Los hackers secuestraron la herramienta de seguridad para servidores Linux cPGuard y la utilizaron como puerta trasera.

Un atacante no identificado comprometió el canal de actualización de cPGuard, una herramienta de seguridad utilizada en servidores de alojamiento Linux, para distribuir un script malicioso que instaló una puerta trasera y recopiló archivos confidenciales. OPSSHIELD confirmó que el atacante recuperó algunos datos robados e instó a los administradores a instalar la versión 5.88.25 o posterior de inmediato.

Según el aviso de seguridad de OPSSHIELD, la brecha comenzó el 2 de noviembre de 2026 a las 02:06 UTC. El atacante utilizó credenciales comprometidas para acceder a la infraestructura de distribución de actualizaciones (CDN) de la empresa. Se está investigando cómo se obtuvieron dichas credenciales.

Ataque a la cadena de suministro de cPGuard

El atacante distribuyó el script a través de las versiones de cPGuard de la 5.88.12 a la 5.88.19. OPSSHIELD detectó el ataque en las 12 horas posteriores a la disponibilidad de las actualizaciones afectadas, protegió la cuenta comprometida, eliminó las credenciales de la infraestructura y detuvo la distribución. Dado que los servidores buscan actualizaciones periódicamente, es posible que algunos no hayan ejecutado el script malicioso.

El ataque convirtió una actualización de seguridad confiable en una vía para la distribución de malware. La cobertura de Cybersecuritynews sobre flujos de trabajo de Terraform comprometidos muestra otra forma en que los atacantes han utilizado procesos de software confiables para instalar puertas traseras. El incidente de cPGuard implicó específicamente el robo de acceso a la infraestructura de distribución del proveedor.