Sicherheitswarnungen · 3. November 2026
cPGuard: Manipuliertes Update hat Linux-Webserver mit Hintertür versehen
Über den offiziellen Update-Kanal der Serverschutz-Software cPGuard wurde am 2. November ein Schadskript verteilt. Es sammelte Kennwort-Hashes und SSH-Schlüssel und richtete eine Hintertür ein.
Worum es geht
OpsShield cPGuard (Sicherheitssoftware für Linux-Webserver mit cPanel oder DirectAdmin)
cPGuard ist eine Sicherheitssoftware von OpsShield, die Linux-Webserver vor Schadsoftware und Angriffen schützen soll. Sie wird vor allem von Webhostern und Administratoren eingesetzt, die Server mit cPanel oder DirectAdmin betreiben. Der Hersteller hat selbst bekannt gegeben, dass Unbekannte mit gestohlenen Zugangsdaten in seine Update-Verteilung eingedrungen sind.
Ab dem 2. November um 02:06 Uhr (UTC) erhielten Server bei der automatischen Aktualisierung ein manipuliertes Skript. Es las nach Angaben von OpsShield unter anderem die Kennwort-Hashes der Linux-Benutzer, die Datenbank-Zugangsdaten des Administrators, dessen Befehlsverlauf und die SSH-Schlüsseldateien aus und legte eine Hintertür an. Die gesammelten Daten landeten auf einem Server des Herstellers, von dem die Angreifer einen Teil abgeholt haben.
OpsShield hat die Verteilung nach eigenen Angaben innerhalb von zwölf Stunden gestoppt und am 3. November eine bereinigte Version veröffentlicht. Betroffen sind alle Server, die zwischenzeitlich eine der Versionen 5.88.12 bis 5.88.19 installiert haben. Der Hersteller rät, diese Server als möglicherweise kompromittiert zu behandeln, auch wenn sie inzwischen eine neuere Version haben.
Betroffen
- Server, auf denen cPGuard 5.88.12 bis 5.88.19 installiert war
Behoben
- cPGuard 5.88.25 oder neuer (entfernt die bekannte Hintertür)
Was jetzt zu tun ist
Die nächsten Schritte.
- 01
Prüfen oder beim Webhoster bzw. IT-Dienstleister nachfragen, ob auf Ihren Servern cPGuard läuft.
- 02
Falls ja: cPGuard auf allen Servern auf Version 5.88.25 oder neuer aktualisieren und die Version kontrollieren.
- 03
Im Installationsprotokoll von cPGuard nachsehen, ob eine der Versionen 5.88.12 bis 5.88.19 installiert wurde, wie in der Herstellermitteilung beschrieben.
- 04
Wenn ja oder wenn das Protokoll unklar ist: die Kennwörter von root und allen anderen Linux-Konten ändern, ebenso mehrfach verwendete Kennwörter auf anderen Systemen.
- 05
Datenbank-Kennwörter, Cloud-Zugangsschlüssel und andere Geheimnisse aus dem Befehlsverlauf erneuern.
- 06
Die SSH-Schlüssel des Administrators ersetzen und die alten öffentlichen Schlüssel auf allen Systemen entfernen, die ihnen vertrauen.
Unterstützung
Unsicher, ob Sie betroffen sind?
Wir prüfen Ihre Systeme, spielen die Updates ein und suchen nach Spuren eines Angriffs. Sie bekommen eine klare Antwort: betroffen oder nicht. Betreuungskunden müssen nichts tun, wir kümmern uns bereits darum.
Veröffentlicht am 3. November 2026. Grundlage: OpsShield · BleepingComputer · SecurityWeek · Borns IT-Blog. Von uns in eigenen Worten zusammengefasst; verbindlich sind die Hinweise des Herstellers. Alle Sicherheitswarnungen
Passend dazu