cPGuard Diretas, Hampir 3.000 Server Hosting Terinfeksi Backdoor Melalui Update Palsu

Perusahaan keamanan server OpsShield mengonfirmasi insiden serangan siber yang menyebabkan sistem pembaruan otomatis cPGuard dibajak untuk mendistribusikan backdoor dan mencuri informasi sensitif dari server pelanggan.

Serangan yang terjadi pada 2 November 2026 tersebut diperkirakan berdampak pada sekitar 2.950 server, termasuk sistem Linux yang menggunakan cPGuard untuk perlindungan malware dan keamanan web hosting.

Penyerang berhasil mengakses infrastruktur distribusi pembaruan OpsShield, kemudian menyisipkan script berbahaya ke dalam update resmi cPGuard.

Akibatnya, server yang mengunduh dan menjalankan pembaruan selama periode serangan berpotensi membocorkan password hash Linux, kredensial database MySQL, SSH key, serta informasi rahasia lainnya.

OpsShield meminta seluruh administrator segera memperbarui cPGuard dan mengganti kredensial yang mungkin telah terekspos.

Penyerang Membobol Sistem Update cPGuard

Berdasarkan laporan investigasi OpsShield, serangan dimulai pada 1 November 2026 ketika pelaku mencoba menemukan kelemahan pada portal pelanggan manage.opsshield.com.

Penyerang kemudian membuat akun pelanggan menggunakan identitas palsu dan mengaktifkan uji coba cPGuard untuk mempelajari komunikasi antara software keamanan tersebut dan server lisensi.

Setelah melakukan serangkaian percobaan terhadap sistem billing, penyerang memperoleh kemampuan menjalankan perintah pada server billing dan lisensi OpsShield.

Akses tersebut kemudian digunakan untuk mencuri kredensial infrastruktur distribusi pembaruan.

Pada 2 November, sekitar pukul 02.04–02.09 UTC, pelaku mengunggah pembaruan cPGuard yang telah dimodifikasi.

Update berbahaya mulai dijalankan oleh server pelanggan antara pukul 02.08 hingga 03.20 UTC, atau sekitar 09.08–10.20 WIB.

OpsShield menyatakan bahwa distribusi berbahaya berlangsung sekitar 70 menit sebelum berhasil dihentikan.

Update Palsu Berjalan dengan Hak Akses Root

cPGuard merupakan software keamanan server Linux yang menyediakan fitur pemindaian malware, firewall, dan perlindungan terhadap berbagai serangan web.

Produk ini digunakan oleh administrator server dan penyedia hosting, termasuk pada lingkungan cPanel/WHM, DirectAdmin, serta Plesk.

Karena software keamanan membutuhkan hak akses tinggi untuk menjalankan tugasnya, pembaruan cPGuard juga dapat menjalankan operasi dengan hak akses root.

Kondisi tersebut dimanfaatkan penyerang untuk menjalankan script yang mengumpulkan sejumlah file sensitif, antara lain:

• /etc/shadow dan /etc/passwd yang berisi informasi akun Linux dan password hash.
• /root/.ssh yang dapat menyimpan SSH private key dan daftar akses tepercaya.
• /root/.my.cnf yang berpotensi menyimpan kredensial administrator MySQL.
• Riwayat perintah root yang mungkin berisi password, API key, atau token.
• /root/.s3cfg yang dapat menyimpan kredensial layanan cloud storage.

Data yang dikumpulkan kemudian dikirim melalui infrastruktur yang telah dikompromikan.

Penyerang juga meninggalkan komponen backdoor berupa shell tersembunyi dengan hak akses root.

Dengan akses tersebut, pelaku berpotensi kembali memasuki server meskipun proses pengumpulan data awal telah selesai.

Sekitar 2.950 Server dan 7.900 Akun Billing Terdampak

Dalam pengungkapan terbarunya, OpsShield memperkirakan sekitar 2.950 server pelanggan menjalankan pembaruan palsu.

Perusahaan juga mengonfirmasi bahwa penyerang mengakses informasi sekitar 7.900 akun portal billing, termasuk nama, perusahaan, alamat, email, serta password yang disimpan menggunakan algoritma hash bcrypt.

Meski demikian, belum dapat dipastikan seluruh data yang berhasil dikumpulkan dari setiap server telah diambil oleh penyerang.

OpsShield menegaskan bahwa cakupan pengambilan data masih dalam investigasi.

Server yang tidak terhubung ke layanan pembaruan selama periode serangan tidak otomatis menerima update berbahaya tersebut.

Namun, administrator tetap perlu memeriksa riwayat pembaruan untuk memastikan apakah salah satu versi terdampak pernah terpasang.

Versi cPGuard yang Terdampak

Menurut advisory resmi, versi cPGuard yang digunakan untuk mendistribusikan script berbahaya adalah:

cPGuard 5.88.12 hingga 5.88.19.

OpsShield telah menyediakan pembaruan keamanan mulai versi 5.88.25, sementara pengungkapan insiden terbaru menyebutkan versi bersih 5.88.26 yang digunakan untuk menghapus komponen berbahaya.

Administrator dapat memeriksa riwayat pembaruan melalui terminal Linux:

grep 'Successfully updated' /opt/cpguard/logs/install_log

Jika riwayat menunjukkan salah satu versi terdampak, server harus dianggap berpotensi dikompromikan meskipun sekarang sudah menggunakan versi terbaru.

Untuk memperbarui cPGuard, administrator dapat menjalankan:

cpgcli update --start

Kemudian periksa versi terpasang menggunakan:

cpgcli --version

OpsShield juga mengidentifikasi sejumlah artefak berbahaya yang perlu diperiksa, termasuk:

• /var/tmp/.cpg91511_sh
• /var/tmp/.i93677/
• /etc/cron.d/i93677

Pembaruan terbaru dirancang untuk menghapus komponen tersebut. Namun, hilangnya file berbahaya tidak membuktikan bahwa data sebelumnya tidak pernah dicuri.

Mengganti Password dan SSH Key Menjadi Prioritas

OpsShield memperingatkan bahwa sekadar memperbarui cPGuard tidak cukup untuk mengatasi seluruh risiko keamanan.

Jika password atau SSH key telah dicuri, penyerang masih berpotensi menggunakan kredensial tersebut untuk mengakses server di kemudian hari.

Karena itu, administrator server yang berpotensi terdampak disarankan melakukan langkah berikut:

• Mengganti password root dan akun Linux lokal.
• Melakukan rotasi kredensial administrator MySQL serta database terkait.
• Membuat ulang SSH key root dan mencabut public key lama dari server lain.
• Mengganti API key, cloud token, dan informasi rahasia yang pernah tercatat dalam shell history.
• Memeriksa akun administrator, cron job, dan akses SSH yang tidak dikenal.
• Mengganti password portal billing OpsShield serta mengaktifkan autentikasi dua faktor.

Jika ditemukan tanda akses penyerang secara langsung atau integritas server tidak dapat dipastikan, instalasi ulang dari backup bersih mungkin diperlukan.

OpsShield menyatakan tidak merekomendasikan pembangunan ulang seluruh server sebagai tindakan rutin untuk setiap instalasi yang terdampak. Namun, investigasi tambahan tetap diperlukan berdasarkan kondisi masing-masing sistem.

Serangan Supply Chain Menjadi Ancaman bagi Industri Hosting

Insiden cPGuard merupakan contoh serangan software supply chain, ketika penyerang menyalahgunakan jalur distribusi software tepercaya untuk menjangkau banyak sistem sekaligus.

Dalam kasus ini, serangan tidak harus dimulai dengan mengeksploitasi kerentanan pada masing-masing server pelanggan.

Sebaliknya, pelaku cukup menguasai infrastruktur update vendor untuk menyebarkan script berbahaya dengan hak akses tinggi.

OpsShield menyatakan telah mencabut kredensial yang dicuri, memperbarui mekanisme keamanan internal, dan membangun ulang sejumlah sistem yang terdampak.

Perusahaan juga mengambil langkah tambahan untuk mengganti key dan menghapus akses dukungan lama yang sebelumnya tersedia pada server pelanggan.

Bagi perusahaan web hosting dan administrator server Linux, insiden cPGuard menjadi pengingat bahwa sistem pembaruan software keamanan juga dapat menjadi jalur serangan.

Administrator yang menggunakan cPGuard perlu segera memverifikasi riwayat update, memasang versi terbaru, dan mengganti seluruh kredensial yang berpotensi terekspos.

---

Sumber: OpsShield — Security Incident Disclosure: manage.opsshield.com