O caso cPGuard é um alerta sério sobre segurança de servidor de hospedagem. Em 2 de novembro de 2026, um atacante usou credenciais roubadas para publicar versões falsas do cPGuard, uma ferramenta de segurança usada em servidores de hospedagem com cPanel. As versões 5.88.12 a 5.88.19 foram instaladas automaticamente em cerca de 2.950 servidores, rodando com acesso total (root).
O que a atualização falsa fazia
- Criava um acesso escondido de administrador no servidor.
- Enviava para o atacante senhas, chaves SSH, dados de banco de dados e credenciais de serviços em nuvem.
Além disso, foram levados dados de conta de cerca de 7.900 clientes da OPSSHIELD, empresa responsável pelo cPGuard. A empresa detectou o ataque em menos de 12 horas e lançou a versão limpa 5.88.26.
O que é um ataque à cadeia de suprimentos
Esse tipo de ataque não mira diretamente o seu site ou o seu servidor. O alvo é um fornecedor em quem você confia: uma ferramenta, uma biblioteca ou um serviço de atualização. Quando o atacante consegue publicar uma versão adulterada nesse canal, ela chega a muitos clientes ao mesmo tempo, com a mesma confiança de uma atualização legítima. Por isso esses casos costumam ter um alcance grande, como os quase 3 mil servidores atingidos aqui, e são difíceis de perceber olhando apenas para o próprio ambiente.
Por que isso importa para quem tem site
Muitos sites pequenos ficam em servidores compartilhados ou revendas que usam esse tipo de ferramenta. Você pode não ter instalado nada, mas o servidor onde o seu site está pode ter sido afetado.
O que fazer
Se você administra o servidor:
- Confira a versão do cPGuard e atualize para a 5.88.26 ou superior.
- Procure acessos e usuários desconhecidos.
- Troque senhas, chaves SSH e credenciais de banco de dados e de nuvem que estavam no servidor.
Se o seu site está em uma hospedagem:
- Pergunte ao suporte se o servidor usa cPGuard e se foi afetado.
- Por precaução, troque a senha do painel de hospedagem, do FTP e do banco de dados.
Como saber se meu servidor foi afetado
Se você tem acesso ao servidor, confira primeiro a versão do cPGuard instalada. As versões adulteradas vão da 5.88.12 à 5.88.19. Mesmo depois de atualizar, o que a versão falsa deixou para trás pode continuar lá, então vale olhar com atenção:
- Usuários de sistema e contas de administrador criados recentemente, que você não reconhece.
- Chaves SSH novas nos arquivos authorized_keys, principalmente no usuário root.
- Tarefas agendadas (cron) e serviços que não faziam parte da configuração original.
- Conexões de saída do servidor para endereços desconhecidos.
Se o seu site fica em hospedagem compartilhada, você não tem esse acesso, e tudo bem: o caminho é perguntar ao suporte e trocar as senhas por precaução, como explicado acima.
Checklist rápido de prevenção
- Backup automático guardado fora do servidor, com teste de restauração de tempos em tempos.
- Acesso SSH apenas por chave, com a lista de chaves revisada periodicamente.
- Senhas diferentes para painel, FTP, banco de dados e e-mail, guardadas em um gerenciador de senhas.
- Autenticação em dois fatores no painel da hospedagem e nos serviços de nuvem.
- Monitoramento de alterações em arquivos e de novos usuários no servidor.
Outros casos recentes mostram a mesma importância de manter servidores e equipamentos de rede em dia: veja a falha no OpenSSH que permite entrar em contas sem senha no Alpine Linux e o caso dos switches Zyxel invadidos mesmo depois da correção.
A lição para a segurança de servidor de hospedagem
Atualização automática é ótima, até o canal de atualização ser invadido. Por isso, além de atualizar, é importante ter backup guardado fora do servidor e monitorar o que muda no ambiente.
Fale comigo | Backup e infraestrutura
Fonte