کمیته رکن چهارم– OpsShield تأیید کرده است مهاجمی با نفوذ به زیرساخت این شرکت، از مسیر به‌روزرسانی ابزار امنیتی cPGuard برای جمع‌آوری اطلاعات محرمانه سرورهای مشتریان استفاده کرده است. به گفته شرکت، حدود ۲۹۵۰ سرور به‌روزرسانی جعلی را اجرا کرده‌اند.
به گزارش کمیته رکن چهارم، اطلاعیه تفصیلی ۳ نوامبر ۲۰۲۶ می‌گوید حمله از سامانه صورتحساب و مجوز آغاز شده و مهاجم کلید انتشار به‌روزرسانی را برداشته است. نصب بسته جعلی حدود ساعت ۰۲:۰۸ تا ۰۳:۲۰ روز ۲ نوامبر به وقت UTC رخ داده است.
cPGuard برای حفاظت سرورهای لینوکسیِ میزبان وب استفاده می‌شود. اسکریپت آلوده با بالاترین سطح دسترسی اجرا شده و اطلاعاتی مانند هش رمز حساب‌ها، کلیدهای SSH، رمز پایگاه داده در صورت وجود و سابقه فرمان‌های مدیر را هدف گرفته است. هش رمز با رمز آشکار یکسان نیست، اما همچنان باید خطر افشا را جدی گرفت.
اطلاعیه اولیه نسخه‌های ۵.۸۸.۱۲ تا ۵.۸۸.۱۹ را متأثر معرفی کرده بود. اطلاعیه جدید از انتشار نسخه پاک ۵.۸۸.۲۶ و به‌روزرسانی تکمیلی برای حذف آثار شناخته‌شده خبر می‌دهد؛ توصیه فعلی، نصب آخرین نسخه موجود است.
توصیه رسمی: پس از به‌روزرسانی، پاک‌شدن آثار حمله را بررسی کنید؛ رمزهای محلی، اطلاعات اتصال پایگاه داده و کلیدهای SSH و ابریِ در معرض خطر را تعویض و اعتبار دسترسی‌های قبلی را لغو کنید. رمز سامانه صورتحساب OpsShield نیز بازنشانی و ورود دومرحله‌ای فعال شود.
پاک‌سازی نرم‌افزار، اطلاعاتی را که قبلاً کپی شده بی‌اعتبار نمی‌کند. اگر شرکت ورود دستی مهاجم به سرور را تأیید کرده، راهنمای رسمی بازسازی از نسخه سالم پیش از ۱ نوامبر است.
منبع: OpsShield
