En 33 timmar lång kapning av Softaculous egen trafik
Mellan 20:57 UTC den 28 augusti och 06:10 UTC den 30 augusti 2026 kapade en angripare BGP-routingen för ett block Hetzner-hostade IP-adresser som tillhör Softaculous, företaget bakom den vitt använda VPS-kontrollpanelen Virtualizor. Det oseriösa nätverket AS62390, som opererade under namnet NexonHost, annonserade en mer specifik rutt för blocket 162.55.80.0/24 än Hetzners egen annonsering. Softaculous förlitar sig på Hetzner för infrastrukturen bakom Virtualizors licens-, uppdaterings- och nedladdningsservrar, och det var precis det som gjorde det kapade blocket värdefullt för en angripare.
Enligt standardreglerna för BGP-ruttval vinner den mer specifika rutten var den än accepteras, så trafik avsedd för Softaculous servrar omdirigerades till angriparens infrastruktur i cirka 33 timmar. Både BleepingComputer och The Register rapporterade om kapningen den 1 september 2026, och Softaculous bekräftade senare tidslinjen och de tekniska detaljerna i sin egen incidentrapport. Cybersecuritynews.com och GBHackers publicerade bekräftande rapportering samma dag och beskrev kapningen som ett läroboksexempel på en attack med ett mer specifikt prefix mot en hostingleverantörs adressutrymme.
| Händelse | Tid (UTC) |
|---|---|
| BGP-kapningen börjar | 20:57, 28 aug. 2026 |
| Kapningsfönstret slutar | 06:10, 30 aug. 2026 |
| Total kapningslängd | Cirka 33 timmar |
| Patchad Virtualizor 3.2.9.9 släpps | 1 sept. 2026 |
Varför certifikatet aldrig utlöste en varning
Kapningen omdirigerade inte bara trafik, den fångade även upp de domänvalideringskontroller som Let's Encrypt använder för att bekräfta vem som kontrollerar en domän, och det lät angriparen begära och få ett äkta, giltigt signerat TLS-certifikat för den kapade domänen. Anslutningar till angriparens server visade ingen certifikatvarning alls, eftersom förfrågan för certifikatutfärdaren såg ut att komma från domänens rättmätiga ägare. Varken hänglåset i webbläsaren, certifikatkedjan eller anslutningen i sig visade något tecken på att något var fel.
Det är den obekväma delen av händelsen: Let's Encrypts automatiserade validering fungerade precis som avsett. Den kontrollerar att den som svarar på en IP-adress kontrollerar domänen, och under kapningsfönstret svarade angriparen faktiskt på den adressen. Förfalskningen låg inte i certifikatet, utan i routingen som avgjorde vem som fick bevisa ägarskap. Den skillnaden spelar roll: att bara skärpa domänvalideringen skulle inte förhindra en upprepning, eftersom svagheten sitter i routinglagret därunder.
En uppdateringsklient som aldrig verifierade en signatur
Ett skadligt Virtualizor-uppdateringspaket skickades ut till ett litet antal installationer, specifikt de som råkade kontrollera uppdateringar just under kapningsfönstret, inte till Virtualizors bredare användarbas. Virtualizors egen uppdateringsklient verifierar inte paketen den laddar ner kryptografiskt, så ett giltigt certifikat på en kapad rutt räckte för att köra angriparkontrollerad kod som root på drabbade servrar. Virtualizor används för att hantera en stor del av budget- och mellanklass-VPS-hostingen världen över, vilket förklarar varför även en snäv, tidsbegränsad kompromettering fick uppmärksamhet från flera säkerhetsmedier.
Nyttolasten installerade obehöriga SSH-nycklar och en falsk systemd-tjänst förklädd till java-jre-update.service, vilket gav angriparen en beständig bakdörr som skulle överleva en omstart och vid en första anblick se ut som en vanlig Java-uppdatering. Softaculous släppte den patchade versionen Virtualizor 3.2.9.9 den 1 september 2026, tillsammans med en egen redogörelse för händelsen. Företagets rekommendation är att leta efter både de obehöriga SSH-nycklarna och den förklädda tjänsten vid namn, eftersom bakdörren var byggd för att smälta in bland legitima systemprocesser.
Vad europeiska operatörer är skyldiga enligt NIS2
För alla EU- eller Storbritannien-operatörer som driver infrastruktur hos Hetzner eller en annan europeisk värd är den praktiska lärdomen att ett giltigt HTTPS-certifikat inte är bevis på äkthet när routingen bakom kan förfalskas. Hetzners egen ruttannonsering förblev korrekt genom hela händelsen; komprometteringen låg helt i trafiken som istället valde angriparens mer specifika rutt. En automatisk uppdateringsmekanism som inte verifierar signaturer är en enda felkälla, oavsett hur solid den omgivande infrastrukturen är. Samma logik gäller bortom Virtualizor, för alla produkter som automatiskt hämtar och installerar kod utan att kontrollera en kryptografisk signatur.
Den rekommenderade åtgärden för alla som kör Virtualizor, eller någon annan leverantörs autouppdateringsklient utan signaturverifiering, är enkel: rotera och begränsa API-uppgifter, och granska servrar efter obehöriga SSH-nycklar, konton, schemalagda uppgifter och utgående anslutningar. Enligt NIS2 har EU-företag som förlitar sig på tredjepartsprogramvara för kritisk infrastruktur skyldigheter kring due diligence i leveranskedjan, och en händelse där leverantörens egen uppdateringskanal blev attackvektorn faller rakt inom den skyldigheten.
Varför vi gör detta
Vi gör detta för alla som försöker hänga med i vad tekniken gör med våra liv. Människorna som bygger den, och människorna det händer med. Servola Journal finns så att det vi lär oss tillhör dem alla.
Ingen betalar oss för det här. Ingen reklam, ingen betalvägg, gratis för alla. Vi tror helt enkelt att förståelsen av vad som händer oss alla inte borde bero på vem som har råd att betala för den.
Om det här gav dig något idag, säg till oss att fortsätta. Följ oss, lämna ett gilla-markering eller skriv en positiv kommentar. Vi läser varenda en, och de är det som håller oss igång.
Läs vidare: EU:s Säkerhetsteam Har Inget Inflytande Över Astra | Utnyttjad Veckor Innan PaperCut Patchade
