Virtualizorが33時間のBGPハイジャック被害を公表 — 正規TLS証明書まで取得され悪性アップデートを配布、一部サーバで持続化を確認

VPS（仮想専用サーバ）管理パネル「Virtualizor」の開発元であるSoftaculousは2026年8月31日、同社サービスがBGPハイジャックの被害に遭い、Virtualizorの更新パッケージが攻撃者によって置き換えられて一部のサーバへ配信されたと公表した。問題の期間は2026年8月28日20時57分（UTC）から30日6時10分（UTC）までの約33時間で、この間に更新確認を行った一握りのサーバが影響を受けたと同社は説明している。Softaculousは経路の復旧と不正取得されたTLS証明書の失効申請を完了し、2026年9月1日にバージョン3.2.9.9と管理画面上の「Security Analyzer」を提供した。今後はパッケージの暗号学的署名を導入する方針も示している。

何が起きたか — Hetzner上の/24が不正アナウンスで迂回

BGP（Border Gateway Protocol）はインターネット上の経路を決める仕組みで、ネットワーク同士が相互に経路情報を信頼して交換することを前提に動作する。BGPハイジャックでは、攻撃側のネットワークが本来管理していないIPアドレス範囲を不正にアナウンスし、他のネットワークがその経路を優先的に採用することでトラフィックが攻撃者側へ引き込まれる。

Softaculousによると、今回標的となったのは同社がHetznerで利用するIPアドレスブロック 162.55.80.0/24 である。2026年8月28日20時57分（UTC）ごろ、ネットワークAS62390（NexonHost）がトランジットプロバイダーAS6204（Zet.net）経由でこの/24を不正にアナウンスし始めた。この/24はHetznerが通常アナウンスする 162.55.0.0/16 より詳細（longest match）なため、標準的なBGPの経路選択では不正経路が優先され、受け入れたすべてのネットワークで通信が迂回した。Softaculousは、不正経路のASパス末尾に正規のオリジンであるAS24940（Hetzner）が残されていたため、オリジン偽装が目立ちにくかったと説明している。

影響を受けたアドレスは、Virtualizorのソフトウェア更新エンドポイントやクライアントエリア／課金サイトなどを含む。攻撃者のサーバは迂回期間中にLet’s Encryptから同社ドメイン（virtualizor.com、api.virtualizor.com、files.virtualizor.comなど）について正規のTLS証明書を取得していた。そのため、迂回された通信でもブラウザやクライアント側で証明書警告は表示されなかったと同社は述べている。

タイムラインとRIPE観測 — 一時的に72%のネットワークで迂回

SoftaculousはRIPEのRouting Information Service（RIS）が運用する368の収集ピア（主に大手トランジットやインターネットエクスチェンジ）を用い、10分ごとのスナップショットで 162.55.80.0/24 へのベストパスを再構成した。Softaculousが公表したタイムラインと計測結果の要点は次のとおりである。

• 2026年8月28日 20:57 UTCごろ: AS62390による不正アナウンスが開始
• 28日21:00〜29日08:50: 第1波。受け取ったほぼすべてのピアで不正経路が採用され、経路は激しくフラップ（断続的に出入り）した
• 29日08:00〜08:50: 迂回先のホストが不正取得した正規証明書で応答することを同社が独立して確認
• 29日08:50ごろ: 同社がHetznerへ通報し、Hetznerが同じ/24を直接アナウンスする対抗措置を取ると数分で迂回はゼロに低下
• 29日09:00〜20:00: 約11時間の小康状態。不正経路と対抗用の/24の両方が withdrawn され、トラフィックは正規の/16へ戻った
• 29日20:00〜30日06:00: 第2波。約10時間にわたり再び不正アナウンスが広がった
• 30日06:10以降: 不正経路は撤回され、正常な経路に戻った

計測上の数値は次のとおりである。

• 期間中に一度でもハイジャック経路を運んだRISピアは368中368（全ピア）
• 波が活性な時間帯のピークでは、/24経路を持つピアの約100%（中央値266ピア、範囲145〜272）が迂回し、全368ピアに対する割合では**約72%**に相当
• 33時間全体の時間加重平均では、全368ピアの約28%、経路を持つピアの中では**約65%**が任意の瞬間に迂回していた
• 経路は極めて不安定で、期間中に約1万600回のwithdrawが記録され、トランジット側のフラップダンピングにより繰り返し抑制された

Softaculousは、この不安定さのため個々のサーバでの迂回は断続的であり、約11時間の中断を挟んだ約22時間の活性期間のうち、更新チェックが迂回と重なった場合にのみ悪性パッケージが配信されたと説明している。これが影響が「一握りのサーバ」に留まった理由だとしている。

悪性パッケージの中身と持続化 — 攻撃者はログを持たない

Softaculousは「攻撃者のシステムが応答を返したため自社ログには記録が残らず、影響を受けたサーバの確定リストを作成できない」と述べ、すべてのVirtualizor運用者に点検を求めている。

同社が確認した悪性更新の痕跡は次のとおりである。

• サービス /etc/systemd/system/java-jre-update.service が存在する場合は侵害の兆候とみなす
• 該当する場合はAPI認証情報のローテーションと権限制限、SSH鍵や不正なアカウント、スケジュールタスク（cron等）、外部への不審な接続の監査が必要
• 期間中にSoftaculousのクライアントエリアへアクセスしたり支払い情報を入力したりした利用者は、パスワードのリセット、アカウント履歴の確認、カード明細の監視が推奨される

同社は他の製品について悪性パッケージは確認していないとしつつ、調査は継続中としている。

復旧と今後の対策 — バージョン3.2.9.9と署名検証へ移行

Softaculousは経路が完全に復旧したこと、不正取得された証明書について失効を申請したこと、2026年9月1日にVirtualizor バージョン3.2.9.9 をリリースし、管理パネルに「Security Analyzer」ツールを追加したことを公表した。同ツールは上記の持続化サービスの有無などを確認できる。

同社は今後、すべてのソフトウェアパッケージに暗号学的署名を導入し、より堅牢なインフラへ移行する計画を明らかにした。BGPハイジャック自体はインターネットの経路制御に起因する構造的な課題であり、RPKI（Resource Public Key Infrastructure）のROAやBGP Origin Validationなどの対策が広く議論されているが、Softaculousは今回の詳細な計測結果をRIPE RISの公開データを用いて再現したとして、完全な測定表をブログで公開している。

日本のホスティング事業者が確認すべきこと

Virtualizorは日本を含む世界中のホスティング事業者がVPSのプロビジョニングに利用している。Softaculousが「確定リストを作れない」と明言しているため、期間中に自動更新や手動の更新確認が動作したサーバは、特定の条件下で迂回していた可能性がある。Softaculousが示した確認項目（systemdサービスの有無、API認証情報とSSH鍵の棚卸し、課金ポータル利用時のパスワード変更）は、Virtualizorを運用するすべての組織が実施する必要がある。Softaculousはバージョン3.2.9.9への更新とSecurity Analyzerでの点検を呼びかけている。

出典

• Virtualizor Blog: Security Incident – BGP Hijacking (2026-08-31)