Virtualizor所属厂商Softaculous发布安全公告，其更新分发基础设施在2026年8月28日20:57 UTC至8月30日06:10 UTC遭遇BGP路由劫持攻击，攻击者借助劫持链路获取合法TLS证书，向部分Virtualizor节点下发恶意更新包，获取宿主机root权限，官方强调事件属于分发链路劫持，并非Virtualizor程序本身存在代码漏洞。

攻击者通过AS62390（NexonHost）经上游AS6204（Zet.net），非法宣告Hetzner名下子网162.55.80.0/24；该子网承载Virtualizor更新接口、客户计费后台等服务。由于BGP选路规则会优先选择掩码更长、更具体的路由，这条伪造路由在大量互联网网络中生效，将去往Softaculous服务的流量导流至攻击者服务器。

路由劫持同时干扰域名证书的DNS验证流程，攻击者成功从Let’s Encrypt拿到针对virtualizor.com、api.virtualizor.com等域名的有效TLS证书，受害服务器访问更新接口时不会弹出证书告警，无法通过普通HTTPS校验识别恶意服务器。

根据RIPE RIS路由数据统计，劫持分为两波攻击高峰，中间有约11小时的中断窗口期；劫持期间最高约72%监测节点流量被劫持，路由频繁震荡，整体劫持是间歇性生效，因此仅有少量在劫持窗口期恰好执行更新检查的服务器收到恶意载荷。Virtualizor早期更新客户端缺少更新包密码学校验机制，拿到经过HTTPS传输的恶意包便直接执行，给攻击创造条件。