发生了什么
- cPGuard 的开发商 OpsShield 于2026年11月3日发出警报：攻击者利用该产品的更新通道分发了一个恶意脚本。BleepingComputer 当天对此作了报道。
- 据该公司称，攻击始于11月2日 UTC 02:06，当时有人利用被盗凭据进入了 OpsShield 的更新分发基础设施（CDN）。
- 受影响的版本为5.88.12至5.88.19。OpsShield 称，它在12小时内发现了攻击并停止了分发。
- 一名发言人对 BleepingComputer 表示，有2,946台服务器受到影响，公司计费系统的数据库也被复制。
为什么重要
- cPGuard 是一套面向 Linux 网站服务器的安全套件，具备恶意软件扫描、防火墙和攻击防护功能。托管服务商和服务器管理员把它与 cPanel、DirectAdmin 和 Plesk 等面板搭配使用，Namecheap 也在其虚拟服务器和独立服务器上提供它。
- 换句话说，为保护服务器而安装的工具，恰恰让服务器暴露了出来。
- 该脚本从每台机器上窃取敏感数据，并通过一个被入侵的账户上传到 OpsShield 的许可证服务器，攻击者再从那里取走。
关键数字
32。 这是攻击者从每台服务器上取走的文件数量，依据 OpsShield 调查所得的证据。
背景
目前尚不清楚发动攻击的凭据是如何获得的。OpsShield 提醒，有些服务器可能没有收到该脚本，因为更新检查按固定间隔进行，但它无法确认这一点。公司称，更新到最新版本即可移除后门和攻击者暂存的文件，不过被盗的凭据必须尽快作废。作为额外的预防措施，它将发布一个更新，移除之前安装的 OpsShield 支持访问密钥。
Mamífero 持续关注服务器软件中的缺陷。我们报道过：PHP 修复了两个停滞两年的远程执行漏洞；SGLang 暴露了无需密钥的远程代码执行；UpGuard 发现16,326个开放的 Supabase 数据库；勒索软件团伙利用了 GlobalProtect 漏洞。
接下来
- OpsShield 要求把每台运行 cPGuard 的服务器更新到5.88.25或更高版本。
- 它还建议更改密码，并轮换数据库凭据、云密钥和 SSH 密钥。
- 该公司称，正在着手阻断访问、重建受影响的系统并准备公开声明。
一句话总结
cPGuard 攻击重演了一种熟悉的供应链模式：谁控制更新，谁就控制信任这些更新的机器。12个小时，就足以波及近3,000台服务器。
来源
- BleepingComputer，“Hackers hijack cPGuard autoupdate to deploy backdoor, steal data”，2026年11月3日，bleepingcomputer.com。该文转述了 OpsShield 的警报和公司发言人的说法。
- 封面图片：David Monniaux，CC BY-SA 3.0，来自 Wikimedia Commons
编辑：Rodrigo Cornejo。我们如何挑选和核实：谁在写这些笔记。