Contexte de l'attaque
En septembre 2026, des acteurs non identifiés ont mené une chaîne d'approvisionnement visant les infrastructures hébergées par Hetzner Online. Ils ont détourné un bloc d'adresses IP attribué à Softaculous, une société basée aux Émirats arabes unis qui fournit des outils d'installation et de gestion de logiciels Web ainsi que la plateforme de virtualisation Virtualizor. Les adresses compromises servaient à diffuser les mises à jour du produit et à héberger le site client et de facturation. En contrôlant ces IP, les attaquants ont pu injecter des paquets malveillants sous couvert d'« updates » légitimes.
Mécanisme du détournement BGP
Les hackers ont exploité deux faiblesses majeures : une configuration laxiste du routage BGP chez Hetzner Online et une procédure d’obtention de certificats TLS insuffisamment sécurisée. Le premier hijack a duré 33 heures, dont une première phase de 12 heures pendant laquelle Hetzner a rétabli le chemin correct avant de le retirer, permettant une seconde prise de contrôle qui a persisté près de 10 heures. Le BGP, protocole de décision de chemin inter‑AS, a été manipulé en annonçant une route plus courte vers les préfixes Softaculous, ce qui a redirigé le trafic vers les serveurs de l’attaquant. L’absence de filtres de préfixe et de validation de l’origine des annonces a rendu la subversion possible.
Failles d’ingénierie logicielle
Softaculous n’a pas appliqué la pratique standard de signature cryptographique des paquets de mise à jour. Le texte de l’entreprise indique que les clients de mise à jour ne vérifient pas les signatures, de sorte qu’un paquet altéré n’est pas rejeté. Cette omission a permis à l’attaquant de livrer un code malveillant via le même canal que les mises à jour officielles. De plus, la procédure de délivrance de certificats TLS n’a pas empêché l’émission de certificats valides pour les serveurs compromis, facilitant l’établissement de connexions HTTPS sans alerte de confiance.
Réaction et leçons
Hetzner Online a réagi en réannonce les préfixes corrects après 12 heures, puis a interrompu l’annonce, mais la seconde phase a montré que la surveillance n’était pas suffisante pour détecter rapidement une ré‑annonce hostile. L’incident souligne l’importance de filtres de préfixe stricts (RPKI), de surveillance en temps réel des annonces BGP et de la mise en œuvre de la validation de code signé pour les mises à jour. Les opérateurs doivent également auditer les processus de délivrance de certificats TLS afin d’éviter la création de certificats valides pour des services non autorisés. Sans ces mesures, la combinaison d’une mauvaise configuration réseau et d’une chaîne d’approvisionnement non protégée reste exploitable.
