Hackers détournent des mises à jour Virtualizor via une faille BGP

Une attaque par détournement Border Gateway Protocol (BGP) a permis à des pirates d’injecter un logiciel malveillant dans les mises à jour du panneau de gestion Virtualizor, compromettant temporairement des serveurs en Afrique et ailleurs. Entre le 28 et le 30 août 2026, les attaquants ont exploité une faille de routage pour rediriger le trafic des serveurs de mise à jour de Softaculous vers des infrastructures contrôlées par les cybercriminels.

Cette technique, appelée BGP hijacking, consiste à falsifier des annonces de routage pour détourner le trafic internet vers des serveurs malveillants. Selon The Hacker News, les attaquants ont utilisé un certificat TLS valide pour leurs domaines afin de tromper les systèmes de vérification. Le bloc d’adresses IP ciblé appartenait à Hetzner, un hébergeur allemand, et était utilisé pour les mises à jour logicielles, les portails clients et les services de facturation de Softaculous.

Les conséquences ont été immédiates : cinq des 34 hyperviseurs Virtualizor analysés par un fournisseur d’hébergement ont subi une compromission au niveau root. SecurityWeek souligne que l’attaque a duré environ 33 heures, entre 20h57 UTC le 28 août et 6h10 UTC le 30 août. Pendant cette fenêtre, les serveurs infectés ont reçu un package malveillant de Virtualizor, leur accordant un accès persistant aux infrastructures compromises.

Un mécanisme d’attaque sophistiqué et ciblé

Le BGP hijacking est une méthode redoutable car elle exploite la confiance inhérente au protocole de routage internet. En annonçant faussement la possession d’un bloc d’adresses IP légitime, les attaquants peuvent intercepter le trafic à destination de ces adresses. Dans ce cas précis, les pirates ont combiné cette technique avec l’utilisation d’un certificat TLS valide, ce qui a permis de contourner les mécanismes de vérification des mises à jour logicielles.

Selon BleepingComputer, l’attaque a été menée par un acteur utilisant l’AS62390 (NexonHost), qui a annoncé une partie de l’espace d’adressage de Hetzner, incluant les IP dédiées aux systèmes de Softaculous. Cette manœuvre a permis de rediriger les requêtes de mise à jour vers des serveurs contrôlés par les pirates, qui ont ensuite distribué un package malveillant de Virtualizor.

Les experts soulignent que cette attaque illustre la vulnérabilité des chaînes d’approvisionnement logicielles, un enjeu critique pour les infrastructures numériques africaines. En effet, de nombreux pays du continent dépendent de solutions logicielles tierces pour gérer leurs serveurs et services en ligne, rendant ces systèmes particulièrement exposés aux attaques ciblées.

Les conséquences pour les opérateurs africains pourraient être graves : accès non autorisé aux données, prise de contrôle de serveurs, ou encore propagation de logiciels malveillants vers d’autres infrastructures. Cinq hyperviseurs compromis sur 34 analysés, un chiffre qui, bien que limité, rappelle l’ampleur potentielle des dégâts si l’attaque avait touché un plus grand nombre de systèmes.

Réponse des éditeurs et mesures de sécurité

Face à cette menace, Virtualizor a réagi rapidement en publiant le 1er septembre 2026 une mise à jour (Patch 9) intégrant un Security Analyzer dans son panneau d’administration. Cette outil permet aux administrateurs de scanner leurs installations pour détecter d’éventuelles compromissions. Cependant, Virtualizor a reconnu que la signature cryptographique des packages reste un chantier en cours, une lacune majeure qui a facilité l’attaque.

Softaculous, la société mère de Virtualizor, a également pris des mesures pour restaurer le routage légitime et faire révoquer le certificat frauduleux utilisé par les attaquants. Ces actions ont permis de mettre fin à l’attaque, mais les experts rappellent que la vigilance reste de mise. Les opérateurs sont invités à vérifier leurs serveurs, faire tourner l’outil officiel de scan, et auditer leurs API pour limiter les risques de réinfection.

Cette attaque met en lumière plusieurs enjeux cruciaux pour l’Afrique :

• La dépendance aux infrastructures tierces : de nombreux pays africains utilisent des solutions logicielles et des hébergeurs étrangers pour leurs services numériques, ce qui les expose à des risques de détournement similaires.
• L’urgence de la souveraineté numérique : renforcer les capacités locales en matière de cybersécurité, de développement logiciel et de gestion des infrastructures est essentiel pour réduire cette dépendance.
• La nécessité de mécanismes de vérification robustes : la signature cryptographique des packages logiciels et la validation des certificats TLS doivent devenir des standards incontournables pour les éditeurs de logiciels en Afrique.

Pour le Burkina Faso et les pays de l’UEMOA, cette attaque est un rappel brutal de l’importance de sécuriser les chaînes d’approvisionnement logicielles. Avec une adoption croissante des services cloud et des infrastructures virtualisées, la région doit investir dans des solutions locales et des mécanismes de détection précoce pour anticiper les menaces futures.

Perspectives et scénarios pour l’Afrique

Plusieurs scénarios se dessinent pour l’avenir :

• Scénario 1 : Renforcement des capacités locales, Les pays africains pourraient accélérer le développement de solutions logicielles locales, réduisant ainsi leur dépendance aux infrastructures étrangères. 
• Scénario 2 : Adoption de standards de sécurité stricts, Les gouvernements et les entreprises pourraient imposer des exigences de sécurité plus strictes pour les logiciels utilisés sur leurs infrastructures, incluant la signature cryptographique obligatoire et des audits réguliers.
• Scénario 3 : Collaboration régionale, Les pays de l’UEMOA pourraient renforcer leur coopération en matière de cybersécurité, en partageant des informations sur les menaces et en développant des mécanismes de réponse coordonnée.
• Scénario 4 : Exploitation accrue des attaques, Si les mécanismes de défense ne sont pas renforcés, des acteurs malveillants pourraient multiplier ce type d’attaques, ciblant spécifiquement les infrastructures critiques africaines pour des motifs financiers, politiques ou criminels.

Dans tous les cas, l’Afrique doit transformer cette menace en opportunité. En investissant dans la cybersécurité, en développant des compétences locales et en promouvant des solutions souveraines, le continent peut non seulement réduire ses risques, mais aussi devenir un acteur clé de l’innovation numérique mondiale.

Pour les opérateurs et entreprises africains, cette attaque est un signal d’alarme. Elle rappelle que la sécurité des infrastructures numériques ne peut plus être négligée. Les solutions existent : adoption de standards ouverts, développement de compétences locales, et collaboration régionale. L’enjeu n’est pas seulement technique, mais aussi stratégique pour l’autonomie numérique du continent.

Que faire concrètement ?

Face à cette menace, plusieurs actions immédiates s’imposent :

• Vérifier les serveurs : tous les administrateurs de Virtualizor doivent exécuter l’outil de scan officiel fourni par Virtualizor pour détecter d’éventuelles compromissions.
• Restreindre les accès API : les identifiants des API doivent être immédiatement révoqués et remplacés, et les accès limités aux adresses IP autorisées.
• Auditer les infrastructures : un audit complet des serveurs et des réseaux est nécessaire pour identifier d’éventuelles traces d’intrusion ou de logiciels malveillants résiduels.
• Mettre à jour les logiciels : appliquer les correctifs de sécurité dès qu’ils sont disponibles, et privilégier les versions signées cryptographiquement.
• Former les équipes : sensibiliser les administrateurs système et les équipes IT aux risques liés au BGP hijacking et aux bonnes pratiques de sécurité des chaînes d’approvisionnement logicielles.

Ces mesures, bien que simples, peuvent faire la différence entre une infrastructure sécurisée et une porte ouverte aux cybercriminels.

Conclusion : l’Afrique à l’heure des choix stratégiques

L’attaque contre Virtualizor n’est pas un incident isolé, mais un symptôme d’un problème plus large : la vulnérabilité des infrastructures numériques africaines face aux cybermenaces. Elle rappelle que la souveraineté numérique ne se décrète pas, mais se construit au quotidien par des investissements ciblés, des compétences locales et une collaboration régionale renforcée.

Pour le Burkina Faso et les pays de l’UEMOA, cette attaque est une opportunité de repenser leur approche de la cybersécurité. En développant des solutions locales, en formant des experts et en adoptant des standards de sécurité stricts, l’Afrique peut non seulement se protéger, mais aussi devenir un acteur incontournable de l’innovation numérique mondiale. L’enjeu est clair : soit l’Afrique renforce sa résilience numérique aujourd’hui, soit elle subira les conséquences de sa dépendance demain.

La balle est dans le camp des décideurs, des entreprises et des communautés techniques africaines. 

Passez à l'action avec BNTIC News

Pour renforcer la sécurité de vos infrastructures numériques, explorez les outils de BNTIC News :

• BNTIC CyberAlert  Recherchez les vulnérabilités, CVE et correctifs pour vos logiciels et produits.
• BNTIC ScamCheck Vérifiez les indices de risque d’un message, d’une offre ou d’un lien suspect avant d’agir.

Passez à l’action avec BNTIC News

Pour suivre les signaux disponibles sur l'accès à Internet et les éventuelles perturbations par pays, consultez BNTIC FasoConnect . Ces observations ne constituent pas des mesures officielles des opérateurs.