BGP-kaping leverde geldig certificaat op, dan root

Een 33 uur durende kaping van Softaculous' eigen verkeer

Tussen 20:57 UTC op 28 augustus en 06:10 UTC op 30 augustus 2026 kaapte een aanvaller het BGP-routing van een blok Hetzner-gehoste IP-adressen die toebehoren aan Softaculous, het bedrijf achter het veelgebruikte VPS-controlepaneel Virtualizor. Het frauduleuze netwerk AS62390, opererend onder de naam NexonHost, kondigde voor het blok 162.55.80.0/24 een specifiekere route aan dan Hetzners eigen aankondiging. Softaculous leunt voor de licentie-, update- en downloadservers van Virtualizor op Hetzner, en dat maakte het gekaapte blok juist zo waardevol voor een aanvaller.

Volgens de standaardregels voor BGP-routeselectie wint de specifiekere route overal waar die wordt geaccepteerd, waardoor verkeer bestemd voor Softaculous' servers ongeveer 33 uur lang werd omgeleid naar de infrastructuur van de aanvaller. BleepingComputer en The Register berichtten allebei op 1 september 2026 over de kaping, en Softaculous bevestigde later de tijdlijn en technische details in een eigen incidentrapport. Cybersecuritynews.com en GBHackers publiceerden diezelfde dag bevestigende berichtgeving en omschreven de kaping als een schoolvoorbeeld van een aanval met een specifieker prefix tegen de adresruimte van een hostingprovider.

Waarom het certificaat nooit een waarschuwing gaf

De kaping leidde niet alleen verkeer om, maar onderschepte ook de domeinvalidatiecontroles die Let's Encrypt gebruikt om te bevestigen wie een domein beheert, en dat liet de aanvaller een echt, geldig ondertekend TLS-certificaat voor het gekaapte domein aanvragen en ontvangen. Verbindingen met de server van de aanvaller lieten helemaal geen certificaatwaarschuwing zien, omdat het voor de certificaatautoriteit leek alsof het verzoek van de rechtmatige eigenaar van het domein kwam. Noch het hangslot in de browser, noch de certificaatketen, noch de verbinding zelf gaf enig signaal dat er iets mis was.

Dat is het ongemakkelijke deel van dit incident: de geautomatiseerde validatie van Let's Encrypt werkte precies zoals bedoeld. Ze controleert of wie op een IP-adres antwoordt het domein beheert, en tijdens het kapingsvenster antwoordde de aanvaller daadwerkelijk op dat adres. De vervalsing zat niet in het certificaat, maar in de routing die bepaalde wie eigendom kon bewijzen. Dat onderscheid is belangrijk: alleen de domeinvalidatie aanscherpen zou een herhaling niet voorkomen, want de zwakte zit in de onderliggende routinglaag.

Een update-client die nooit een handtekening controleerde

Een kwaadaardig Virtualizor-updatepakket bereikte een klein aantal installaties, precies de installaties die toevallig tijdens het kapingsvenster op updates controleerden, niet de bredere gebruikersbasis van Virtualizor. Virtualizors eigen update-client verifieert de gedownloade pakketten niet cryptografisch, dus een geldig certificaat op een gekaapte route was genoeg om door de aanvaller gecontroleerde code als root op de getroffen servers te laten draaien. Virtualizor wordt gebruikt om een groot deel van de budget- en middenklasse VPS-hosting wereldwijd te beheren, wat verklaart waarom zelfs een beperkte, kortdurende compromittering de aandacht trok van meerdere beveiligingsmedia.

De payload installeerde ongeautoriseerde SSH-sleutels en een nep-systemd-service vermomd als java-jre-update.service, wat de aanvaller een permanente achterdeur gaf die een herstart zou overleven en op het eerste gezicht op een gewone Java-update zou lijken. Softaculous bracht op 1 september 2026 de gepatchte versie Virtualizor 3.2.9.9 uit, samen met een eigen verslag van het incident. Het advies van het bedrijf raadt aan om te controleren op zowel de illegale SSH-sleutels als de vermomde service, gezocht op naam, aangezien de achterdeur zo was gebouwd dat hij opging tussen legitieme systeemprocessen.

Wat Europese operators verschuldigd zijn onder NIS2

Voor elke EU- of VK-operator die infrastructuur draait bij Hetzner of een andere Europese hoster, is de praktische les dat een geldig HTTPS-certificaat geen bewijs van authenticiteit is wanneer de onderliggende routing kan worden vervalst. Hetzners eigen route-aankondiging bleef gedurende het hele incident correct; het compromis zat volledig in het verkeer dat in plaats daarvan de specifiekere route van de aanvaller koos. Een auto-update-mechanisme dat geen handtekeningen controleert, is een single point of failure, hoe solide de omringende infrastructuur ook is. Dezelfde logica geldt voorbij Virtualizor, voor elk product dat automatisch code ophaalt en installeert zonder een cryptografische handtekening te controleren.

De aanbevolen remediatie voor iedereen die Virtualizor gebruikt, of de auto-update-client van een andere leverancier zonder handtekeningcontrole, is eenvoudig: API-inloggegevens roteren en beperken, en servers controleren op ongeautoriseerde SSH-sleutels, accounts, geplande taken en uitgaande verbindingen. Onder NIS2 hebben EU-bedrijven die voor kritieke infrastructuur afhankelijk zijn van software van derden, zorgvuldigheidsverplichtingen in de toeleveringsketen, en een incident waarbij het eigen updatekanaal van de leverancier het aanvalsvector werd, valt daar recht binnen.

Waarom we dit doen

We doen dit voor iedereen die probeert bij te blijven met wat technologie met ons leven doet. De mensen die het bouwen, en de mensen die het overkomt. Servola Journal bestaat zodat wat we leren van hen allemaal is.

Niemand betaalt ons hiervoor. Geen advertenties, geen betaalmuur, gratis voor iedereen. We geloven gewoon dat begrijpen wat er met ons allemaal gebeurt niet mag afhangen van wie het zich kan veroorloven ervoor te betalen.

Als dit u vandaag iets heeft gebracht, laat het ons weten door door te gaan met steunen. Volg ons, laat een like achter of schrijf een positieve reactie. We lezen ze allemaal, en ze zijn wat ons op de been houdt.

Lees hierna: EU-Beveiligingsteams Hebben Niets Te Zeggen Over Astra  |  Uitgebuit Weken Voordat PaperCut Patchte