Linux sunucularını korumak için kullanılan cPGuard güvenlik yazılımının güncelleme altyapısı saldırganlar tarafından ele geçirilirken, kötü amaçlı kod aracılığıyla hassas veriler toplandı. OpsShield, saldırının 2 Kasım 2026 saat 02.06 UTC’ başladığını cPGuard’ın 5.88.12 5.88.19 arasındaki sürümlerini etkilediğini açıkladı. Şirket, zararlı dağıtımı 12 saat içinde durdurduğunu bildirirken olaydan 2.946 sunucunun etkilendiğini faturalandırma sistemine ait verilerin kopyalandığını duyurdu.
Saldırganlar cPGuard Güncelleme Kanalına Nasıl Sızdı?OpsShield’ın açıklamasına göre saldırganlar, şirketin içerik dağıtım ağına (CDN) ele geçirilmiş geçerli kimlik bilgileriyle erişti. Yetkisiz erişimin hangi yöntemle sağlandığı henüz belirlenemezken saldırganlar, cPGuard’ın resmi güncelleme kanalını kullanarak kötü amaçlı betiği kullanıcılara ulaştırdı.
Linux web sunucularını zararlı yazılımlara, ağ saldırılarına güvenlik tehditlerine karşı koruyan cPGuard; hosting şirketleriyle sunucu yöneticileri tarafından yaygın biçimde kullanılıyor. Yazılım, cPanel, DirectAdmin Plesk gibi kontrol panelleriyle birlikte çalışabiliyor. Namecheap ürünü VPS özel sunucu hizmetlerinde sunuyor.
Saldırı sırasında güncelleme yapan sistemler, sunuculardaki hassas bilgilere erişmeyi hedefleyen zararlı kodu. OpsShield, güncelleme kontrollerinin belirli aralıklarla çalışması nedeniyle bazı sunucuların betiği hiç indirmemiş veya çalıştırmamış olabileceğini belirtti. Şirket, her sunucudaki veri kaybının kapsamını henüz kesinleştiremedi.
Saldırıda kullanılan betik, sunuculardaki kimlik doğrulama bilgilerini sistem yöneticilerinin faaliyetleriyle ilgili dosyaları hedef. Toplanan veriler, saldırganların daha sonra başka sistemlere erişmesini kolaylaştırabilecek kritik bilgileri içeriyordu.
Hedef alınan veriler arasında şunlar bulunuyor:
- Linux kullanıcılarına ait parola özetleri (password hashes).
- MariaDB MySQL veritabanlarının root yapılandırma bilgileri.
- Root hesabının kabuk geçmişi.
- SSH yetkilendirme dosyaları bilinen sunucu kayıtları.
- Sunucu ortamında saklanan erişim yetkisi sağlayabilecek hassas bilgiler.
Saldırganlar, ele geçirilen verileri OpsShield’ın lisans sunucusuna yükledi. Şirketin açıklamasına göre tehdit aktörü, daha sonra ele geçirilmiş hesap üzerinden verilere erişti. İnceleme sırasında saldırganların her müşteriden 32 dosya aldığına ilişkin kanıtlar elde edildi; ancak dosyaların içeriği her sunucudan hangi bilgilerin toplandığına dair kapsamlı analiz henüz tamamlanmadı.
OpsShield temsilcisi, BleepingComputer’a yaptığı açıklamada saldırının 2.946 sunucuyu etkilediğini doğruladı. Temsilci ayrıca şirketin faturalandırma sistemi veritabanının kopyalandığını belirtti. Şirket, erişimleri engellemek, etkilenen sistemleri yeniden kurmak kamuoyuna kapsamlı açıklama hazırlamak için çalışmalarını sürdürüyor.
cPGuard Kullanıcıları Hangi Güvenlik Önlemlerini Almalı?OpsShield, etkilenen olabilecek tüm sunucularda cPGuard sürümünün 5.88.25 veya daha yeni sürüme yükseltilmesini öneriyor. Şirkete göre güncel sürüm, arka kapıyı saldırı sırasında bırakılan dosyaları kaldırıyor. Ancak yazılımı güncellemek, saldırganların daha önce kopyalamış olabileceği bilgileri geçersiz kılmıyor.
Sunucu yöneticilerinin olası veri sızıntısının etkilerini azaltmak için adımları uygulaması gerekiyor:
- Sunucularda kullanılan cPGuard sürümünü kontrol ederek 5.88.25 veya üzerindeki sürüme geçmek.
- Etkilenmiş olabilecek sistemlerdeki kullanıcı parolalarını değiştirmek.
- MariaDB MySQL veritabanı kimlik bilgilerini yenilemek.
- SSH anahtarlarını bulut ortamlarında kullanılan gizli erişim bilgilerini (cloud secrets) değiştirmek.
- Sunucu günlüklerini erişim kayıtlarını inceleyerek olağan dışı bağlantıları araştırmak.
OpsShield, ek önlem olarak daha önce yüklenmiş olan şirket destek erişim anahtarlarını kaldıracak güncelleme yayınlayacağını açıkladı. Yöneticilerin yalnızca yazılım güncellemesine güvenmek yerine ele geçirilmiş olabilecek tüm kimlik bilgilerini geçersiz kılması gerekiyor.
Olay, yazılım güncelleme altyapısına duyulan güvenin saldırganlar tarafından kötüye kullanılmasının hosting ortamlarında ne kadar geniş sonuçlar doğurabileceğini gösteriyor. Resmî dağıtım kanalından gelen güncellemeler saldırganların erişimi ele geçirmesi durumunda zararlı kod taşıyabildiğinden, sunucu yöneticilerinin güncel sürümleri kullanması kimlik bilgilerini düzenli olarak yenilemesi önem taşıyor.
