重要ポイント
- 何が起きたか: cPanel などの Linux サーバー向けセキュリティ製品 cPGuard の更新配布基盤が侵害され、悪意あるスクリプトが更新チャネルから配られました(2026年11月2日)。
- 影響を受けるバージョン: cPGuard 5.88.12〜5.88.19。修正版は 5.88.25 以降です。
- 被害の内容: バックドアの設置と、
/etc/shadow・root の SSH 鍵・MariaDB/MySQL の設定などの収集が確認されています。ベンダーは実際に32ファイルの持ち出しを確認しています。 - 対処: 更新したうえで、対象の更新を受けたサーバーは侵害されたものとして、パスワードや鍵を入れ替えます。
- 公開日: OPSSHIELD の勧告は2026年11月3日。CVE 番号は付いていません。
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| cPGuard(OPSSHIELD) | 5.88.12〜5.88.19 | 5.88.25 以降 |
対処: 全サーバーで cpgcli update --start を実行し、cpgcli --version が 5.88.25 以降であることを確かめます。更新だけでは、すでにコピーされた認証情報は守れません。
確認: grep 'Successfully updated' /opt/cpguard/logs/install_log に 5.88.12〜5.88.19 の記録があれば、対象の更新を入れています。記録がなくても、ログが欠けていれば影響なしとは言い切れません。
概要
2026年11月2日(UTC 2時ごろ)、攻撃者が侵害した認証情報で OPSSHIELD の更新配布基盤に入り、cPGuard の更新チャネルから悪意あるスクリプトを配布しました。ベンダーは約12時間以内に侵害を検知しています。cPGuard を使っている方は、更新に加えて、認証情報と鍵の入れ替えが必要です。
影響と対処
影響を受けるもの
cPGuard 5.88.12〜5.88.19 を、11月2日前後に更新で受け取ったサーバーです。それ以前のバージョンのままのサーバーは、このスクリプトを受け取っていません。
どんな問題か
正規の更新の仕組みを経由して、サーバー上でバックドアのシェルを作り、認証情報などを集めて持ち出すスクリプトが配られました。集められる対象は /etc/shadow と /etc/passwd、root の MariaDB/MySQL 設定(my.cnf)、root のシェル履歴、root の SSH 認可鍵と known_hosts です。パスワードはハッシュですが、単純なものは解読されるおそれがあります。ベンダーによると、現時点でほかの悪意ある活動は確認されていませんが、未検知の活動は否定できません。
対処方法
- cPGuard を 5.88.25 以降に更新する(
cpgcli update --start) - 対象の更新を受けたサーバーは侵害されたものとして、信頼できる環境から root とパスワード認証のローカルアカウントのパスワードを変更する(使い回しも)
- DB のパスワード、S3 のアクセスキー、クラウドのトークン、シェル履歴に残った秘密情報を入れ替える
/root/.sshの秘密鍵を作り直し、古い公開鍵を信頼している全システムから削除する- ベンダーは、現時点で OS の再構築を標準では勧めていません。ただし、侵害の痕跡が見つかるときや確信が持てないときは、サポートに個別の確認を依頼します
確認方法
次のファイルの有無を確認します(侵害指標)。cpguard-v58812-i91511.sh、/var/tmp/.cpg91511_sh、/var/tmp/.cpg91511/。修正の更新でこれらは削除されるため、なくても実行されていなかった証明にはなりません。
対応チェックリスト
- cPGuard を使っているサーバーを洗い出し、バージョンを確認する
- 5.88.25 以降へ更新する
- 更新ログに 5.88.12〜5.88.19 があるサーバーは、パスワード・DB・クラウドの鍵・SSH 鍵を入れ替える
- 侵害指標のファイルと、不審なログインがないかを確認する
出典
- cPGuard Update Channel Compromise(OPSSHIELD、2026年11月3日)
- cPGuard Update Channel Hijacked to Backdoor Linux Servers and Collect Password Hashes(The Hacker News、2026年11月3日)
