En 33 timer lang kapring af Softaculous' egen trafik
Mellem kl. 20:57 UTC den 28. august og kl. 06:10 UTC den 30. august 2026 kaprede en angriber BGP-routingen for en blok Hetzner-hostede IP-adresser, der tilhører Softaculous, firmaet bag det udbredte VPS-kontrolpanel Virtualizor. Det useriøse netværk AS62390, der optrådte under navnet NexonHost, annoncerede en mere specifik rute for blokken 162.55.80.0/24 end Hetzners egen annoncering. Softaculous læner sig op ad Hetzner til infrastrukturen bag Virtualizors licens-, opdaterings- og downloadservere, og det var netop det, der gjorde den kaprede blok værdifuld for en angriber.
Ifølge standardreglerne for BGP-rutevalg vinder den mere specifikke rute, hvor end den accepteres, så trafik bestemt for Softaculous' servere blev omdirigeret til angriberens infrastruktur i omkring 33 timer. Både BleepingComputer og The Register rapporterede om kapringen den 1. september 2026, og Softaculous bekræftede senere tidslinjen og de tekniske detaljer i sin egen hændelsesrapport. Cybersecuritynews.com og GBHackers bragte bekræftende dækning samme dag og beskrev kapringen som et lærebogseksempel på et angreb med et mere specifikt præfiks mod en hostingudbyders adresserum.
| Hændelse | Tidspunkt (UTC) |
|---|---|
| BGP-kapring begynder | 20:57, 28. aug. 2026 |
| Kapringsvinduet slutter | 06:10, 30. aug. 2026 |
| Samlet kapringsvarighed | Omkring 33 timer |
| Patchet Virtualizor 3.2.9.9 udgivet | 1. sept. 2026 |
Hvorfor certifikatet aldrig udløste en advarsel
Kapringen omdirigerede ikke kun trafik; den opsnappede også de domænevalideringstjek, som Let's Encrypt bruger til at bekræfte, hvem der kontrollerer et domæne, og det lod angriberen anmode om og modtage et ægte, gyldigt signeret TLS-certifikat for det kaprede domæne. Forbindelser til angriberens server viste slet ingen certifikatadvarsel, fordi anmodningen for certifikatmyndigheden så ud til at komme fra domænets retmæssige ejer. Hverken hængelåsen i browseren, certifikatkæden eller selve forbindelsen signalerede, at noget var galt.
Det er den ubehagelige del af denne hændelse: Let's Encrypts automatiserede validering fungerede præcis som tiltænkt. Den tjekker, om den, der svarer på en IP-adresse, kontrollerer domænet, og i kapringsvinduet svarede angriberen faktisk på den adresse. Forfalskningen lå ikke i certifikatet, men i routingen, der afgjorde, hvem der kunne bevise ejerskab. Den forskel betyder noget: at stramme domænevalideringen alene ville ikke forhindre en gentagelse, for svagheden ligger i routinglaget nedenunder.
En opdateringsklient, der aldrig tjekkede en signatur
En ondsindet Virtualizor-opdateringspakke blev sendt ud til et lille antal installationer, nemlig dem, der tilfældigvis tjekkede for opdateringer i kapringsvinduet, ikke til Virtualizors brugerbase som helhed. Virtualizors egen opdateringsklient verificerer ikke pakkerne kryptografisk, så et gyldigt certifikat på en kapret rute var nok til at få angriberkontrolleret kode til at køre som root på de berørte servere. Virtualizor bruges til at administrere en stor del af budget- og mellemklasse-VPS-hosting på verdensplan, hvilket forklarer, hvorfor selv en snæver, tidsbegrænset kompromittering fik opmærksomhed fra flere sikkerhedsmedier.
Payloaden installerede uautoriserede SSH-nøgler og en falsk systemd-tjeneste forklædt som java-jre-update.service, hvilket gav angriberen en vedvarende bagdør, der ville overleve en genstart og ved første øjekast ligne en almindelig Java-opdatering. Softaculous udsendte den patchede version Virtualizor 3.2.9.9 den 1. september 2026 sammen med sin egen redegørelse for hændelsen. Firmaets vejledning anbefaler at tjekke for både de useriøse SSH-nøgler og den forklædte tjeneste ved navn, da bagdøren var bygget til at gemme sig blandt legitime systemprocesser.
Hvad europæiske operatører skylder under NIS2
For enhver EU- eller UK-operatør, der driver infrastruktur hos Hetzner eller en anden europæisk udbyder, er den praktiske lære, at et gyldigt HTTPS-certifikat ikke er bevis for ægthed, når routingen bagved kan forfalskes. Hetzners egen ruteannoncering forblev korrekt hele hændelsen igennem; kompromitteringen lå udelukkende i den trafik, der i stedet valgte angriberens mere specifikke rute. En auto-opdateringsmekanisme, der ikke verificerer signaturer, er et enkelt fejlpunkt, uanset hvor solid den omkringliggende infrastruktur er. Den samme logik gælder ud over Virtualizor, for ethvert produkt, der automatisk henter og installerer kode uden at tjekke en kryptografisk signatur.
Den anbefalede afhjælpning for enhver, der kører Virtualizor, eller en anden leverandørs auto-opdateringsklient uden signaturverificering, er ligetil: roter og begræns API-legitimationsoplysninger, og gennemgå servere for uautoriserede SSH-nøgler, konti, planlagte opgaver og udgående forbindelser. Under NIS2 har EU-virksomheder, der afhænger af tredjepartssoftware til kritisk infrastruktur, due diligence-forpligtelser i forsyningskæden, og en hændelse, hvor leverandørens egen opdateringskanal blev angrebsvektoren, falder lige inden for den forpligtelse.
Hvorfor vi gør dette
Vi gør dette for alle, der forsøger at følge med i, hvad teknologi gør ved vores liv. Dem, der bygger den, og dem, det sker for. Servola Journal findes, så det, vi lærer, tilhører dem alle.
Ingen betaler os for dette. Ingen annoncer, ingen betalingsmur, gratis for alle. Vi tror bare på, at det ikke bør afhænge af, hvem der har råd til at betale for det, om man kan forstå, hvad der sker med os alle.
Hvis det har givet dig noget i dag, så sig til, at vi skal fortsætte. Følg os, giv et like, eller skriv en positiv kommentar. Vi læser hver eneste én, og de er det, der holder os i gang.
Læs videre: EU-Sikkerhedshold Har Ingen Indflydelse På Astra | Udnyttet Uger Før PaperCut Nåede At Patche
