Poisoned cPGuard update hits thousands of web hosting servers

El 2 de noviembre de 2026, un atacante subió actualizaciones falsas de cPGuard (versiones 5.88.12 a 5.88.19) al repositorio de OPSShield y, durante más de 70 minutos, los agentes instalaron el código malicioso como root en aproximadamente 2.950 servidores de hosting web, exfiltrando hashes de contraseñas, claves SSH y credenciales de bases de datos.

OPSShield confirmó que el atacante también accedió al portal de facturación, robó la información de unos 7.900 clientes y copió tres servidores en la nube. La empresa revocó la clave de actualización comprometida, rotó todas las claves API, eliminó la shell oculta y lanzó una versión limpia (v5.88.26) que elimina la tarea programada y la shell raíz.

Para las pymes que usan cPGuard, se recomienda: verificar la versión instalada; si es alguna de las versiones 5.88.12‑5.88.19, actualizar inmediatamente a v5.88.26 o superior; revisar el sistema en busca de usuarios o claves SSH desconocidas; rotar todas las contraseñas de root, bases de datos y tokens de nube; reemplazar claves privadas en /root/.ssh; restablecer la contraseña del portal de facturación y habilitar la autenticación de dos factores; y, si el servidor recibió la actualización, considerar restaurar desde una copia de seguridad previa al 1 de noviembre.

Qué significa para una pyme colombiana y cucuteña: Revise la versión de cPGuard en sus servidores; si está en la gama 5.88.12‑5.88.19, aplique la actualización limpia v5.88.26 de inmediato, cambie todas las contraseñas y claves SSH, y active la autenticación de dos factores en el portal de facturación para evitar que el atacante mantenga acceso.