画像：David Monniaux、CC BY-SA 3.0、Wikimedia Commonsより
編集：Rodrigo Cornejo。選定と検証の方法：ノートを書いているのは誰か。