cPGuard 更新渠道投毒窃取 root 凭据，后续报告扩大影响范围
OPSSHIELD 确认 cPGuard 更新遭投毒，后续报告称约 2,950 台服务器执行恶意更新、约 7,900 个账单账户记录被复制。须安装最新版、更换主机及云和数据库密钥、重置账单密码，并检查定时任务清理。早期“取走 32 份文件”不是总影响范围，调查继续。
- 披露时间
- 2026年11月2日
- 更新于 2026年11月3日
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 11 月 2 日 02:08–03:20 UTC 在线的 cPGuard：应假定 root 密钥暴露；账单账户另受影响
- cPGuard · supply chain · credentials
- 在野利用
- 已发现
- OPSSHIELD 确认恶意更新、秘密资料被复制及攻击者取走数据。
发生了什么
OPSSHIELD 11 月 3 日后续报告将事件追溯至新注册客户账户及账单／许可服务器命令执行，随后更新存储密钥被盗。具体成功请求未被日志记录；厂商修补两个可能入口，但未公布 CVE 或已确立的上游组件原因。约 2,950 台执行更新的服务器及 7,900 条账单账户记录均为厂商估计，不是经独立审计的独立人数。账单资料包括姓名、公司、邮寄地址、邮箱及 bcrypt 密码哈希。早期 32 份文件估算来自较窄观察，不能作为后续范围上限，也不能相加。
首份公告含时区的 11 月 3 日 IST 更新对应 11 月 2 日 UTC（02:42 IST＝21:12 UTC；03:17 IST＝21:47 UTC），本文以此作为公开日期。后续报告将投毒更新安装时段定为 11 月 2 日 02:08–03:20 UTC，并要求期间在线服务器假定 root 秘密暴露。装过受影响版本不证明每个文件都已外传，日志缺失也不证明安全。厂商称其为“短脚本”，不能抵消其已确认的隐藏 root shell 及定时任务。
早期 5.88.25 清理及“不常规要求重建”属于历史指引。后续报告列出 5.88.26 和另一次定时任务清理更新，要求安装最新版；若厂商通知攻击者曾手动登录，明确要求用 11 月 1 日前干净备份重建。清理不能吊销已复制秘密。重发许可证密钥和重置账单会话，不能替代客户轮换密码、SSH、数据库及云密钥。厂商基础设施重建与客户主机恢复不同；厂商称所列步骤可关闭暴露，并非独立保证主机干净。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| cPGuard 清理基线；还须安装最新后续更新 | 5.88.26 | 清除已知 shell；仍需后续定时任务清理 |
案发时间线
11月1日 22:58 UTC
攻击者在账单及许可服务器执行命令
后续报告将访问追溯至新注册客户账户，但日志没有记录具体成功请求。
11月2日 02:04–02:09 UTC
攻击者用被盗更新密钥发布恶意包
后续报告给出上传时段，细化早期公告的 02:06 UTC 更新基础设施访问时间。
11月2日 02:08–03:20 UTC
客户代理安装假更新并以 root 执行
OPSSHIELD 称在此期间在线的 cPGuard 服务器应假定 root 级秘密已暴露。
11月2日 21:12 UTC
早期公告估计取走 32 份文件
原文时间为 11 月 3 日 02:42 IST（UTC+05:30）。每份对应一台客户服务器，厂商明确表示这不是全部潜在影响数量。
11月2日 21:47 UTC
宣布移除客服访问密钥
原文为 11 月 3 日 03:17 IST；此预防措施不能替代凭据轮换。
2026年11月3日
后续报告扩大服务器及账单账户范围
公司称约 2,950 台服务器运行假更新、约 7,900 个账单账户记录被复制；最新清理及有条件重建指引取代早期较窄评估。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- OPSSHIELD 原始更新渠道公告一手来源在公开浏览器完整核阅：受影响 5.88.12–5.88.19、5.88.25 清理、资料收集及 32 份文件取走、重置和含 IST 时区更新。范围已被链接的后续报告更新；HTTP 抓取返回 406。
- OPSSHIELD 后续 manage.opsshield.com 事件披露一手来源公开浏览器完整报告：UTC 攻击和更新时段、约 2,950 台执行服务器及约 7,900 个被复制账户、5.88.26 及后续清理、完整指标、许可证与会话变更及有条件重建；日志缺少具体成功账单请求。