Zum Inhalt springen
Centoculus

Sicherheitswarnung · Kritisch

cPGuard-Update-Kanal gekapert, um Backdoor auf Linux-Servern zu installieren

· 3 Minuten Lesezeit · Centoculus Security Team

Bekannt seit · Angriffe bestätigt seit

Betroffen: cPGuard auf Linux-Servern; der Hinweis nennt die Versionen 5.88.25 und neuer

Was passiert ist

Am 2. November 2026 missbrauchte ein Angreifer das Update-System von cPGuard, einer Sicherheitserweiterung für Linux-Hosting-Server. Über den regulären Update-Kanal wurde ein Skript an Kundenserver gesendet. Das Skript installierte eine Backdoor und sammelte Passwort-Hashes und Dateien von den betroffenen Systemen. Der Vorfall wurde am 3. November 2026 öffentlich bekannt.

Dies ist ein Supply-Chain-Angriff. Ein Eingreifen durch den Serverbetreiber war nicht erforderlich. Server, die während des Angriffszeitraums cPGuard-Updates automatisch erhalten haben, haben das schädliche Skript möglicherweise ausgeführt, ohne dass es bemerkt wurde.

Wer betroffen ist

Betroffen sind Betreiber von Linux-Servern mit installiertem cPGuard, insbesondere wenn automatische Updates aktiviert sind. Der Hinweis nennt die Versionen 5.88.25 und neuer. Welche Versionen genau betroffen sind und welche bereinigt wurden, geht aus den Meldungen nicht eindeutig hervor. Prüfen Sie daher den unten verlinkten Hinweis des Herstellers.

Da Passwort-Hashes gesammelt wurden, reicht das Risiko über den Server selbst hinaus. Benutzerkonten, Hosting-Kunden und Dienste, die dieselben Zugangsdaten verwenden, können ebenfalls betroffen sein.

Was Sie jetzt tun sollten

  1. Ermitteln Sie alle Server mit cPGuard und notieren Sie die installierte Version sowie ob automatische Updates aktiviert sind.
  2. Lesen Sie den unten verlinkten Hinweis des Herstellers und folgen Sie dessen Anweisungen zu bereinigten Versionen und zur Entfernung der schädlichen Änderungen. Solange der Hersteller die Sicherheit des Update-Kanals nicht bestätigt hat, sollten Sie automatische cPGuard-Updates vorübergehend aussetzen.
  3. Behandeln Sie jeden Server, der am oder nach dem 2. November cPGuard-Updates erhalten hat, als möglicherweise kompromittiert, bis Sie ihn geprüft haben.
  4. Ändern Sie die Passwörter aller Systemkonten auf betroffenen Servern, zuerst root und administrative Benutzer. Ändern Sie außerdem Panel-, Datenbank- und Mail-Passwörter, sofern diese auf dem Server gespeichert oder wiederverwendet werden.
  5. Ersetzen Sie SSH-Schlüssel und API-Token, die auf dem Server gespeichert sind, und prüfen Sie die Dateien authorized_keys auf Schlüssel, die Sie nicht kennen.
  6. Informieren Sie Ihre Hosting-Kunden, wenn deren Kontodaten oder Dateien möglicherweise abgegriffen wurden, damit sie ihre eigenen Passwörter ändern können.
  7. Wenn Sie eindeutige Hinweise auf eine Backdoor finden und nicht sicher sind, dass Sie sie vollständig entfernt haben, setzen Sie den Server aus einem bekannten sauberen Zustand neu auf und stellen Sie die Daten aus einem Backup wieder her, das vor dem 2. November erstellt wurde.

So prüfen Sie, ob Sie betroffen sind

Die Meldungen enthalten keine konkreten Indikatoren für eine Kompromittierung. Prüfen Sie den Hinweis des Herstellers auf Dateinamen, Hashes oder Netzwerkadressen. Bis dahin helfen folgende allgemeine Prüfungen:

  • Sehen Sie die cPGuard-Update-Protokolle und Systemprotokolle auf Update-Aktivitäten am und nach dem 2. November durch.
  • Suchen Sie nach neuen oder geänderten Benutzerkonten in /etc/passwd sowie nach neuen Einträgen in /etc/sudoers und /etc/sudoers.d/.
  • Prüfen Sie Crontabs (/etc/crontab, /etc/cron.*, crontab -l für jeden Benutzer) und systemd-Units (systemctl list-unit-files) auf Einträge, die Sie nicht angelegt haben.
  • Suchen Sie nach kürzlich geänderten Dateien in Systemverzeichnissen, zum Beispiel mit find /etc /usr/bin /usr/sbin /usr/local -mtime -3.
  • Prüfen Sie aktive Netzwerkverbindungen und lauschende Ports mit ss -tulpn und suchen Sie nach unbekannten Prozessen oder ausgehenden Verbindungen.
  • Prüfen Sie die Dateien authorized_keys für root und alle Benutzer auf unbekannte Schlüssel.

Wenn Sie etwas Unerklärliches finden, isolieren Sie den Server und behandeln Sie den Fall als Sicherheitsvorfall.

Quellen

Weitere Quellen (1)

Weitere Beiträge