แฮกเกอร์เจาะระบบอัปเดต cPGuard แอบติดตั้งโปรแกรมดักขโมยข้อมูล กระทบเซิร์ฟเวอร์เกือบ 3,000 เครื่อง - Thailand Computer Emergency Response Team (ThaiCERT)

602/69 (IT) ประจำวันพุธที่ 4 พฤศจิกายน 2569

OpsShield ผู้พัฒนาโปรแกรมรักษาความปลอดภัยเซิร์ฟเวอร์ cPGuard เปิดเผยเหตุการณ์ถูกแฮกเกอร์เจาะระบบที่ใช้เผยแพร่ไฟล์อัปเดตโปรแกรม โดยผู้โจมตีสามารถเข้าถึงระบบผ่านบัญชีผู้ใช้งานที่มีข้อมูลเข้าสู่ระบบถูกขโมยหรือถูกนำไปใช้โดยไม่ได้รับอนุญาต จากนั้นอาศัยช่องทางอัปเดตอย่างเป็นทางการของ cPGuard ส่งโปรแกรมอันตรายไปติดตั้งบนเซิร์ฟเวอร์ของลูกค้า เพื่อเปิดช่องทางลับสำหรับกลับเข้ามาควบคุมระบบและขโมยข้อมูล เหตุการณ์เริ่มขึ้นเมื่อวันที่ 2 พฤศจิกายน 2569 ซึ่งส่งผลกระทบต่อโปรแกรม cPGuard เวอร์ชัน 5.88.12 ถึง 5.88.19 ทั้งนี้ cPGuard เป็นโปรแกรมรักษาความปลอดภัยสำหรับเซิร์ฟเวอร์ Linux ที่ช่วยตรวจจับมัลแวร์ ควบคุมการเชื่อมต่อผ่านระบบป้องกันเครือข่าย และป้องกันการโจมตี โดยนิยมใช้งานในธุรกิจเว็บโฮสติ้งและผู้ดูแลเว็บไซต์

จากการตรวจสอบพบว่า โปรแกรมอันตรายที่ถูกส่งผ่านระบบอัปเดตสามารถรวบรวมข้อมูลสำคัญจากเซิร์ฟเวอร์ได้หลายประเภท ได้แก่ ข้อมูลรหัสผ่านของระบบ Linux ข้อมูลการตั้งค่าฐานข้อมูล MariaDB/MySQL ประวัติการใช้คำสั่งของผู้ดูแลระบบ รวมถึงข้อมูลที่เกี่ยวข้องกับการเชื่อมต่อผ่าน SSH ซึ่งอาจเปิดโอกาสให้ผู้โจมตีเข้าถึงระบบอื่นที่เชื่อมโยงกันได้ โดยข้อมูลที่รวบรวมได้ถูกส่งไปยังเซิร์ฟเวอร์ของ OpsShield ผ่านบัญชีที่ถูกบุกรุก ก่อนที่ผู้โจมตีจะเข้ามาดึงข้อมูลออกไปอีกทอดหนึ่ง OpsShield ระบุว่าพบเซิร์ฟเวอร์ที่ได้รับผลกระทบแล้ว 2,946 เครื่อง และพบว่าฐานข้อมูลระบบเรียกเก็บเงินของบริษัทถูกคัดลอกออกไปด้วย ปัจจุบันบริษัทยังอยู่ระหว่างตรวจสอบว่าข้อมูลใดบ้างถูกขโมยออกไป โดยสามารถตรวจพบและหยุดการเผยแพร่โปรแกรมอันตรายได้ภายใน 12 ชั่วโมงหลังเกิดเหตุ

OpsShield แนะนำให้ผู้ดูแลระบบเร่งอัปเดต cPGuard ทุกเครื่องเป็นเวอร์ชัน 5.88.25 หรือใหม่กว่า เนื่องจากจะช่วยลบโปรแกรมอันตรายและไฟล์ที่ผู้โจมตีติดตั้งไว้ แต่การอัปเดตเพียงอย่างเดียวไม่เพียงพอที่จะป้องกันความเสี่ยงจากข้อมูลที่อาจถูกขโมยไปแล้ว จึงต้องเปลี่ยนรหัสผ่านที่เกี่ยวข้องทั้งหมด รวมถึงข้อมูลสำหรับเข้าใช้งานฐานข้อมูล บัญชีบริการบนระบบคลาวด์ และกุญแจสำหรับเชื่อมต่อเซิร์ฟเวอร์ผ่าน SSH พร้อมตรวจสอบการเข้าใช้งานระบบที่ผิดปกติ นอกจากนี้ บริษัทยังเตรียมออกอัปเดตเพิ่มเติมเพื่อยกเลิกรหัสหรือกุญแจที่ใช้สำหรับเข้าถึงระบบของลูกค้าเพื่อให้ความช่วยเหลือจากทางบริษัท เหตุการณ์นี้เป็นเครื่องเตือนใจว่า แม้แต่ระบบอัปเดตซอฟต์แวร์ที่ผู้ใช้งานเชื่อถือก็อาจกลายเป็นช่องทางในการแพร่กระจายโปรแกรมอันตรายได้ ดังนั้น หน่วยงานและผู้ดูแลระบบควรให้ความสำคัญกับความปลอดภัยของระบบอัปเดต ควบคู่ไปกับการตรวจสอบและเปลี่ยนข้อมูลสำหรับเข้าถึงระบบเมื่อพบเหตุการณ์ลักษณะนี้

แหล่งข่าว : https://www.bleepingcomputer.com/news/security/hackers-hijack-cpguard-autoupdate-to-deploy-backdoor-steal-data/

602/69（IT）2026年11月4日，星期三。

服务器安全软件 cPGuard 的开发商 OpsShield 披露了一起系统入侵事件，黑客通过分发软件更新的方式入侵了系统。攻击者利用窃取或滥用的登录信息获取账户访问权限，然后利用 cPGuard 的官方更新渠道在客户端服务器上安装恶意软件。这为攻击者打开了后门，使其能够重新控制系统并窃取数据。该事件始于 2026 年 11 月 2 日，影响了 cPGuard 的 5.88.12 至 5.88.19 版本。cPGuard 是一款 Linux 服务器安全软件，能够检测恶意软件、控制网络连接并防御攻击，在网站托管和网站管理行业中广受欢迎。

调查显示，通过更新系统传播的恶意程序能够从服务器收集各种敏感信息，包括Linux系统密码、MariaDB/MySQL数据库设置、管理员命令历史记录和SSH连接信息。这可能使攻击者能够访问其他连接的系统。收集到的数据在被攻击者获取之前，已通过被盗账户发送到OpsShield服务器。OpsShield报告称，共有2946台服务器受到影响，公司的计费数据库也遭到入侵。该公司目前正在调查具体哪些数据被盗。该恶意程序在事件发生后12小时内被检测到并阻止了其传播。

OpsShield建议系统管理员立即将所有cPGuard机器更新至5.88.25或更高版本，因为这将清除攻击者安装的恶意程序和文件。然而，仅靠更新不足以防止数据被盗的风险。因此，必须更改所有相关密码，包括数据库访问凭据、云服务帐户信息和SSH服务器连接密钥。检查异常系统活动也至关重要。此外，该公司正在准备后续更新，以弃用用于访问客户系统以获取支持的密码或密钥。此次事件提醒我们，即使是受信任的软件更新系统也可能成为恶意软件传播的入口。因此，组织和系统管理员应优先考虑更新系统的安全，并在发生此类事件时检查并更改访问凭据。

来源：https://www.bleepingcomputer.com/news/security/hackers-hijack-cpguard-autoupdate-to-deploy-backdoor-steal-data/