В третьем квартале 2026 года CURATOR насчитал 11 глобальных утечек маршрутов и один BGP-перехват. Компания называет число крупных сбоев аномально высоким, хотя сети, замеченные именно в перехватах, встречаются всё реже. За год количество уникальных автономных систем с такими инцидентами сократилось на 38,2%.

BGP определяет, по каким маршрутам трафик идёт между крупными сетями интернета. Если сеть начинает объявлять чужие IP-адреса своими, другие участники могут поверить объявлению и отправить трафик не туда. Такой BGP-перехват позволяет перенаправить соединения через постороннюю инфраструктуру, а обычная ошибка маршрутизации способна нарушить доступ сразу к множеству сервисов.

Самый показательный эпизод квартала затронул Softaculous и платформу управления виртуальными машинами Virtualizor. В конце августа злоумышленники объявили более точный маршрут к части адресного пространства Hetzner, где работали серверы Softaculous. Интернет предпочитает более специфичный маршрут, поэтому часть трафика ушла на сервер атакующих.

Особенно опасным инцидент сделала проверка RPKI. Механизм должен отсекать объявления маршрутов от сетей, которым владелец адресов не давал такого права, однако поддельный маршрут прошёл проверку как допустимый из-за настроек ROA для этого диапазона. Иными словами, криптографическая проверка не заметила подмену, хотя маршрут фактически вёл к злоумышленникам.

Последствия вышли далеко за пределы сетевого сбоя. Softaculous подтвердила, что атакующие перенаправили трафик к своим системам, получили действительный TLS-сертификат для доменов компании и смогли раздать вредоносное обновление небольшому числу установок Virtualizor. Сертификат не вызывал предупреждений, поскольку автоматическая проверка владения доменом тоже попала на перехваченный маршрут. После атаки разработчики добавили криптографическую подпись пакетов и ответов API.

CURATOR считает, что распространение RPKI ROA уже заметно сократило число обычных BGP-перехватов. С утечками маршрутов ситуация меняется медленнее: количество автономных систем, допускавших такие ошибки, за год уменьшилось лишь на 6,4%. RPKI проверяет, имеет ли сеть право объявлять конкретный диапазон адресов, но не контролирует весь путь, по которому объявление проходит через интернет.

Для борьбы с утечками существуют отдельные механизмы, включая RFC 9234 и ASPA, однако CURATOR оценивает их распространение как начальное. Поэтому две похожие снаружи проблемы сейчас расходятся в статистике: перехваты постепенно отступают, а крупные утечки маршрутов продолжают происходить. История Virtualizor одновременно показала ещё одно ограничение: даже маршрут со статусом RPKI-valid нельзя автоматически считать безопасным, если владелец адресного пространства слишком широко настроил разрешённые объявления.