Ein 33-stündiger Hijack von Softaculous' eigenem Traffic
Zwischen 20:57 UTC am 28. August und 06:10 UTC am 30. August 2026 kaperte ein Angreifer das BGP-Routing für einen Block Hetzner-gehosteter IP-Adressen, die Softaculous gehören, dem Unternehmen hinter dem weit verbreiteten VPS-Kontrollpanel Virtualizor. Das betrügerische Netzwerk AS62390, das unter dem Namen NexonHost auftrat, kündigte für den Block 162.55.80.0/24 eine spezifischere Route an als Hetzners eigene Ankündigung. Softaculous stützt sich bei den Lizenz-, Update- und Download-Servern von Virtualizor auf Hetzner, und genau das machte den gekaperten Block für einen Angreifer überhaupt erst wertvoll.
Nach den Standardregeln der BGP-Routenauswahl gewinnt die spezifischere Route überall dort, wo sie akzeptiert wird, sodass der für Softaculous' Server bestimmte Traffic für rund 33 Stunden zur Infrastruktur des Angreifers umgeleitet wurde. BleepingComputer und The Register berichteten beide am 1. September 2026 über den Hijack, und Softaculous bestätigte den Zeitablauf und die technischen Details später in seinem eigenen Vorfallsbericht. Cybersecuritynews.com und GBHackers veröffentlichten am selben Tag bestätigende Berichte und beschrieben den Hijack als Lehrbuchbeispiel eines Angriffs mit einer spezifischeren Route gegen den Adressraum eines Hosting-Anbieters.
| Ereignis | Zeit (UTC) |
|---|---|
| Beginn des BGP-Hijacks | 20:57, 28. Aug. 2026 |
| Ende des Hijack-Fensters | 06:10, 30. Aug. 2026 |
| Gesamtdauer des Hijacks | Rund 33 Stunden |
| Veröffentlichung des gepatchten Virtualizor 3.2.9.9 | 1. Sept. 2026 |
Warum das Zertifikat keine Warnung auslöste
Der Hijack leitete nicht nur Traffic um, sondern erfasste auch die Domain-Validierungsprüfungen, mit denen Let's Encrypt bestätigt, wer eine Domain kontrolliert, und das erlaubte es dem Angreifer, ein echtes, gültig signiertes TLS-Zertifikat für die gekaperte Domain anzufordern und zu erhalten. Verbindungen zum Server des Angreifers zeigten überhaupt keine Zertifikatswarnung, weil aus Sicht der Zertifizierungsstelle die Anfrage vom legitimen Inhaber der Domain kam. Weder das Schloss-Symbol im Browser noch die Zertifikatskette oder die Verbindung selbst deuteten darauf hin, dass etwas nicht stimmte.
Das ist der unangenehme Teil dieses Vorfalls: Die automatisierte Validierung von Let's Encrypt funktionierte genau wie vorgesehen. Sie prüft, ob derjenige, der an einer IP-Adresse antwortet, die Domain kontrolliert, und während des Hijack-Fensters antwortete der Angreifer tatsächlich an dieser Adresse. Die Fälschung lag nicht im Zertifikat, sondern im Routing, das entschied, wer den Besitz nachweisen durfte. Dieser Unterschied ist wichtig: Strengere Domain-Validierung allein würde eine Wiederholung nicht verhindern, denn die Schwachstelle liegt in der darunterliegenden Routing-Ebene.
Ein Update-Client, der nie eine Signatur prüfte
Ein manipuliertes Virtualizor-Update-Paket ging an eine kleine Anzahl von Installationen heraus, konkret an jene, die während des Hijack-Fensters zufällig nach Updates suchten, nicht an Virtualizors gesamte Nutzerbasis. Virtualizors eigener Update-Client prüft die heruntergeladenen Pakete nicht kryptografisch, sodass ein gültiges Zertifikat auf einer gekaperten Route genügte, um vom Angreifer kontrollierten Code mit Root-Rechten auf betroffenen Servern auszuführen. Virtualizor wird weltweit zur Verwaltung eines großen Teils der Budget- und Mittelklasse-VPS-Hosting eingesetzt, weshalb selbst eine eng begrenzte, zeitlich beschränkte Kompromittierung die Aufmerksamkeit mehrerer Sicherheitsmedien auf sich zog.
Die Payload installierte nicht autorisierte SSH-Schlüssel und einen als java-jre-update.service getarnten systemd-Dienst, der dem Angreifer eine dauerhafte Hintertür verschaffte, die einen Neustart überstehen und auf den ersten Blick wie ein gewöhnliches Java-Update aussehen würde. Softaculous veröffentlichte am 1. September 2026 die gepatchte Version Virtualizor 3.2.9.9 zusammen mit seinem eigenen Bericht zum Vorfall. Die Empfehlung des Unternehmens rät dazu, sowohl nach den betrügerischen SSH-Schlüsseln als auch namentlich nach dem getarnten Dienst zu suchen, da die Hintertür so gebaut war, dass sie sich unter legitime Systemprozesse mischte.
Was europäische Betreiber unter NIS2 schulden
Für jeden Betreiber in der EU oder in Großbritannien, der Infrastruktur bei Hetzner oder einem anderen europäischen Hoster betreibt, lautet die praktische Lehre, dass ein gültiges HTTPS-Zertifikat kein Beweis für Authentizität ist, wenn das darunterliegende Routing gefälscht werden kann. Hetzners eigene Routenankündigung blieb während des gesamten Vorfalls korrekt; die Kompromittierung lag ausschließlich im Traffic, der stattdessen die spezifischere Route des Angreifers wählte. Ein Auto-Update-Mechanismus, der keine Signaturen prüft, ist ein Single Point of Failure, egal wie solide die umgebende Infrastruktur ist. Dieselbe Logik gilt über Virtualizor hinaus für jedes Produkt, das automatisch Code abruft und installiert, ohne eine kryptografische Signatur zu prüfen.
Die empfohlene Abhilfe für alle, die Virtualizor oder den Auto-Update-Client eines anderen Anbieters ohne Signaturprüfung betreiben, ist unkompliziert: API-Zugangsdaten rotieren und einschränken sowie Server auf nicht autorisierte SSH-Schlüssel, Konten, geplante Aufgaben und ausgehende Verbindungen prüfen. Unter NIS2 tragen EU-Unternehmen, die für kritische Infrastruktur auf Software von Drittanbietern angewiesen sind, Sorgfaltspflichten in der Lieferkette, und ein Vorfall, bei dem der eigene Update-Kanal eines Anbieters zum Angriffsvektor wurde, fällt eindeutig in diese Pflicht.
Warum wir das tun
Wir tun das für alle, die versuchen, mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Die Menschen, die sie bauen, und die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen gehört.
Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verständnis dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu bezahlen.
Wenn es Ihnen heute etwas gegeben hat, sagen Sie uns, dass wir weitermachen sollen. Folgen Sie uns, hinterlassen Sie ein Like oder schreiben Sie einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, was uns antreibt.
Weiterlesen: EU-Sicherheitsteams Ohne Mitspracherecht Bei Astra | Ausgenutzt, Wochen Bevor PaperCut Patchte
