cPGuard Güncellemesi Arka Kapı Taşıdı: Parola Özetleri Toplandı

OPSSHIELD'in 3 Kasım 2026 tarihli güvenlik danışmasına göre 2 Kasım 2026'da saat 02.06 UTC'de (Türkiye saatiyle 05.06) kimliği belirlenmemiş bir saldırgan, ele geçirilmiş kimlik bilgileriyle şirketin güncelleme dağıtım altyapısına (CDN) yetkisiz erişti ve cPGuard güncelleme kanalından zararlı bir betik dağıttı. Betik sunuculara arka kapı (saldırgana sisteme sonradan gizlice erişim sağlayan yazılım) kurdu, parola özeti (hash: parolanın tek yönlü işlemle saklanan hâli) kayıtlarını ve diğer hassas dosyaları topladı; saldırgan toplanan verinin bir kısmını aldı.

OPSSHIELD'in sitesine göre cPGuard; cPanel/WHM, DirectAdmin ve Plesk gibi kontrol panelleriyle ya da bağımsız çalışan bir Linux sunucu ortamı için kötü amaçlı yazılım tarayıcısı ve web uygulama güvenlik duvarı (WAF) sunan bir güvenlik ürünüdür. Bu olayda olduğu gibi bir güncelleme kanalı üzerinden zararlı içerik iletilmesi, tedarik zinciri saldırısı (yazılımın kendisi yerine onu dağıtan altyapının hedef alınması) niteliği taşıyor. Şirket kimlik bilgilerinin nasıl ele geçirildiğini araştırıyor; saldırganın kimliği ve kaç sunucunun etkilenen sürümü kurduğu açıklanmadı.

Etkilenen sürümler: 5.88.12–5.88.19

Etkilenen güncellemeler yalnız cPGuard 5.88.12 ile 5.88.19 arası (dahil) sürümleri kapsıyor. OPSSHIELD saldırıyı bu güncellemelerin yayınlanmasından sonraki 12 saat içinde tespit etti. Güncelleme kontrolleri aralıklarla yapıldığı için bazı sunucular betiği çalıştırmamış olabilir; şirkete göre bu zamanlama, betiğin çalıştığı sunuculardan veri aktarılıp aktarılmadığını göstermiyor.

cPGuard 5.88.25 ve sonrası, bilinen arka kapıyı ve betiğin bıraktığı dosyaları kaldıran düzeltici güncellemeyi içeriyor; sürüm notlarında 5.88.25 «güvenlik yaması» olarak 2 Kasım 2026 tarihiyle yer alıyor. OPSSHIELD ayrıca önlem olarak, daha önce eklenmiş destek erişim anahtarlarını sunuculardan kaldıran bir güncelleme yayımladığını duyurdu; sürüm notlarına göre 5.88.26 sürümü, etkinse sunuculara destek erişimini iptal ediyor.

Betik hangi verileri topladı

Betik topladığı verileri, ele geçirilmiş bir hesap üzerinden OPSSHIELD'in kendi lisans sunucusuna yükledi; saldırgan verileri daha sonra buradan aldı. OPSSHIELD, saldırganın toplanan verinin bir kısmını aldığını doğruladı. Şirket ihlali fark edince bu hesabı güvenceye aldı, altyapı kimlik bilgilerini temizledi ve betiğin dağıtımını durdurdu.

OPSSHIELD'e göre betiğin topladığı doğrulanan veri türleri şunlar:

• /etc/shadow ve /etc/passwd dosyaları
• Root kullanıcısının MariaDB/MySQL yapılandırması (my.cnf)
• Root kabuk geçmişi
• Root kullanıcısının SSH yetkilendirme ve known-hosts dosyaları

Şirkete göre bu liste, belirtilen dosyaların her sunucudan toplandığı anlamına gelmiyor. /etc/shadow içindeki parolalar tek yönlü özet olarak tutuluyor; basit, yaygın ya da daha önce sızmış parolalar bu özetlerden çevrim dışı denemeyle daha kolay bulunabiliyor. OPSSHIELD, güçlü parolaların riski azalttığını ancak hesabın güvende olduğunu göstermediğini, bu nedenle parolaların sıfırlanması gerektiğini belirtiyor; veritabanı yapılandırması ve kabuk geçmişindeki diğer sırlar için ise bu koruma da bulunmuyor.

OPSSHIELD'in 3 Kasım 2026 tarihli araştırma güncellemesine göre saldırganın şirket sunucusundaki veriden 32 dosya aldığı tahmin ediliyor ve her dosya bir müşteri sunucusuna karşılık geliyor; şirket bunun ön tahmin olduğunu, etkilenmiş olabilecek toplam sunucu sayısı olmadığını belirtiyor. Veri toplama ve bilinen arka kapı dışında şu aşamada ek zararlı etkinlik bulunmadı; şirket bu bulgunun da ön bulgu olduğunu vurguluyor. OPSSHIELD yaşanan olay için özür diledi.

Bilinen göstergeler

Üreticinin yayımladığı bilinen göstergeler şunlardır:

• Zararlı betik dosyası: cpguard-v58812-i91511.sh
• Arka kapı kabuğu: /var/tmp/.cpg91511_sh
• Toplama dizini: /var/tmp/.cpg91511
• Betiğin hazırladığı arşiv: /var/tmp/.cpg91511/loot.tgz

Düzeltici güncelleme arka kapıyı ve toplama dizinini kaldırdığı için, güncelleme sonrası bu dosyaların bulunmaması betiğin daha önce çalışmadığını göstermez.

Türkiye açısından

Kaynaklarda Türkiye'ye özgü bir veri yok; Türkiye'de etkilenen bir sunucu, barındırma firması ya da kullanıcı bilgisi açıklanmadı. 3 Kasım 2026 itibarıyla Siber Güvenlik Başkanlığı'nın (SGB) güvenlik bildirimlerinde cPGuard ile ilgili bir kayıt bulunmuyor.

cPGuard'ı kendi sunucularında kullanan barındırma firmaları ve sistem yöneticileri için ders açık: bir güvenlik aracının kendisi de güncelleme kanalı üzerinden saldırı aracına dönüşebiliyor. Güncelleme altyapısı üzerinden arka kapı dağıtılmasına daha önce bir örnek olarak AOMEI Backupper güncelleme sunucusu üzerinden arka kapı dağıtılması incelenebilir; cPanel ortamına ilişkin daha önceki bir bildirim ise cPanel WP Toolkit güvenlik bildirimi haberinde yer alıyor.

Ne yapmalısınız

Aşağıdaki adımlar, OPSSHIELD'in güvenlik danışmasında sistem yöneticilerine sunduğu resmi önerilerdir:

1. Her cPGuard sunucusunda cpgcli update --start komutunu çalıştırın.
2. cpgcli --version komutuyla sürümün 5.88.25 veya sonrası olduğunu doğrulayın; güncelleme başarısızsa OPSSHIELD Destek'e başvurun.
3. grep 'Successfully updated' /opt/cpguard/logs/install_log komutuyla kurulum geçmişine bakın; 5.88.12–5.88.19 arası bir kayıt varsa, şu an 5.88.25 veya sonrası çalışsa bile sunucuyu potansiyel olarak ele geçirilmiş sayın.
4. Kayıt yoksa ya da günlük eksikse bunun tek başına sunucunun etkilenmediğini göstermediğini dikkate alın.
5. Betik çalıştıysa ya da çalışmış olabilirse root ve parola kullanan tüm yerel Linux hesaplarının parolalarını güvenilir bir kurtarma ortamından sıfırlayın; başka sistemlerde de kullanılan parolaları güvenilir bir cihazdan değiştirin.
6. Veritabanı parolalarını, S3 erişim anahtarlarını, DigitalOcean token'larını ve root kabuk geçmişindeki sırları yenileyin.
7. /root/.ssh altındaki SSH özel anahtarlarını değiştirin, eski açık SSH anahtarı kayıtlarını bunlara güvenen tüm sistemlerden kaldırın.
8. OPSSHIELD şu aşamada rutin olarak sunucunun sıfırlanmasını ya da işletim sisteminin yeniden kurulmasını önermiyor; ek bir ele geçirilme izi bulunursa ya da sunucunun bütünlüğü doğrulanamıyorsa OPSSHIELD Destek'ten sunucuya özel değerlendirme isteyin.

Kaynaklar

• OPSSHIELD — cPGuard security advisory: Update channel compromise, 3 Kasım 2026
• OPSSHIELD — cPGuard sürüm notları (5.88.25 ve 5.88.26, 2 Kasım 2026)
• The Hacker News — cPGuard Update Channel Hijacked to Backdoor Linux Servers and Collect Password Hashes, 3 Kasım 2026

Kapak görseli (temsili): rack sunucular — Florence Devouard, Wikimedia Commons, CC BY-SA 4.0 (kırpıldı, küçültüldü, küçük bir üretici etiketi bulanıklaştırıldı).