OPSSHIELD 揭露，攻擊者以假身分註冊客戶帳號後入侵其帳務與授權伺服器、竊取發布更新用的金鑰，並於 11 月 2 日透過 cPGuard 更新管道推送惡意更新約 70 分鐘 [1][4]。該公司表示約 2,950 台執行惡意更新的客戶伺服器遭複製密碼雜湊、root SSH 金鑰、MySQL root 密碼與 shell 歷史，另約 7,900 個帳務入口帳號的姓名、公司、地址、電子郵件與雜湊密碼外洩 [1][3]。現在該做什麼：將 cPGuard 更新至最新版並確認 /etc/cron.d/i93677、/var/tmp/.i93677/ 與 /var/tmp/.cpg91511_sh 已移除，若伺服器於 11 月 2 日 02:08–03:20 UTC 在線，須更換 root 與本機帳號密碼、root SSH 金鑰、MySQL 密碼及 shell 歷史中的權杖，並重設 OPSSHIELD 帳務入口密碼、啟用雙因素登入 [1][2]。
高監控中官方確認
資安工具 cPGuard 更新管道遭濫用，約 2,950 台 Linux 主機 root 機密外流
閱讀約 2 分鐘
- 揭露
- 2026年11月3日
- 發生
- 2026年11月1日
- 發布
- 2026年11月14日
- 最後更新
- 2026年11月14日
- CVSS 依據
- 本站評估
- 利用與修補狀態
- 已有修補
- 技術 / 系統類型
- Linux
- 初始入侵方式
- 軟體供應鏈（惡意更新、套件投毒）
- 影響
- 資料遭竊取
- 漏洞狀態
- 已有修補
- 攻擊者類型
- 未知
- 動機
- 未知
- MITRE ATT&CK 技術
- T1195 供應鏈入侵
本頁內容
30 秒摘要
發生什麼事
誰受影響
11 月 2 日 02:08–03:20 UTC 安裝並在線執行 cPGuard 的 Linux 伺服器（約 2,950 台）；約 7,900 個 OPSSHIELD 帳務入口（manage.opsshield.com）帳號 [1]
現在該做什麼本站建議
- 執行 cpgcli update --start 將 cPGuard 更新至最新版，並確認 /etc/cron.d/i93677、/var/tmp/.i93677/ 與 /var/tmp/.cpg91511_sh 已不存在，若仍在則刪除 [1][3]。
- 以 grep 'Successfully updated' /opt/cpguard/logs/install_log 檢查是否曾安裝 5.88.12–5.88.19 版；有紀錄即視為可能遭入侵，無紀錄也不代表安全 [2]。
- 更換 root 與所有本機帳號密碼、重新產生 root SSH 金鑰並自信任該金鑰的伺服器移除舊公鑰，更換 MySQL root 密碼及 shell 歷史、/root/.s3cfg 中的金鑰與權杖 [1]。
- 重設 manage.opsshield.com 帳務入口密碼並啟用雙因素登入；若 OPSSHIELD 告知攻擊者曾手動登入你的伺服器，應以 11 月 1 日前的乾淨備份重建 [1]。
事件時間軸
技術細節
發生什麼
OPSSHIELD 的事件揭露指出，攻擊者於 11 月 1 日以假身分註冊客戶帳號並申請 cPGuard 免費試用，之後在其帳務與授權伺服器取得執行指令的能力，竊取發布更新用的金鑰，並於 11 月 2 日推送假的 cPGuard 更新約 70 分鐘 [1]。該公司早先的資安公告稱，攻擊者於 11 月 2 日 02:06 UTC 利用遭竊憑證進入更新發布基礎設施，受影響更新為 cPGuard 5.88.12 至 5.88.19 版 [2][4]。
影響範圍
依 OPSSHIELD 說法，惡意腳本以 root 權限執行，讀取 /etc/shadow、/etc/passwd、/root/.ssh、/root/.my.cnf 與 root shell 歷史，少數伺服器另含 /root/.s3cfg 雲端儲存金鑰，並將資料傳回攻擊者控制的伺服器；約 2,950 台客戶伺服器執行該腳本 [1][3]。攻擊者另複製了 OPSSHIELD 三台雲端伺服器，並取得約 7,900 個帳務入口帳號的姓名、公司、郵寄地址、電子郵件與以 bcrypt 雜湊的密碼 [1][3]。
廠商處置
OPSSHIELD 表示已撤銷遭竊的更新儲存金鑰與雲端 API 權杖，發布可移除隱藏 root shell 的乾淨更新 5.88.26，後續更新另移除 i93677 排程任務，並重設帳務入口登入工作階段、重建帳務與授權伺服器 [1][3]。該公司表示目前不建議例行性重建作業系統，但若攻擊者曾手動登入特定伺服器，應以 11 月 1 日前的乾淨備份重建 [1][3]。
參考來源
官方 / 一級來源2
- [1]OPSSHIELD2026-11-03擷取日 2026-11-14已存檔 2026-11-14 sha256 94fbc149b479
“The attacker signed up as a customer, used that account to break into our billing and licensing server, took the keys we use to publish updates, and shipped a fake cPGuard update for about 70 minutes on 2 November.”
- [2]OPSSHIELD2026-11-03擷取日 2026-11-14已存檔 2026-11-14 sha256 d84194e1a145
“Update every cPGuard server to version 5.88.25 or later immediately.”
媒體報導2
- [3]The Hacker News2026-11-03擷取日 2026-11-14已存檔 2026-11-14 sha256 3011de39f767
“In a later disclosure, OPSSHIELD said about 2,950 customer servers ran the script, which sent the files it collected back to the attacker.”
- [4]보안뉴스2026-11-14擷取日 2026-11-14已存檔 2026-11-14 sha256 432b93487666
“시피가드(cPGuard)의 업데이트 배포망이 뚫려 악성 스크립트가 고객 서버로 퍼졌다.”
技術諮詢
看完還不確定自己是否受影響？
告訴我們你的環境，我們協助比對這則通報、評估風險，並提供可執行的修補與監控建議。
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。