cPGuard 更新分发遭入侵，常用 cPanel/WHM、DirectAdmin、Plesk管理面板受到影响

2026年11月2日，OPSSHIELD 的 cPGuard 更新分发基础设施遭到入侵，攻击者通过被攻陷的凭据向部分服务器推送恶意脚本；受影响更新为 cPGuard 5.88.12 至 5.88.19，脚本可能收集 /etc/shadow、/etc/passwd、root 用户的 MariaDB/MySQL 配置、Shell 历史记录以及 SSH 授权和已知主机文件，并上传到 OPSSHIELD 授权服务器；5.88.25 及以上版本包含清理已知后门和相关文件的修复；安装过受影响版本的服务器，即使当前已经升级，也应按潜在受影响主机完成密码重置和密钥轮换

cPGuard 可用于 cPanel/WHM、DirectAdmin、Plesk、Enhance、RunCloud、InterWorx、Webmin 以及独立 Linux 服务器；OPSSHIELD 表示攻击发生在 11月2日 02:06 UTC，厂商在恶意更新开始分发后约 12 小时发现问题；目前初步确认攻击者从授权服务器取回了 32 个收集文件，但这不是潜在受影响服务器总数，攻击者获取凭据的具体方式仍在调查

OPSSHIELD 安全通告：https://opsshield.com/

cPGuard 更新分发安全事件

这次事件影响的是 cPGuard 更新链路，不是安装 cPanel/WHM、DirectAdmin 或 Plesk 就一定受影响；需要重点排查的是安装并运行过 cPGuard 5.88.12 至 5.88.19 的服务器。官方说明，攻击者先使用已经被攻陷的凭据进入 OPSSHIELD 的更新分发基础设施，再通过更新渠道推送恶意脚本；这些凭据究竟通过钓鱼、密码复用、密钥泄露、管理后台入侵还是其他方式获得，目前没有最终结论。

可以先查看 cPGuard 更新历史

grep 'Successfully updated' /opt/cpguard/logs/install_log

如果日志中出现 5.88.12 至 5.88.19 的成功更新记录，应继续完成修复和凭据处置；日志缺失或没有匹配记录，也不能单独证明服务器一定未受影响。已知文件包括恶意脚本 cpguard-v58812-i91511.sh、后门 Shell /var/tmp/.cpg91511_sh、收集目录 /var/tmp/.cpg91511 以及归档文件 /var/tmp/.cpg91511/loot.tgz，这些文件可能已经被修复更新删除，找不到它们不能证明脚本此前没有运行

管理员处置建议

先在每台安装 cPGuard 的服务器上执行更新，并确认版本达到 5.88.25 或更高

cpgcli update --start
cpgcli --version

如果服务器曾安装过受影响版本，建议从可信设备或恢复环境重置 root 和其他启用密码登录的本地 Linux 账户密码；更换在其他系统重复使用过的密码；轮换数据库密码、S3 访问密钥、DigitalOcean Token 以及 root Shell 历史中的其他凭据；替换 /root/.ssh 下的 SSH 私钥，并在所有信任旧公钥的系统中移除对应旧公钥。更新程序会清理已知后门和文件，但不能让攻击者此前复制的凭据自动失效。

发现入侵迹象时，应先隔离服务器或限制出站连接，再保存认证日志、更新日志、Shell 历史、文件变更记录和 DNS/防火墙日志，避免清理动作覆盖证据；同时检查 authorized_keys、Cron、systemd 服务、启动脚本、本地用户和计划任务，确认没有遗留持久化入口。重要业务服务器应保留离线备份和已知干净的系统镜像，如果出现异常账号、持续外连、未知进程或无法确认系统完整性，再评估是否重建系统

使用建议

已经安装 cPGuard 的服务器，先查更新历史再做版本确认，不要只看当前版本；只要出现过 5.88.12 至 5.88.19，就按潜在受影响主机处理，完成密码、SSH 私钥、数据库凭据和云平台 Token 的轮换

如果服务器只安装了 cPanel/WHM、DirectAdmin 或 Plesk，没有安装 cPGuard，则不属于这次 cPGuard 更新事件的直接受影响范围，但仍应按日常安全流程检查面板账号、SSH 登录和异常出站连接

如果只是发现过受影响版本，但没有其他入侵迹象，OPSSHIELD 当前不建议把整机重装作为常规处理方式；如果出现持久化入口、异常外连或无法确认系统完整性，再联系官方支持评估是否需要重建系统

cPGuard 常见问题 FAQ

Q1：cPGuard 哪些版本受到影响？

A：官方列出的受影响更新为 5.88.12 至 5.88.19，修复版本为 5.88.25 及以上。

Q2：安装 cPanel/WHM、DirectAdmin 或 Plesk 就一定受到影响吗？

A：不是。是否受影响取决于服务器是否安装并运行过 cPGuard 受影响更新，单独安装这些面板不等于受到这次事件影响。

Q3：当前已经是 cPGuard 5.88.25，还需要处理吗？

A：如果更新历史中出现过 5.88.12 至 5.88.19，仍应重置相关账户密码并轮换可能暴露的数据库凭据、云平台 Token 和 SSH 私钥，因为修复更新不能让此前复制的凭据自动失效。

Q4：找不到官方列出的恶意文件，是否可以确认没有中招？

A：不能。修复更新可能已经删除这些文件，文件缺失不能证明恶意脚本此前没有运行。

Q5：cPGuard 受影响服务器是否必须重装系统？

A：OPSSHIELD 当前不建议把整机重装作为常规处理方式，先完成升级、版本确认和凭据轮换；如果发现其他入侵迹象或无法确认系统完整性，再联系官方支持评估。