Vulnerabilità · 56 giorni fa
Virtualizor è finito dentro una campagna attiva di supply chain: un BGP hijack ha deviato il traffico di update verso server controllati dagli attaccanti, che hanno servito update malevole invece di quelle legittime. Chi ha installato il prodotto durante la finestra del dirottamento può aver ricevuto codice ostile dal normale canale del vendor.
Il meccanismo è semplice e grave: non è stato necessario violare i server di Virtualizor. È bastato spostare la strada su cui viaggiavano le richieste di update, così il client si è fidato di una risposta falsa perché arrivata dal percorso che considerava valido. In pratica, il canale di distribuzione è diventato il punto d’ingresso.
Per gli operatori di hosting e per chi gestisce host di management VPS, la lezione è che la fiducia nel percorso di update conta quanto il software stesso. Se il delivery path può essere deviato, un sistema può sembrare aggiornato correttamente e invece portarsi dentro codice dell’attaccante.
4 fonti che coprono questa storia
BGP Hijack Delivers Malicious Virtualizor Update That Establishes Persistent Root Access
A BGP hijack delivered a malicious Virtualizor update; one provider found root compromise on five of 34 checked hypervisors.
Malicious Virtualizor Update Served via BGP Hijacking
Using a technically valid TLS certificate for Softaculous’ domains, a threat actor diverted traffic to fake software updates.
Risky Bulletin: BGP hijack delivers malicious Virtualizor updates
A BGP hijack delivered malicious Virtualizor updates, the White House launches Project Watershed 250, Indian authorities take down a Teleg [Read More
Hackers push malicious Virtualizor update in BGP hijacking attack
Hackers delivered malicious updates to the Virtualizor VPS management software after hijacking BGP routing for its update infrastructure and redirecting update requests to malicious servers.
Part of the PlainSec briefing for 2026-09-03