Virtualizor 工单事件：为什么 root 密码永远不该被保存
2026 年 2 月一起涉及 Virtualizor 支持系统的安全事件，凸显了托管行业最古老的安全问题之一：支持平台在无意间变成了客户凭据的存放处。
根据 Virtualizor 自己的安全通告，对其工单系统的未授权访问导致约 1500 张历史工单泄露。Virtualizor 表示其中部分工单包含敏感信息，包括客户此前在求助时贴出的明文 root 凭据。该公司声明，事件涉及的是支持系统，并非由 Virtualizor 软件本身的漏洞引起。 1
重要的教训并不局限于某一个平台或某一家服务商。
问题在于，支持系统里往往沉积着多年的客户数据，而这些数据从来就没打算成为一份长期保存的安全档案。
支持台是被忽视的安全系统
许多托管服务商都会随时间积累同一类信息。
排查问题时贴进来的 root 密码。迁移时附上的 SSH 密钥。错误信息里夹带的 API 令牌。为复现问题而上传的数据库导出文件。
工单关闭了。问题解决了。客户继续忙自己的事。
而这些数据往往仍留在工单数据库、备份、附件和内部归档里。
一套支持系统的安全暴露面，与客户经由它分享过的每一个机密紧密相连。对许多服务商而言，那段历史里的敏感内容比他们以为的要多。
永远不要把长期凭据发给支持
客户应当把通过工单提交的凭据视为可能已经泄露。
这包括：
- root 密码
- 管理员密码
- API 密钥
- 私钥
- 数据库凭据
- 控制面板密码
- 为排查问题临时创建的密码
如果某个凭据已经分享过，就更换它。
更稳妥的做法是临时访问：
- 创建一个临时的支持账号
- 只授予有限权限
- 事后撤销访问
- 在 SSH 不可用时使用控制台
服务商应当能在不需要你长期登录凭据的情况下排查你的服务。
托管服务商应当改变什么
责任并不只在客户一方。
服务商应当假定历史工单中存在敏感信息，并采取措施降低影响。
好的做法包括：
- 扫描旧工单中形似凭据的数据
- 在保留期满后删除不必要的附件
- 以强认证机制保护支持系统
- 限制员工对客户数据的访问
- 把凭据处理规则写进文档
支持平台应当被当作生产环境中的安全系统来对待。它承载着客户信息、运维细节，还可能含有认证材料。
无需凭据的访问
在 AVS ISP，我们不会要求客户发送 root 密码。
我们的 VPS 和 VDS 服务在客户中心内提供基于浏览器的 noVNC 控制台访问。如果因为防火墙误设、配置损坏、更新失败或其他系统问题导致 SSH 不可用，客户可以直接进入机器，而无需分享任何长期凭据。
当需要支持协助时，目标是帮助客户诊断问题，而不是再造一份他们机密的副本。
我们的 VPS 基础设施使用基于 KVM 的虚拟化，隔离边界由 hypervisor 层的硬件辅助虚拟化来保证，而不是仅仅依赖操作系统级别的隔离。
与支持的对话里应当是排查信息，而不是密码。
如果你曾经向任何托管服务商（包括我们）发送过凭据，最稳妥的做法都是同一个：更换它们。
勒索软件会把糟糕的备份设计变成永久损失
勒索软件事件中最具破坏力的部分，往往不是最初的入侵。
而是恢复手段的丧失。
如果攻击者既能进入生产系统，也能触及从那里可达的备份，一次中断就会变成永久的数据损失。
真正的备份策略需要分隔：
- 分开的凭据
- 分开的系统
- 分开的故障域
- 最好还是分开的物理位置
一份与生产环境同处一地、又由同一套凭据保护的备份，不是独立的恢复副本。
AVS ISP 在多个位置运营基础设施，并为需要地理分隔的客户提供额外的 VPS 位置。不过这个原则放之四海而皆准：客户应当持有自己掌控的备份，而不只是存在于托管服务商环境内的副本。
对托管行业更广的一课
此类事件的教训很简单：
安全不只关乎防火墙、hypervisor 和网络防护。
它也关乎日常的工作习惯。
今天被复制进工单的一个密码，几年后可能变成一起安全事件。
托管服务商应当在设计系统时假定客户会犯错。客户则应当选择那些让这些错误不那么危险的服务商。
最好的支持工单，是那种解决了问题、却从未包含任何机密的工单。
常见问题
我应该把 root 密码交给 VPS 服务商吗？
不该。托管服务商不应当要求长期凭据。临时访问方式、控制台访问或权限受限的账号都更安全。
支持工单是安全风险吗？
是。工单里常常留有日志、配置细节、凭据和客户信息，而且可能保存多年。
如果我已经把密码发给了托管支持，该怎么办？
立刻更换。同时更换可能一并出现在那条消息里的相关密钥、令牌和凭据。
资料来源
- Security Update: Transparency Regarding a Recent Support Ticket Incident，Virtualizor（2026 年 2 月 3 日）— 第一手来源
- Mass VPS Provider Ransomware Attack Linked to Stolen Credentials from Virtualizor Support Breach，Cyber Kendra（2026 年 2 月）— 独立报道