OPSSHIELD, pengembang perangkat keamanan server hosting cPGuard, mengonfirmasi bahwa penyerang menyusup ke jaringan distribusi pembaruannya pada 2 November 2026 sekitar pukul 02.06 UTC. Dengan kredensial yang dicuri, pelaku mendorong versi cPGuard 5.88.12 sampai 5.88.19 yang sudah disisipi backdoor dan skrip pencuri data lewat kanal pembaruan otomatis resmi. Vendor menyebut distribusi itu terdeteksi dan dihentikan dalam sekitar 12 jam.
Apa yang diambil dan seberapa luas dampaknya
Menurut advisori OPSSHIELD, skrip berbahaya mengumpulkan berkas autentikasi sistem Linux, konfigurasi root MariaDB atau MySQL, riwayat shell root, serta berkas otorisasi dan known_hosts SSH milik root. BleepingComputer mengutip juru bicara OPSSHIELD yang menyebut sekitar 2.946 server terdampak, dan salinan database sistem penagihan vendor ikut diambil. Advisori vendor sendiri lebih hati-hati: bukti awal menunjukkan 32 berkas hasil kumpulan dari server OPSSHIELD, dan angka itu disebut perkiraan awal, bukan jumlah total korban. Vendor juga belum memastikan berkas mana yang berhasil diambil dari tiap server. Pelaku belum diketahui, dan cara mereka memperoleh kredensial distribusi belum dikonfirmasi.
Bagi pengelola hosting di Indonesia, risikonya nyata karena cPGuard banyak dipasang di server cPanel yang melayani puluhan situs sekaligus. Satu kunci SSH root atau kata sandi database root yang bocor membuka akses ke semua situs di server itu. Pola serupa, yakni kredensial curian yang tetap berlaku setelah celah ditutup, juga kami bahas di laporan soal pencurian token alat AI.
Langkah yang perlu diambil admin server
Versi bersih adalah 5.88.25 atau lebih baru, dan pembaruan ini menghapus backdoor serta berkas yang disiapkan skrip. OPSSHIELD meminta admin menjalankan pembaruan lewat alat baris perintah cPGuard, lalu memeriksa versi terpasang. Periksa juga log instalasi cPGuard: jika pernah tercatat pembaruan sukses ke versi 5.88.12 sampai 5.88.19, anggap server berpotensi terkompromi walau sekarang sudah diperbarui.
Pada server yang berpotensi terkompromi, vendor meminta admin mereset kata sandi root dan semua akun Linux lokal yang bisa login dengan kata sandi, dari lingkungan pemulihan yang tepercaya. Setelah itu rotasi kata sandi database, kunci akses S3, token DigitalOcean, dan rahasia lain yang pernah muncul di riwayat shell root. Ganti pula kunci privat SSH milik root dan hapus kunci publik lama dari semua sistem yang mempercayainya. Memperbarui saja tidak cukup, sebab kredensial yang sudah terambil tetap bisa dipakai penyerang.
Yang masih belum jelas
OPSSHIELD saat ini tidak menyarankan instal ulang server secara rutin, tetapi menyebut penilaian itu bersifat sementara. Bila integritas server tidak bisa dipastikan, hubungi dukungan vendor. OPSSHIELD juga mencabut kunci akses dukungan miliknya di server pelanggan sebagai langkah pencegahan. Pantau pembaruan insiden di situs vendor, karena angka korban dan daftar data terdampak masih bisa berubah.
Sumber: BleepingComputer, advisori OPSSHIELD. Gambar: BleepingComputer.