33 Stunden BGP-Umleitung bei Softaculous: Wenn Routing im Internet zur Waffe wird
Cybersicherheit Sep 2, 2026Zu Lesezeichen hinzufügen
Während 33 Stunden wurde der Datenverkehr zu Softaculous – dem von Millionen cPanel/Plesk-Hostern genutzten Webanwendungsinstaller – durch einen BGP-Hijacking-Angriff stillschweigend umgeleitet. Ein großes Sicherheitsrisiko für eine kritische Infrastruktur des globalen Webhostings.
Was: 33-stündige BGP-Hijacking-Angriff
Für 33 Stunden wurde der Netzwerkverkehr, der zu Softaculous – einem der am weitesten verbreiteten Web-App-Installer im Shared Hosting (WordPress, Joomla, Drupal und über 400 weitere Apps) – bestimmt war, stillschweigend auf bösartige Server umgeleitet.
Der Angriff nutzte eine strukturelle Schwachstelle des BGP-Protokolls (Border Gateway Protocol), des Protokolls, das die Routing-Entscheidungen zwischen autonomen Systemen (AS) im Internet steuert. Der Angreifer kündigte IP-Präfixe an, die zu Softaculous gehörten, über ein Zwischen-AS an, wodurch Router eines Teils des Internet-Backbones getäuscht wurden. Legitime Verbindungen wurden zu einem unter feindlicher Kontrolle stehenden Server umgeleitet – potenziell für Man-in-the-Middle-Angriffe, das Sammeln von Anmeldedaten oder die Verteilung von manipuliertem Code.
Wer ist betroffen
Softaculous wird von Tausenden Hosting-Anbietern (cPanel, Plesk, DirectAdmin) genutzt, um Web-Apps zu installieren und zu aktualisieren. Wenn Sie einen Shared-Hosting- oder cPanel-Reseller-Service verwalten, verwenden Ihre Kunden wahrscheinlich Softaculous.
Während dieser 33 Stunden konnten alle über Softaculous ausgelösten Installationen oder Updates auf einen kompromittierten Server verweisen. Hauptrisiko: Code-Injection in die verteilten Pakete.
Was jetzt zu tun ist
- Softaculous-Anmeldedaten zurücksetzen und die Integrität der während des Vorfalls installierten oder aktualisierten Anwendungen überprüfen
- RPKI (Resource Public Key Infrastructure) auf Ihrer Netzwerkinfrastruktur aktivieren – die Referenz-Technologie zur Abwehr von BGP-Hijacking
- BGPmon / RIPE RIS überwachen, um ungewöhnliche Ankündigungen Ihrer eigenen IP-Präfixe zu erkennen
- Nach bösartigen Paketen in Ihren Softaculous-Installationen suchen (direkter Rat von Softaculous an seine Kunden)
BGP: Achillesferse des InternetsBGP stammt aus dem Jahr 1989 und verfügt über keinen nativen Authentifizierungsmechanismus. Jeder Betreiber mit Zugang zu einem AS kann – ob versehentlich oder böswillig – IP-Präfixe ankündigen, die ihm nicht gehören. RPKI (Resource Public Key Infrastructure) ermöglicht die kryptografische Validierung von Routenankündigungen, doch die Verbreitung bleibt trotz Fortschritten in den letzten Jahren noch begrenzt.
BGP stammt aus dem Jahr 1989 und verfügt über keinen nativen Authentifizierungsmechanismus. Jeder Betreiber mit Zugang zu einem AS kann – ob versehentlich oder böswillig – IP-Präfixe ankündigen, die ihm nicht gehören. RPKI (Resource Public Key Infrastructure) ermöglicht die kryptografische Validierung von Routenankündigungen, doch die Verbreitung bleibt trotz Fortschritten in den letzten Jahren noch begrenzt.
Jetzt zu tun
- Prüfen, ob während des Vorfalls Installationen oder Updates über Softaculous stattfanden
- Anmeldedaten zurücksetzen und installierte Pakete überprüfen
- RPKI-Validierung (BGP Route Origin Validation) auf Ihrer Infrastruktur aktivieren
Artikel von künstlicher Intelligenz erstellt, unter menschlicher redaktioneller Kontrolle geprüft.
