Sikkerhetsverktøyet cPGuard ble brukt til å spre en bakdør

En angriper fikk tilgang til systemene til OPSSHIELD, som lager sikkerhetsverktøyet cPGuard for webservere, og sendte ut et ondsinnet skript gjennom den vanlige oppdateringskanalen. Skriptet la igjen en bakdør og samlet inn passord og nøkler fra serverne. Fjordweb brukte cPGuard frem til sommeren 2025, men har ikke hatt det på serverne siden, og er ikke berørt.

Av Nick-Andre Brustuen, daglig leder og systemansvarlig3. november 2026

Sikkerhet

Hva har skjedd?

cPGuard er et sikkerhetsverktøy som mange webhoteller og byråer bruker på serverne sine, med brannmur og skanning etter skadelig kode. Som de fleste slike verktøy kjører det med fulle rettigheter på serveren, og oppdaterer seg selv automatisk.

Ifølge OPSSHIELD fikk en ukjent angriper tilgang til lisens- og oppdateringssystemene deres, og brukte dem til å sende et ondsinnet skript ut til serverne som en vanlig oppdatering. Det kalles et angrep på leverandørkjeden: serveren ble ikke angrepet direkte, men fikk skadevaren fra et verktøy den stoler på.

Slik spredte angrepet seg

Inn hos leverandørenAngriperen får tilgang til lisens- og oppdateringssystemene.
Falsk oppdateringSkriptet sendes ut gjennom den vanlige oppdateringskanalen.
Kjører på serverenDet legger igjen en bakdør og samler inn passord og nøkler.
Sendes utDataene går til en kapret konto på lisensserveren.

Det som gjør angrepet alvorlig, er at det kom gjennom et verktøy som skal beskytte serveren, og som har full tilgang til den.

Hva gjorde skriptet?

Ifølge OPSSHIELD gjaldt det servere med cPGuard 5.88.12 til 5.88.19. Skriptet

la igjen en bakdør, et skall i /var/tmp/.cpg91511_sh,
hentet passord-hashene fra /etc/shadow, altså passordene til brukerne på serveren i kryptert form,
samlet dem og et arkiv med påloggingsdata (loot.tgz) i mappen /var/tmp/.cpg91511,
sendte data til et endepunkt på lisensserveren til OPSSHIELD, under en konto angriperen hadde tatt over.

OPSSHIELD ber også kundene bytte databasepassord, tilgangsnøkler til S3 og DigitalOcean, SSH-nøkler under /root/.ssh og hemmeligheter som står i kommandohistorikken til root. Det tyder på at angriperen var ute etter alt som kan gi videre tilgang til andre systemer.

OPSSHIELD har stoppet spredningen og sluppet cPGuard 5.88.25, som fjerner bakdøren og filene skriptet la igjen. De undersøker fortsatt hvordan angriperen kom inn, hvilke servere som kjørte skriptet, og hvilke data som ble hentet ut.

Er Fjordwebs servere berørt?

Nei. Vi brukte cPGuard frem til sommeren 2025, og har ikke hatt det installert på serverne våre siden. Serverne har derfor ikke fått den falske oppdateringen. Vi har også sjekket serverne for filene skriptet legger igjen, og fant ingen spor:

ls -la /var/tmp/.cpg91511*

ls: cannot access '/var/tmp/.cpg91511*': No such file or directory

I dag bruker vi cPFence, som blant annet skanner etter skadelig kode hver natt og har en brannmur mot kjente angrep. Les mer om hvordan vi drifter sidene.

Bruker du cPGuard? Gjør dette nå

Har du eller webhotellet ditt cPGuard på en server, anbefaler OPSSHIELD dette:

Oppdater alle serverne. Oppdateringen fjerner bakdøren og filene som skriptet la igjen.
```
cpgcli update --start
```
Sjekk versjonen. Den skal være 5.88.25. Står det fortsatt en versjon mellom 5.88.12 og 5.88.19, eller feiler oppdateringen, kontakter du OPSSHIELD med en gang.
```
cpgcli --version
```
Bytt passord og nøkler hvis du vet eller mistenker at skriptet har kjørt. Gjør det selv om oppdateringen gikk fint, for det som ble kopiert før oppryddingen, kan fortsatt brukes:
- passordet til root og alle andre lokale brukere med passord, fra et trygt gjenopprettingsmiljø,
- passord som er brukt andre steder, fra en enhet du stoler på,
- databasepassord, tilgangsnøkler til S3 og DigitalOcean, og hemmeligheter i kommandohistorikken til root,
- SSH-nøklene under /root/.ssh, og fjern de gamle offentlige nøklene fra alle systemer som stoler på dem.

Vil du se om skriptet har ligget på serveren, kan du se etter filene det legger igjen med ls -la /var/tmp/.cpg91511*. Finner kommandoen filer, har skriptet kjørt. Finner den ingen, er det et godt tegn, men ingen garanti: oppdateringen til 5.88.25 fjerner filene, og passord og nøkler kan være kopiert før det. Har serveren hatt cPGuard 5.88.12 til 5.88.19, bør du derfor bytte passord og nøkler uansett.

Er du kunde hos et webhotell og har ikke tilgang til serveren selv, spør webhotellet om de bruker cPGuard, og hva de har gjort.

Hva kan vi lære av dette?

Sikkerhetsverktøy må ha full tilgang til serveren for å gjøre jobben sin. Det gjør dem til et attraktivt mål. Ingen kan helt unngå å stole på leverandørene sine, men det hjelper å

velge få, etablerte leverandører, og følge med på varslene deres,
holde nettsidene isolert fra hverandre, så et innbrudd ikke sprer seg,
ha sikkerhetskopier på en annen server, og jevnlig sjekke at de virker,
ikke la passord og nøkler ligge i kommandohistorikk eller filer på serveren, og ikke bruke samme passord flere steder.

Vil du vite hvordan nettsiden din står i dag? Ta en gratis sikkerhetssjekk, eller les om hva som inngår i vedlikehold av en WordPress-side.

Kilder

OPSSHIELD: cPGuard update channel compromise (opsshield.com)
OPSSHIELD: e-post til cPGuard-kunder og -partnere, november 2026