Güvenlik yazılımının güncellemesi saldırı aracına dönüştü: cPGuard’ın güncelleme kanalı ele geçirildi, yaklaşık 3 bin sunucudan parola özetleri ve SSH anahtarları çalındı

Sunucunuzu korumak için kurduğunuz güvenlik yazılımı, bir gün sunucunuzun anahtarlarını saldırganlara teslim edebilir mi? Linux web sunucuları için geliştirilen güvenlik paketi cPGuard’ın kullanıcıları bu soruyla 2 Kasım 2026’da yüz yüze geldi. Yazılımın geliştiricisi OPSSHIELD, saldırganların şirketin güncelleme dağıtım altyapısını ele geçirerek müşteri sunucularına sahte bir güncelleme gönderdiğini açıkladı.

cPGuard; zararlı yazılım taraması, güvenlik duvarı ve saldırı koruması sunan bir paket. Özellikle barındırma (hosting) firmaları ve sunucu yöneticileri tarafından cPanel, DirectAdmin ve Plesk gibi kontrol panelleriyle birlikte kullanılıyor. Bu da saldırıyı tipik bir tedarik zinciri saldırısı hâline getiriyor: Saldırgan tek bir şirketi ele geçirerek binlerce sunucuya ulaştı.

Saldırı nasıl gerçekleşti?

OPSSHIELD’in 3 Kasım’da yayımladığı ayrıntılı açıklamaya göre saldırgan önce şirketin müşterisi gibi davrandı. Şirketin paylaştığı zaman çizelgesi (saatler Türkiye saatiyle) şöyle:

• 1 Kasım 18:38: Saldırgan şirketin fatura portalını yoklamaya başladı.
• 1 Kasım 19:34: Sahte bir kimlikle müşteri hesabı açtı ve ücretsiz cPGuard denemesi sipariş etti.
• 2 Kasım 00:17: Yazılımın lisans sistemiyle nasıl haberleştiğini incelemek için deneme sürümünü kendi sunucusuna kurdu.
• 2 Kasım 01:58: Fatura portalına gönderdiği özel hazırlanmış isteklerle fatura ve lisans sunucusunda komut çalıştırma yetkisi elde etti.
• 2 Kasım 05:04–05:09: Çaldığı bir erişim anahtarıyla şirketin güncelleme deposuna sahte bir cPGuard güncellemesi yükledi.
• 2 Kasım 05:08–06:20: cPGuard ajanları sahte güncellemeyi kurdu; güncelleme kök (root) yetkisiyle çalışarak hassas dosyaları saldırgana kopyaladı.

Şirket, ilk yoklamadan sahte güncellemeye kadar geçen yaklaşık on saatlik sürenin, saldırganların artık yapay zekâ araçlarıyla zayıf noktaları taradığı, yabancı kodu okuduğu ve özel araçlarını haftalar yerine saatler içinde yazdığı bir dönemi yansıttığını belirtti.

Sahte güncelleme ne yaptı?

Etkilenen sürümler 5.88.12 ile 5.88.19 arası. Sahte güncellemeyi çalıştıran sunucularda şu dosyalar okundu:

• /etc/shadow ve /etc/passwd (yerel parola özetleri),
• /root/.ssh klasöründeki SSH özel anahtarları ve yetkili anahtar listeleri,
• Varsa /root/.my.cnf dosyasındaki MySQL/MariaDB kök parolası,
• Çoğu zaman yazılmış parolalar ve anahtarlar içeren kök kabuk geçmişi,
• Az sayıda sunucuda bulut depolama anahtarları.

Betik ayrıca sunucuda gizli bir kök kabuğu ve zamanlanmış bir görev bıraktı. Toplanan veriler, ele geçirilmiş bir hesap üzerinden OPSSHIELD’in kendi lisans sunucusuna yüklendi ve saldırgan bunları oradan aldı.

Kaç sunucu etkilendi?

OPSSHIELD’e göre sahte güncellemeyi çalıştıran müşteri sunucusu sayısı yaklaşık 2.950. Bunun yanında şirketin fatura sistemine de ulaşan saldırgan, yaklaşık 7.900 fatura portalı hesabına ait ad, şirket, posta adresi, e-posta ve özetlenmiş (hash) parola bilgilerinin kopyasını aldı. Şirket, portal parolalarının düz metin değil bcrypt özetleri olarak saklandığını vurguluyor.

Sunucu yöneticileri ne yapmalı?

Şirket, sunucusunda cPGuard kurulu olan ve 2 Kasım’da Türkiye saatiyle 05:08–06:20 arasında çevrim içi olan herkesin, sunucunun kök düzeyindeki sırlarının saldırganın elinde olduğunu varsaymasını istiyor. Önerilen adımlar:

1. Tüm cPGuard sunucularını cpgcli update --start komutuyla güncelleyin ve cpgcli --version ile sürümün en az 5.88.25 olduğunu doğrulayın. Şirket, saldırganın araçlarını kaldıran temiz sürüm olarak 5.88.26’yı yayımladığını da açıkladı.
2. Etkilenen bir sürümün kurulup kurulmadığını görmek için /opt/cpguard/logs/install_log dosyasındaki güncelleme kayıtlarını kontrol edin.
3. /var/tmp/.cpg91511_sh, /var/tmp/.i93677/ ve /etc/cron.d/i93677 kalıntılarının silindiğinden emin olun.
4. Kök ve diğer tüm yerel kullanıcı parolalarını değiştirin.
5. Yeni SSH anahtarları üretin, eski anahtarları onlara güvenen tüm sunuculardan kaldırın.
6. MySQL kök parolasını, veritabanı parolalarını ve kabuk geçmişinde görünen tüm anahtar ve belirteçleri yenileyin.
7. OPSSHIELD fatura portalı parolanızı sıfırlayın ve iki aşamalı doğrulamayı açın.

Şirket, güncellemenin bilinen arka kapıyı kaldırdığını ancak silinmeden önce kopyalanan kimlik bilgilerinin hâlâ kullanılabileceğini hatırlatıyor. Saldırganın elle oturum açtığı bildirilen sunucuların ise 1 Kasım öncesine ait temiz bir yedekten yeniden kurulması öneriliyor.

Güvenlik yazılımları neden cazip hedef?

Güvenlik ürünleri, işlerini yapabilmek için sunucularda en yüksek yetkiyle çalışıyor ve kendilerini otomatik olarak güncelliyor. Bu iki özellik, onları saldırganlar için son derece değerli kılıyor: Güncelleme kanalını ele geçiren biri, tek hamlede binlerce sunucuda kök yetkisiyle kod çalıştırabiliyor. cPGuard olayı, küçük yazılım üreticilerinin güncelleme ve imzalama altyapısının, ürünün kendisi kadar korunması gerektiğini bir kez daha gösteriyor.

Kaynak: OPSSHIELD güvenlik duyurusu ve olay açıklaması, BleepingComputer, The Hacker News