Virtualizorの更新トラフィックがBGPハイジャック被害、一部サーバーでroot権限の不正奪取が発生
要点
- サーバー仮想化管理ソフト「Virtualizor」の更新トラフィックがBGPハイジャックにより攻撃者サーバーへ不正転送され、改ざんされたパッケージが配信された。
- パッケージの暗号署名検証の欠如と正規証明書の悪用により警告なしにコードが適用され、永続的なroot権限の奪取や不正なSSH接続が実行された。
- あるホスティング事業者では34台のハイパーバイザー中5台で侵害が確認された一方、開発元は影響を受けた全体数は少数にとどまると発表している。
- 開発元はセキュリティスキャナーを含むパッチを公開し、全運用者に対して不審なサービスやキーの監査、API情報の再発行などの点検を呼びかけている。
サーバー仮想化管理ソフトウェア「Virtualizor」を提供するSoftaculousのネットワーク通信が、BGP（インターネット上で自律システム間の経路情報を交換するプロトコル）ハイジャックによって攻撃者のサーバーへ不正に転送されていたことが明らかになった。攻撃者はこの経路乗っ取りを利用して悪意ある更新パッケージを配信し、一部のサーバーで永続的なroot権限（システム全体に対する完全な管理者権限）を確立したという。セキュリティメディアのThe Hacker Newsが2026年9月に報じた。
BGPハイジャックと証明書の悪用による不正配信の手口
インシデントが発生したのは、協定世界時（UTC）の2026年8月28日20時57分から8月30日06時10分にかけての期間である。欧州IPネットワーク資源調整センター（RIPE NCC）のデータ分析によると、8月28日20時57分30秒（UTC）に不正な経路情報が初めてアナウンスされたことが確認されている。この経路改ざんにより、Softaculousのサービス向けトラフィックが攻撃者の運用するサーバーへと迂回させられた。
攻撃者はトラフィックの迂回期間中に、正規の認証局であるLet's Encryptから有効なSSL/TLS証明書（通信の暗号化と接続先の正当性を証明する電子証明書）を取得していた。そのため、攻撃者サーバーを経由した通信であっても、接続時に証明書警告が表示されなかったという。さらに当時のVirtualizorの更新クライアントには、配布物が改ざんされていないかを確かめる暗号署名検証の仕組みが存在しなかったため、期間中に更新チェックを行ったシステムは改ざんされたパッケージをそのまま受け入れて適用してしまった。
不正コードの挙動と永続的なアクセスの確立
改ざんされた更新パッケージには、Virtualizorを構成する3つの正規ファイル内に不正なコマンドが挿入されていた。これらのコードは、システムのroot権限で動作するcron（指定した日時に処理を自動実行するスケジューラー）によって定期的に実行される仕組みとなっていた。
実行されたコードは、まずrootアカウントの認証情報に攻撃者が制御する公開鍵を追加した。さらにシステム内にJava 17環境が存在しない場合は自動でランタイムをインストールし、外部からJavaペイロード（不正に実行されるプログラム本体）をダウンロードしてroot権限で起動させたという。
このペイロードは、Linuxのサービス管理機構であるsystemdに「/etc/systemd/system/java-jre-update.service」という常駐サービスを登録して永続的なアクセス権を確保した。加えて「proxyuser」という不正なアカウントを新規作成しており、プロバイダのログからはIPアドレス「193.32.127[.]248」から同アカウントへのSSHパスワード認証によるログイン成功が確認されている。
被害状況と影響範囲
影響の規模について、Virtualizorは公式のインシデントアドバイザリにおいて「一般ユーザー全体ではなく、少数のサーバーに影響が及んだ」と説明している。しかし、影響を受けたバージョン範囲や該当サーバーの確定リストが存在しないことから、同社はすべての運用者に対してサーバーの点検を呼びかけている。
一方、コミュニティサイトのLowEndTalkでは、ホスティング事業者AlbaHostのアカウントが自社環境における被害を報告した。同社が確認した34台のVirtualizorハイパーバイザー（仮想マシンを稼働・管理する物理ホスト）のうち、5台で同様の改ざんとrootレベルの侵害が確認されたという。ただし、同社の独自調査時点では、顧客の仮想専用サーバー（VPS）自体の改ざんやデータベースの外部エクスポートは確認されていないとしている。
なお、通信が迂回されていた期間中に顧客管理エリアへのログインや決済情報の入力を行ったトラフィックも攻撃者サーバーへ到達した可能性があるが、9月2日時点で顧客アカウントや決済データの盗難被害は確認されていないと報告されている。
ベンダーの対応と運用者への推奨手順
Virtualizorは9月1日に、セキュリティアナライザー機能を同梱した「Patch 9」をリリースした。ただし、パッケージの暗号署名検証機能の実装については今後の課題（future work）としている。
同社は運用者に対し、公式スキャナースクリプト（virtualizor_security_scan.sh、SHA-256ハッシュ値：73e74402b3a61c7bab289fc11347bd54c7fcdc2fa2e410f4c3de9d6cd7377d48）の実行と、以下の手順による点検を案内している。
- 不審なサービスの確認:
/etc/systemd/system/java-jre-update.serviceの存在を確認し、存在する場合は証拠を保全した上でVirtualizorサポートへ連絡する。 - API認証情報の更新: すべてのAPI（外部プログラムと連携するためのインターフェース）キーをローテーションし、アクセス元を信頼できるIPアドレスに制限した上で、見覚えのないキーを削除する。
- アクセス権とタスクの監査: 未知のSSH公開鍵、新規ユーザー、不審なcronジョブやスケジュールタスク、予期しない外部接続を監査し、SSH接続を信頼できるIPアドレスのみに制限する。
- 公式スキャナーの実行: 配布スクリプトを用いて既知の侵害兆候をスキャンする。
- サポートへの連絡と完全な復旧: 侵害が確認されたサーバーは、証拠保全のために修復前にサポートへ連絡する。スキャナーによる対処は既知の兆候の封じ込めに留まるため、ホストの信頼性を完全に取り戻すための追加対応を行う。
また、インシデント期間中にログインや決済情報の入力を行ったクライアントエリアの利用者に対しては、パスワードのリセットや使い回しパスワードの変更、カード利用明細の確認、APIキーの再生成が求められている。さらに、Webuzo、Softaculous、Backuply、SitePadなど同社が提供する他の製品についても、期間中に更新確認を行ったサーバーがあれば点検を実施するよう案内されている。