ハッカーがcPGuardのアップデートを汚染、約3,000台のサーバーに侵入

攻撃者は、信頼されていたセキュリティアップデートを利用して約3,000台のLinuxサーバーを侵害した。悪意のあるコードはroot権限で実行され、ホスティング環境全体で機密性の高い認証情報が流出した可能性がある。

2026年11月2日、cPGuardを実行していた約2,950台のサーバーで汚染されたアップデートが実行された。攻撃者が開発元OPSSHIELDのアップデート基盤に侵入したためだ。cPGuardのサプライチェーン攻撃では、機密ファイルが収集され、隠されたrootシェルがインストールされた。被害を受けた管理者は、当初の侵害にとどまらないリスクに直面している。

Cobaltの副社長兼最高情報セキュリティ責任者（CISO）であるAndrew Obadiaru氏は、自動アップデート機能を備えた特権付きセキュリティエージェントがあれば、1つの侵害された認証情報から顧客環境全体へのアクセスを許してしまう可能性があると警告した。OPSSHIELDのインシデント開示では、個人情報とbcryptでハッシュ化されたパスワードを含む約7,900件の請求アカウント記録が流出したことも確認された。

攻撃者はいかにしてcPGuardのアップデートを乗っ取ったのか

11月1日、攻撃者はトライアルアカウントを登録し、cPGuardのライセンス関連の通信を調査した。その後、OPSSHIELDの請求ポータルに細工したリクエストを送信し、請求・ライセンスサーバー上で不正なコマンドを実行できる状態にした。

攻撃者はアップデート保管用のキーを入手し、バージョン5.88.12から5.88.19までの悪意のあるバージョンを配布した。汚染されたアップデートは11月2日の02:08から03:20（UTC）に配布され、侵害されたソフトウェア公開パイプラインで見られたものと同様のリスクを露呈した。

このスクリプトは、Linuxのパスワードハッシュ、rootのSSHキー、存在する場合はデータベース認証情報、さらに追加の秘密情報が含まれている可能性のあるシェル履歴を収集した。一部のサーバーではクラウドストレージの認証情報も標的となっており、別件のTerraformモジュールレジストリの侵害と類似している。

収集したデータは、後で取得できるようOPSSHIELDのライセンス基盤にアップロードされた。このスクリプトは、隠されたrootシェルを/var/tmp/.cpg91511_sh.

同社の初回セキュリティ勧告では、攻撃者が収集したファイル32個を取得したとOPSSHIELDは推定している。各ファイルは異なる顧客サーバーに関連付けられていた。この予備的な推定からは、影響を受けた約2,950台のサーバー全体でデータが盗まれた範囲を確定することはできない。

認証情報の流出にはパッチ適用だけでは不十分

OPSSHIELDは修正アップデートをリリースしたが、以前に盗まれた認証情報は引き続き使用できる可能性がある。バージョン5.88.25で修正措置が導入され、その後バージョン5.88.26と追加のクリーンアップが実施された。別件のSiteGuard WAFの悪用インシデントでも強調されたように、証拠の保全も重要だ。

組織は、以下の対策を優先すべきだ。

• 影響を受けたインストールを特定する。バージョン5.88.12から5.88.19までを確認し、/opt/cpguard/logs/install_logクリーンな現行バージョンであっても、過去に侵害されていないことの証明にはならない。
• 影響を受けたサーバーを封じ込め、アップデートする。証拠を保全し、不要な接続を制限したうえで、信頼できる最新リリースをインストールし、悪意のあるアーティファクトが除去されたことを確認する。
• 不正アクセスを調査する。管理者アカウント、SSHの信頼関係、スケジュールタスク、認証ログ、接続されたシステムを調べ、永続化やラテラルムーブメントの痕跡がないか確認する。
• 流出した認証情報をローテーションする。Linuxとデータベースのパスワードをリセットし、侵害されたSSHキーを交換し、流出したクラウドトークンを失効させ、古い信頼済み公開キーを削除する。OPSSHIELDの請求アカウントのパスワードもリセットし、多要素認証を有効にする。
• サードパーティーのアクセス制御を強化する。特権付きセキュリティエージェントを一覧化し、アップデートの仕組みを見直し、不要な常時アクセスを削除し、監視を強化する。
• インシデント対応計画をテストする。侵害されたアップデートと認証情報の窃取を想定したシミュレーションを行い、封じ込め、調査、認証情報のローテーション、復旧の有効性を検証する。

OPSSHIELDは、攻撃者による対話的なアクセスを確認した場合、11月1日より前のクリーンなバックアップから再構築することを推奨している。完全性を確認できない他のシステムについても、再構築が必要になる可能性がある。

同社は、侵害された認証情報を失効させ、影響を受けたインフラの再構築を開始したとしている。調査担当者は、データ窃取の全容と、その後に発生した可能性のある侵入を引き続き調査している。流出した可能性のある認証情報は、今もセキュリティ上の懸念となっている。

詳しくはこちら：「PaperCutサーバーの侵害は、攻撃者が特権付きエンタープライズアプリケーションを利用して認証情報や接続されたシステムに到達できることを示している。