cPGuard Güncelleme Altyapısı Hacklendi: Yaklaşık 3 Bin Sunucu Etkilendi

Linux sunucularını korumak için kullanılan cPGuard güvenlik yazılımının güncelleme altyapısı saldırganlar tarafından ele geçirilirken, kötü amaçlı kod aracılığıyla hassas veriler toplandı. OpsShield, saldırının 2 Kasım 2026 saat 02.06 UTC’de başladığını ve cPGuard’ın 5.88.12 ile 5.88.19 arasındaki sürümlerini etkilediğini açıkladı. Şirket, zararlı dağıtımı 12 saat içinde durdurduğunu bildirirken olaydan 2.946 sunucunun etkilendiğini ve faturalandırma sistemine ait verilerin de kopyalandığını duyurdu.

Saldırganlar cPGuard Güncelleme Kanalına Nasıl Sızdı?

OpsShield’ın açıklamasına göre saldırganlar, şirketin içerik dağıtım ağına (CDN) ele geçirilmiş geçerli kimlik bilgileriyle erişti. Yetkisiz erişimin hangi yöntemle sağlandığı henüz belirlenemezken saldırganlar, cPGuard’ın resmi güncelleme kanalını kullanarak kötü amaçlı bir betiği kullanıcılara ulaştırdı.

Linux web sunucularını zararlı yazılımlara, ağ saldırılarına ve diğer güvenlik tehditlerine karşı koruyan cPGuard; hosting şirketleriyle sunucu yöneticileri tarafından yaygın biçimde kullanılıyor. Yazılım, cPanel, DirectAdmin ve Plesk gibi kontrol panelleriyle birlikte çalışabiliyor. Namecheap de ürünü VPS ve özel sunucu hizmetlerinde sunuyor.

Saldırı sırasında güncelleme yapan sistemler, sunuculardaki hassas bilgilere erişmeyi hedefleyen zararlı kodu aldı. OpsShield, güncelleme kontrollerinin belirli aralıklarla çalışması nedeniyle bazı sunucuların betiği hiç indirmemiş veya çalıştırmamış olabileceğini belirtti. Şirket, her sunucudaki veri kaybının kapsamını henüz kesinleştiremedi.

Saldırıda kullanılan betik, sunuculardaki kimlik doğrulama bilgilerini ve sistem yöneticilerinin faaliyetleriyle ilgili dosyaları hedef aldı. Toplanan veriler, saldırganların daha sonra başka sistemlere erişmesini kolaylaştırabilecek kritik bilgileri içeriyordu.

Hedef alınan veriler arasında şunlar bulunuyor:

• Linux kullanıcılarına ait parola özetleri (password hashes).
• MariaDB ve MySQL veritabanlarının root yapılandırma bilgileri.
• Root hesabının kabuk geçmişi.
• SSH yetkilendirme dosyaları ile bilinen sunucu kayıtları.
• Sunucu ortamında saklanan ve erişim yetkisi sağlayabilecek hassas bilgiler.

Saldırganlar, ele geçirilen verileri OpsShield’ın lisans sunucusuna yükledi. Şirketin açıklamasına göre tehdit aktörü, daha sonra ele geçirilmiş bir hesap üzerinden bu verilere erişti. İnceleme sırasında saldırganların her müşteriden 32 dosya aldığına ilişkin kanıtlar elde edildi; ancak dosyaların içeriği ve her sunucudan hangi bilgilerin toplandığına dair kapsamlı analiz henüz tamamlanmadı.

OpsShield temsilcisi, BleepingComputer’a yaptığı açıklamada saldırının 2.946 sunucuyu etkilediğini doğruladı. Temsilci ayrıca şirketin faturalandırma sistemi veritabanının da kopyalandığını belirtti. Şirket, erişimleri engellemek, etkilenen sistemleri yeniden kurmak ve kamuoyuna kapsamlı bir açıklama hazırlamak için çalışmalarını sürdürüyor.

cPGuard Kullanıcıları Hangi Güvenlik Önlemlerini Almalı?

OpsShield, etkilenen olabilecek tüm sunucularda cPGuard sürümünün 5.88.25 veya daha yeni bir sürüme yükseltilmesini öneriyor. Şirkete göre güncel sürüm, arka kapıyı ve saldırı sırasında bırakılan dosyaları kaldırıyor. Ancak yazılımı güncellemek, saldırganların daha önce kopyalamış olabileceği bilgileri geçersiz kılmıyor.

Sunucu yöneticilerinin olası veri sızıntısının etkilerini azaltmak için şu adımları uygulaması gerekiyor:

• Sunucularda kullanılan cPGuard sürümünü kontrol ederek 5.88.25 veya üzerindeki sürüme geçmek.
• Etkilenmiş olabilecek sistemlerdeki kullanıcı parolalarını değiştirmek.
• MariaDB ve MySQL veritabanı kimlik bilgilerini yenilemek.
• SSH anahtarlarını ve bulut ortamlarında kullanılan gizli erişim bilgilerini (cloud secrets) değiştirmek.
• Sunucu günlüklerini ve erişim kayıtlarını inceleyerek olağan dışı bağlantıları araştırmak.

OpsShield, ek bir önlem olarak daha önce yüklenmiş olan şirket destek erişim anahtarlarını kaldıracak bir güncelleme de yayınlayacağını açıkladı. Yöneticilerin yalnızca yazılım güncellemesine güvenmek yerine ele geçirilmiş olabilecek tüm kimlik bilgilerini geçersiz kılması gerekiyor.

Olay, yazılım güncelleme altyapısına duyulan güvenin saldırganlar tarafından kötüye kullanılmasının hosting ortamlarında ne kadar geniş sonuçlar doğurabileceğini gösteriyor. Resmî bir dağıtım kanalından gelen güncellemeler de saldırganların erişimi ele geçirmesi durumunda zararlı kod taşıyabildiğinden, sunucu yöneticilerinin güncel sürümleri kullanması ve kimlik bilgilerini düzenli olarak yenilemesi önem taşıyor.