BGP-перехват с валидным RPKI затронул обновления Virtualizor

В третьем квартале 2026 года специалисты CURATOR зафиксировали 11 глобальных утечек маршрутов и один BGP-перехват. При этом число автономных систем, замеченных в перехватах, за год сократилось на 38,2%. В компании связывают это с более широким внедрением RPKI ROA — механизма, который позволяет проверять, имеет ли сеть право объявлять определённый IP-диапазон.

Однако единственный зафиксированный за квартал перехват показал, что сама по себе проверка RPKI не гарантирует защиту от атаки. Из-за особенностей настройки ROA поддельный маршрут к части адресного пространства хостинг-провайдера Hetzner получил статус валидного и распространился по интернету.

Как произошёл перехват

На перехваченном участке инфраструктуры размещались ресурсы компании Softaculous, включая сервер обновлений платформы Virtualizor. Злоумышленники объявили более специфичный маршрут к нужной части сети Hetzner, благодаря чему часть трафика стала направляться через их инфраструктуру.

Настройки ROA позволили этому объявлению пройти RPKI-проверку. В результате атакующие смогли перехватить трафик Softaculous, выпустить действительный TLS-сертификат для доменов компании и использовать полученный доступ в атаке на цепочку поставок.

Части клиентов Softaculous было отправлено вредоносное обновление Virtualizor. Таким образом, компрометация маршрутизации вышла за рамки сетевого инцидента и затронула пользователей программного продукта через штатный механизм обновлений.

RPKI снижает число перехватов, но не устраняет утечки маршрутов

По данным CURATOR, за год количество автономных систем, связанных с BGP-перехватами, уменьшилось на 38,2%. В то же время число автономных систем, ответственных за утечки маршрутов, сократилось только на 6,4%.

RPKI ROA предназначен прежде всего для проверки авторства маршрутов и не защищает от route leaks — ситуаций, когда корректно существующий маршрут распространяется за пределы допустимой политики. Специализированные механизмы против таких инцидентов, включая RFC 9234 и ASPA, пока находятся на ранних стадиях внедрения.

Случай с инфраструктурой Softaculous показывает, что наличие валидной подписи RPKI ещё не означает безопасность маршрута. Ошибки или недостаточно точная настройка ROA могут позволить поддельному объявлению пройти формальную проверку, а последствия такого перехвата способны затронуть клиентов через доверенные каналы распространения обновлений.