Penyerang membajak kanal pembaruan cPGuard, suite keamanan untuk server web Linux buatan OpsShield, lalu memakainya untuk menyebar backdoor dan skrip pencuri data. OpsShield menyatakan serangan dimulai pada 2 November 2026 pukul 02:06 UTC, setelah penyerang masuk ke jaringan distribusi pembaruan (CDN) perusahaan memakai kredensial yang berhasil mereka kuasai. Bagaimana kredensial itu bocor belum dijelaskan. Kasus ini dilaporkan BleepingComputer pada 3 November.
Versi terdampak dan data yang dicuri
Versi cPGuard 5.88.12 sampai 5.88.19 membawa muatan berbahaya. OpsShield mengaku mendeteksi masalah ini dalam 12 jam setelah pembaruan berbahaya didorong, lalu menghentikan distribusinya. Server yang menarik pembaruan dalam jendela itu menerima skrip yang mengumpulkan berkas /etc/shadow dan /etc/passwd, konfigurasi root MariaDB atau MySQL, riwayat shell root, serta berkas otorisasi SSH dan known_hosts milik root. Hasilnya diunggah ke server lisensi OpsShield lewat akun yang sudah dikuasai penyerang.
Soal skala, advisori OpsShield menyebut 32 berkas hasil kumpulan data sudah terkonfirmasi diambil, masing-masing mewakili satu server pelanggan, dan menegaskan angka itu bukan jumlah total server terdampak. Seorang juru bicara OpsShield kepada BleepingComputer menyebut 2.946 server terdampak serta basis data penagihan perusahaan ikut disalin. Dua angka itu berasal dari pernyataan vendor dan investigasinya masih berjalan. Tidak ada nomor CVE untuk insiden ini, karena yang dibobol adalah infrastruktur distribusi, bukan celah di kode.
Langkah yang perlu diambil administrator
OpsShield meminta semua server cPGuard diperbarui ke versi 5.88.25 atau lebih baru, yang menghapus backdoor dan berkas yang sempat dipasang. Untuk memeriksa apakah server pernah terdampak, lihat berkas /opt/cpguard/logs/install_log dan cari entri pembaruan ke versi 5.88.12 sampai 5.88.19. Server dengan entri itu dianggap terdampak meski kini sudah diperbarui. Log yang hilang atau hasil pencarian yang kosong belum membuktikan server aman.
Bila skrip sempat atau mungkin berjalan, vendor menyarankan beberapa hal. Reset kata sandi root dan akun Linux lokal yang bisa login dengan kata sandi, dari lingkungan pemulihan yang tepercaya. Rotasi kata sandi database, access key S3, token layanan cloud, dan rahasia apa pun yang pernah tercatat di riwayat shell root. Ganti kunci privat SSH di /root/.ssh dan cabut kunci publik lamanya dari semua sistem yang mempercayainya. Hash kata sandi tidak bisa dipakai langsung untuk login, tetapi kata sandi yang lemah atau pernah bocor lebih mudah dipecahkan secara offline. OpsShield saat ini tidak menyarankan instal ulang server secara rutin, dan menyebut penilaian itu sementara.
Dampak bagi pengelola hosting dan server Linux
Pola ini mirip kasus ekstensi Claude Code palsu di marketplace Cursor: alat yang dipasang untuk melindungi justru menjadi pintu masuk. Bedanya, di sini yang terkena adalah akses root, sehingga pengelola hosting dan administrator server Linux yang memakai cPGuard perlu memeriksa log pembaruan hari ini, bukan menunggu pengumuman lanjutan. Pantau juga halaman advisori OpsShield, karena vendor menyebut cakupan dampak masih diverifikasi.
Sumber: advisori OpsShield dan BleepingComputer. Gambar: BleepingComputer.