Un dirottamento di 33 ore al traffico stesso di Softaculous
Tra le 20:57 UTC del 28 agosto e le 06:10 UTC del 30 agosto 2026, un attaccante ha dirottato il routing BGP di un blocco di indirizzi IP ospitati su Hetzner e appartenenti a Softaculous, l'azienda dietro il pannello di controllo VPS Virtualizor, molto diffuso. La rete fraudolenta AS62390, operante sotto il nome NexonHost, ha annunciato una rotta più specifica per il blocco 162.55.80.0/24 rispetto all'annuncio dello stesso Hetzner. Softaculous si appoggia a Hetzner per l'infrastruttura dietro i server di licenze, aggiornamenti e download di Virtualizor, ed è proprio questo che ha reso il blocco dirottato un bersaglio prezioso.
Secondo le regole standard di selezione delle rotte BGP, la rotta più specifica vince ovunque venga accettata, quindi il traffico diretto ai server di Softaculous è stato reindirizzato verso l'infrastruttura dell'attaccante per circa 33 ore. BleepingComputer e The Register hanno riportato entrambi il dirottamento il 1 settembre 2026, e Softaculous ha poi confermato la cronologia e i dettagli tecnici nel proprio rapporto sull'incidente. Cybersecuritynews.com e GBHackers hanno pubblicato lo stesso giorno una copertura di conferma, descrivendo il dirottamento come un caso da manuale di attacco con prefisso più specifico contro lo spazio di indirizzi di un provider di hosting.
| Evento | Orario (UTC) |
|---|---|
| Inizio del dirottamento BGP | 20:57, 28 ago 2026 |
| Fine della finestra di dirottamento | 06:10, 30 ago 2026 |
| Durata totale del dirottamento | Circa 33 ore |
| Rilascio di Virtualizor 3.2.9.9 corretto | 1 set 2026 |
Perché il certificato non ha mai fatto scattare un avviso
Il dirottamento non si è limitato a reindirizzare il traffico: ha anche catturato i controlli di convalida di dominio che Let's Encrypt usa per confermare chi controlla un dominio, e questo ha permesso all'attaccante di richiedere e ottenere un certificato TLS reale e validamente firmato per il dominio dirottato. Le connessioni al server dell'attaccante non mostravano alcun avviso di certificato, perché per l'autorità di certificazione la richiesta sembrava provenire dal legittimo proprietario del dominio. Né il lucchetto del browser, né la catena di certificazione, né la connessione stessa segnalavano che qualcosa non andava.
Questa è la parte scomoda dell'incidente: la convalida automatizzata di Let's Encrypt ha funzionato esattamente come previsto. Verifica che chi risponde a un indirizzo IP controlli il dominio, e durante la finestra di dirottamento l'attaccante rispondeva davvero a quell'indirizzo. La falsificazione non stava nel certificato, ma nel routing che decideva chi potesse dimostrare la proprietà. Questa distinzione conta: rafforzare solo la convalida di dominio non basterebbe a evitare un altro caso, perché la debolezza sta nello strato di routing sottostante.
Un client di aggiornamento che non ha mai verificato una firma
Un pacchetto di aggiornamento malevolo di Virtualizor è arrivato a un numero ridotto di installazioni, precisamente quelle che hanno controllato gli aggiornamenti proprio durante la finestra di dirottamento, non alla base utenti di Virtualizor in generale. Il client di aggiornamento di Virtualizor non verifica crittograficamente i pacchetti scaricati, quindi un certificato valido su una rotta dirottata è bastato per eseguire codice controllato dall'attaccante come root sui server colpiti. Virtualizor viene usato per gestire una larga fetta dell'hosting VPS economico e di fascia media in tutto il mondo, il che spiega perché anche una compromissione ristretta e limitata nel tempo abbia attirato l'attenzione di più testate di sicurezza.
Il payload ha installato chiavi SSH non autorizzate e un servizio systemd falso travestito da java-jre-update.service, dando all'attaccante una backdoor persistente in grado di sopravvivere a un riavvio e di sembrare, a prima vista, un normale aggiornamento Java. Softaculous ha rilasciato la versione corretta Virtualizor 3.2.9.9 il 1 settembre 2026, insieme a un proprio resoconto dell'incidente. Il suo avviso raccomanda di controllare sia le chiavi SSH intruse sia il servizio travestito, cercandolo per nome, poiché la backdoor era costruita per mimetizzarsi tra i processi di sistema legittimi.
Cosa devono gli operatori europei sotto NIS2
Per qualsiasi operatore nell'UE o nel Regno Unito che gestisce infrastrutture su Hetzner o su un altro host europeo, la lezione pratica è che un certificato HTTPS valido non è prova di autenticità quando il routing sottostante può essere falsificato. L'annuncio delle rotte di Hetzner è rimasto corretto per tutto l'incidente; la compromissione risiedeva interamente nel traffico che ha scelto invece la rotta più specifica dell'attaccante. Un meccanismo di aggiornamento automatico che non verifica le firme è un singolo punto di fallimento, indipendentemente da quanto sia solida l'infrastruttura circostante. La stessa logica vale oltre Virtualizor, per qualunque prodotto che scarichi e installi codice automaticamente senza verificare una firma crittografica.
La remediation consigliata per chiunque usi Virtualizor, o il client di aggiornamento automatico di un altro fornitore senza verifica delle firme, è semplice: ruotare e limitare le credenziali API, e verificare i server alla ricerca di chiavi SSH, account, attività pianificate e connessioni in uscita non autorizzate. Ai sensi della NIS2, le aziende dell'UE che dipendono da software di terze parti per infrastrutture critiche hanno obblighi di due diligence sulla catena di fornitura, e un incidente in cui il canale di aggiornamento stesso del fornitore è diventato il vettore d'attacco rientra pienamente in quell'obbligo.
Perché lo facciamo
Lo facciamo per tutti coloro che cercano di tenere il passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui accade. Il Servola Journal esiste perché ciò che impariamo appartenga a tutti loro.
Nessuno ci paga per questo. Niente pubblicità, nessun paywall, gratis per tutti. Crediamo semplicemente che capire cosa sta succedendo a tutti noi non dovrebbe dipendere da chi può permettersi di pagarlo.
Se oggi vi ha dato qualcosa, diteci di continuare. Seguiteci, lasciate un like o scrivete un commento positivo. Li leggiamo tutti, e sono ciò che ci fa andare avanti.
Da leggere ora: Le Squadre Di Sicurezza Europee Senza Voce Su Astra | Sfruttato Prima Che PaperCut Avesse una Patch
