Softaculous がBGPハイジャックによるセキュリティインシデントを公表、一部のサーバーに悪意のある更新プログラムが配信された可能性

Softaculous（ソフタキュラス）は、BGPハイジャック^（※1）によるセキュリティインシデントを現地時間の2026年8月31日に公表しました。

本事案は、同年8月28日から8月30日（協定世界時（UTC））にかけて、Softaculous のサービスが使用するIPアドレスの一部がBGPハイジャックの標的となったことで発生しました。これにより、同社のソフトウェアの更新用サーバーや顧客向けログイン画面・課金サイト等へ向かう通信が攻撃者のサーバーに誘導されました。同社の調査では、通信が攻撃者側に誘導されているタイミングで更新確認を行った少数のサーバーに対して、悪意のある Virtualizor ^（※2）更新パッケージが配信されたことが確認されています。

同社は現在も調査を続けていますが、不正なプログラムは攻撃者のサーバーから直接配信され、同社側のシステムに通信ログが残っていないため、被害を受けたサーバーを完全に特定するのは困難だとしています。そのため、全ての Virtualizor の管理者に対して、システム内に不審なファイルや改ざんがないかを確認するよう、同社が案内する手順に従って早急なチェックを推奨しています。

^{（※1） 所有権のないIPアドレスの偽経路を送信し、本来の目的地に向かう通信を自らのネットワークへ横取りする攻撃}

^{（※2） 1クリックで仮想プライベートサーバー（VPS）の作成や管理ができる、Softaculous 社が提供するWebベースのVPS管理コントロールパネルのこと}