Mise à jour cPGuard piégée : quand l’outil de sécurité de l’hébergeur vole les clés des serveurs
Dans la nuit du 1er au 2 novembre 2026, environ 2 950 serveurs Linux ont installé une mise à jour de leur outil de sécurité, comme ils le font plusieurs fois par jour. Sauf que cette fois, la mise à jour cPGuard piégée contenait un script qui copiait les mots de passe du serveur, les clés SSH de root et le mot de passe MySQL root, puis laissait une porte dérobée. L’éditeur, OPSSHIELD, l’a confirmé dans son avis du 3 novembre.
cPGuard est un logiciel de protection pour serveurs d’hébergement Web (souvent avec cPanel). Vous ne l’avez peut-être jamais installé vous-même, mais votre hébergeur ou votre fournisseur de site l’utilise peut-être. Voici comment l’attaque s’est enchaînée, pourquoi un seul serveur touché peut ouvrir tous vos sites, et quoi faire selon votre type d’hébergement.
Mise à jour cPGuard piégée : la chaîne en 5 maillons
Maillon 1
1er nov.
Faux compte client
Le pirate s’inscrit sous une fausse identité et commande un essai gratuit de cPGuard.
Maillon 2
1er nov., 22 h 58 UTC
Serveur de facturation
Des requêtes forgées lui donnent la main sur le serveur de facturation et de licences d’OPSSHIELD.
Maillon 3
2 nov., 02 h 04 UTC
Clé de publication volée
Avec la clé qui sert à publier les mises à jour, il dépose son script dans le canal officiel.
Maillon 4
02 h 08–03 h 20 UTC
Installation en root
Pendant environ 70 minutes, les serveurs qui vérifient leurs mises à jour exécutent le script avec tous les droits.
Maillon 5
Même nuit
Vol et porte dérobée
Le script copie /etc/shadow, les clés SSH de root, /root/.my.cnf et l’historique des commandes, puis installe un shell root caché.
OPSSHIELD a détecté l’attaque en moins de 12 heures. Le pirate a aussi copié trois serveurs infonuagiques de l’éditeur et les dossiers de facturation d’environ 7 900 comptes clients (noms, entreprises, adresses, courriels et mots de passe chiffrés avec bcrypt).
Pourquoi un seul serveur touché ouvre tout le reste
Un outil de sécurité doit tout voir, donc il tourne en root. La fausse mise à jour aussi. Et sur un serveur d’hébergement, quelques secrets suffisent à ouvrir des dizaines de sites :
🔑
Mot de passe MySQL root + clé SSH de root
Les deux secrets copiés par le script
↙ ↓ ↓ ↓ ↘
🏢
Bases de données de tous les sites
lisibles et modifiables
🏢
Autres serveurs qui font confiance à la clé
accessibles par SSH
🏢
Boutique en ligne
commandes et clients
🏢
Formulaires de contact
données personnelles (Loi 25)
🏢
Sauvegardes S3
si la clé est dans /root/.s3cfg
L’historique des commandes de root contient souvent des mots de passe tapés à la main : il faut le traiter comme un secret volé, lui aussi.
Vérifier un serveur qui utilise cPGuard
Si vous gérez vous-même un serveur (VPS ou dédié) avec cPGuard, ou si votre prestataire le fait pour vous, voici les vérifications publiées par l’éditeur :
Quoi faire selon votre type d’hébergement
Tous les clients d’OPSSHIELD doivent aussi changer leur mot de passe du portail de facturation et activer la double authentification. Pour d’autres questions à poser à votre hébergeur, voyez notre article sur les questions de sécurité à poser à votre hébergeur Web.
Ce qu’il faut retenir pour votre PME
Les mises à jour automatiques restent une bonne idée, mais…
🗣️ Ce qu’on garde
On garde les mises à jour automatiques : sans elles, les failles connues restent ouvertes des semaines.
On sait quels fournisseurs ont un accès root ou administrateur à nos systèmes, et on leur demande comment ils protègent leur canal de mise à jour.
On n’utilise jamais le même mot de passe sur le serveur et ailleurs.
⛔ Ce qu’on évite
- Laisser des mots de passe en clair dans des scripts ou dans l’historique des commandes
- Une seule clé SSH qui ouvre tous les serveurs
- Des accès « support » de fournisseurs oubliés dans authorized_keys
- Croire qu’un outil de sécurité ne peut pas être le problème
Ce n’est pas la première fois qu’un fournisseur de confiance sert de porte d’entrée : relisez le cas de la clé volée chez ConnectWise Cloud Backup. La bonne réponse n’est pas de tout désactiver, mais de réduire ce qu’un seul secret volé permet d’ouvrir, et de surveiller ce qui change sur vos serveurs.
Comment NeoTech peut vous aider
Nous faisons l’inventaire des fournisseurs qui ont un accès privilégié à vos systèmes, nous séparons les clés et les mots de passe pour qu’un vol ne touche pas tout, et notre surveillance automatisée 24/7 avec intervention du technicien de garde signale les changements inhabituels : nouvelle tâche planifiée, nouvelle clé SSH, fichier caché dans /var/tmp. Voyez aussi nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous regardons avec vous quels fournisseurs ont accès à vos serveurs et à votre site Web, et ce qu’il faudrait changer si l’un d’eux était piraté.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- OPSSHIELD — avis de sécurité cPGuard : compromission du canal de mise à jour (en anglais)
- The Hacker News — le canal de mise à jour de cPGuard détourné, 3 nov. 2026 (mis à jour le 4 nov.) (en anglais)
- SecurityWeek — mises à jour cPGuard malveillantes dans l’attaque contre OpsShield (en anglais)
- BleepingComputer — la mise à jour automatique de cPGuard détournée (en anglais)
Photo : Field Engineer, Pexels (licence Pexels).