Virtualizor mutmaßlich kompromittiert (August 2026)

Das hört sich wirklich nicht gut an – mit ist gerade eine Meldung untergekommen, dass Virtualizor vor einigen Tagen kompromittiert worden sein soll. Beim BGP-Hijack, der vor einigen Tagen stattfand, scheint ein Schadprogramm eingeschleust worden zu sein. Wer den Virtualizor verwendet, sollte Zugangsdaten widerrufen und zurücksetzen.

Was ist der Virtualizor?

Der Virtualizor ist eine kostenpflichtige, webbasierte Software zur Verwaltung und Automatisierung von virtuellen Servern (VPS). Sie wurde von dem Unternehmen Softaculous Ltd. entwickelt und richtet sich primär an Webhosting-Anbieter und Systemadministratoren, die eigene Serverlandschaften aufteilen und an Kunden vermieten wollen. Ich gehe daher davon aus, dass einige Nutzer aus der Leserschaft mit dieser Software arbeiten, um ihre virtuellen Server automatisiert zu verwalten.

Kompromittierung des Virtualizor wird untersucht

Mir ist die Information über eine Kompromittierung des Virtualizor gerade von Sicherheitsforscher Florian Roth auf X untergekommen.

Die Diskussion findet sich auf dieser Webseite, wo es heißt, dass der Virtualizor bei dem BGP-Hijack vor einigen Tagen kompromittiert wurde. Es scheint ein schädliches Paket installiert worden zu sein.

Angriff über BGP-Hijack

Im Thread wird angegeben, dass die Kompromittierung am 29. August 2026 gegen 22:23:01 Uhr begonnen haben muss. Im Thread heißt es, dass der Update-Server von Virtualizor zu 100 % kompromittiert wurde. Der Vorfall sei durch einen weiterer Host und den betreffenden Poster bestätigt.

In diesem Post heißt es, dass zwischen dem 28. August, ca. 20:57 Uhr UTC, und dem 30. August, ca. 06:10 Uhr UTC (2026) ein von den Diensten genutzter IP-Adressblock von Hetzner (162.55.80.0/24) von einem BGP-Hijack betroffen war. Der Internetverkehr zu diesen Adressen wurde auf den Server eines Angreifers umgeleitet (angekündigt von AS62390 / NexonHost, über Transit-AS6204 / Zet.net). Der Angreifer hatte ein gültiges TLS-Zertifikat für die Virtualizor-Domains erlangt, sodass bei den betroffenen Verbindungen keine Zertifikatswarnung angezeigt wurde.

Öffentliche RIPE-Routing-Daten bestätigen laut dem Post, dass der Hijack in zwei Wellen – einmal vom Abend des 28. August bis zum 29. August um ca. 08:50 Uhr, dann vom 29. August um ca. 20:00 Uhr bis zum 30. August um ca. 06:00 Uhr –, mit einer etwa 11-stündigen Pause ablief. Das Routing sei nun vollständig wiederhergestellt.

Virtualizor-Updatepaket kompromittiert

Dieser BGP-Hijack hatte gravierende Auswirkungen: Ein bösartiges Virtualizor-Updatepaket wurde an eine kleine Anzahl von Installationen ausgeliefert, die zufällig während dieser Zeit, als der Datenverkehr umgeleitet wurde, nach Updates suchten. Es handelte sich dabei um eine Handvoll Server, nicht um die allgemeine Nutzerbasis, heißt es. Da diese Anfragen jedoch an den Angreifer und nicht an die Virtualizor-Betreiber gingen, können diese keine genaue Liste der Betroffenen erstellen.

Daher sollten alle Kunden jeden verwendeten Virtualizor-Server als betroffen ansehen. Es gilt die folgende Aufforderung für Kunden:

• Im Virt-Master-Panel alle API-Zugangsdaten zurückzusetzen und den Zugriff auf bekannt IP-Adressen zugreifen.
• Die Instanz auf verdächtige Schlüssel zu überprüfen und sicherzustellen, dass die SSH-Verbindung abgesichert ist.
• Zu prüfen, ob die Datei /etc/systemd/system/java-jre-update.service vorhanden ist.

Im Thread heißt es, dass die Malware eine IP-Adresse durch die Auflösung von connect.ne-rat[.]xyz bezogen werde. Nerat sei ein RAT-SaaS-Dienst, so dass es angeblich kein besonders ausgefeilter Angriff sei – aber die Kompromittierung scheint stattgefunden zu haben.

Der Poster bittet Leute, deren Host betroffen ist, eine Direktnachricht zu senden. Auch eine Zusammenarbeit mit Anbietern ist erwünscht. Poster listen im Thread Provider auf, die das Produkt verwenden. Im Thread wird angegeben, dass auch proxmox von dieser Kompromittierung betroffen sei – allerdings gibt es hierzu keine Details. Das Ganze ist eh eine sich entwickelnde Geschichte. Virtualizor hat auf dieser Webseite zwischen einen Post Incident-Report veröffentlicht.