Уязвимость в VMmanager 6, платформе управления виртуальными серверами компании ISPsystem из «Группы Астра», использовали при атаках на российские хостинг-компании. FirstVDS сообщил, что 17 октября 2026 года злоумышленники получили доступ к части его инфраструктуры и запустили программу для копирования файлов с клиентских виртуальных машин. Пострадавшим владельцам серверов направили уведомления 18 октября. Разработчик подтвердил инцидент 20 октября, но не назвал число затронутых операторов и не раскрыл способ первоначального проникновения.
Главная особенность атаки — работа на уровне системы виртуализации, за пределами гостевых операционных систем клиентов. Виртуальные серверы могли продолжать отвечать на запросы, хотя их диски подключались для чтения и с них копировали содержимое. Среди потенциально доступных файлов находились пароли, SSH-ключи, API-токены, настройки сервисов, документы и данные криптокошельков. Это не означает, что у каждого пользователя VMmanager украли все перечисленные сведения: подтвержденные последствия относятся к определенным инфраструктурам и серверам.
Как злоумышленники добрались до дисков виртуальных машин
VMmanager позволяет хостинг-провайдеру создавать виртуальные машины, распределять ресурсы, подключать хранилища и управлять узлами. Такой управляющий компонент работает с инфраструктурой, на которой размещается множество независимых клиентских серверов. При его компрометации атакующий может получить доступ к данным нескольких виртуальных машин, не зная пароли пользователей внутри них. Конкретный технический путь к привилегиям в нынешнем инциденте публично не раскрыт.
У FirstVDS вредоносная программа запускалась на части инфраструктуры провайдера и подключала виртуальные диски в режиме «только для чтения». После этого файлы передавались на сервер злоумышленников. Такой режим снижает вероятность заметных изменений на клиентском диске: приложение продолжает работать, а записи в журналах самой виртуальной машины могут ничего не рассказать о копировании данных снаружи. Провайдер оценивал затронутые узлы по собственной телеметрии и уведомлял клиентов адресно.
Какие данные могли оказаться у атакующих
Наибольший риск представляют секреты, которые обычно хранятся на диске в виде файлов конфигурации. Это SSH-ключи администратора, ключи API и переменные окружения приложений, токены облаков и репозиториев, строки подключения к базам данных и учетные данные резервного копирования. Если подобные значения были скопированы, злоумышленнику уже не требуется повторять атаку на VMmanager, чтобы попытаться использовать действующий ключ в другом сервисе. Степень риска зависит от содержимого конкретной виртуальной машины и полномочий соответствующих учетных записей.
Сам факт работы сервера без сбоев не исключает утечку, но и отсутствие уведомления провайдера не позволяет автоматически считать все данные украденными. FirstVDS сообщил о следах атаки лишь на части узлов и направил отдельные письма пользователям, которых удалось связать с инцидентом. Подобную проблему с расширением последствий через похищенные учетные данные AnonHaven ранее разбирал в материале о взломе JetBrains через TeamCity. Проверять потенциальный ущерб приходится не только на сервере, но и в связанных облачных кабинетах и внешних сервисах.
Другие провайдеры и клиенты VMmanager
О проблемах сообщили несколько хостинг-компаний. РБК назвал FirstVDS, ForestsNet Cloud, MHost, HSH Network и YaColo. Однако публичные сообщения различаются по объему подтвержденных последствий: факт атаки на панель управления и доказанная выгрузка файлов с конкретных клиентских дисков — разные события. Единая официальная оценка числа затронутых хостеров и виртуальных машин на момент проверки отсутствует.
На сайте разработчика VMmanager встречаются кейсы банков, университетов, облачных компаний, медицинских и государственных организаций. Этот список показывает географию и сферы использования продукта, но не является перечнем жертв атаки. ISPsystem не опубликовала названия затронутых заказчиков, объяснив решение риском раскрытия информации до завершения защитных мероприятий. Приписывать компрометацию любой организации только из-за присутствия в портфолио вендора оснований нет.
Что ISPsystem сообщила об исправлениях
В официальном уведомлении от 20 октября ISPsystem подтвердила уязвимость в одной из сборок VMmanager 6 и продолжающееся расследование. Компания заявила о работе с заказчиками и пообещала обновления для затронутых версий. Вендор отдельно рекомендовал ограничить входящие и исходящие соединения управляющей платформы и узлов виртуализации до доверенных администраторов и технической поддержки, закрыть SSH-доступ для посторонних адресов и заменить пароли. Название уязвимости, ее идентификатор CVE и полный перечень уязвимых сборок в этом сообщении не указаны.
В журнале изменений VMmanager есть исправления безопасности от 18 октября в ветках Regular и Stable. Представители «Группы Астра» также говорили о выпущенных исправлениях, однако FirstVDS 20 октября сообщил, что работа над устранением уязвимости еще продолжается, а внешний доступ к панели остается закрытым. Поэтому наличие обновления само по себе не доказывает завершения расследования или удаления последствий атаки. Хостер переносит часть операций управления серверами в личный кабинет.
Что изменилось для клиентов FirstVDS
На статус-панели FirstVDS сохранялись сообщения об ограничениях ряда компонентов VMmanager и восстановительных работах 20 октября. Нарушение работы административной панели нельзя автоматически приравнивать к остановке всех виртуальных серверов: часть ресурсов продолжала работать. Владелец затронутой виртуальной машины может получить отдельное уведомление с перечнем серверов и действиями по защите учетных данных. Окончательный срок восстановления полного доступа к панели публично не указан.
Для клиентов, получивших предупреждение о компрометации, особенно важен отзыв потенциально скопированных секретов: изменение пароля входа в личный кабинет не делает прежние SSH-ключи, API-токены или ключи внешних сервисов недействительными. При наличии таких данных на сервере требуется оценить их полномочия, заменить ключи и проверить связанные журналы доступа. Аналогично восстановление VPS из чистой резервной копии не устраняет риск использования уже скопированных учетных данных. Пока разработчик и провайдер продолжают расследование, масштаб последствий остается открытым.
Как отреагировал рынок
20 октября сообщения об инциденте отразились и на котировках «Группы Астра». Во время торгов акции снижались почти на 4%, достигнув 212,3 рубля, а позднее часть падения была отыграна. Это внутридневное движение, а не оценка стоимости ущерба или подтверждение финансовых потерь компании от взлома. Для технической оценки инцидента важнее результаты расследования, объем фактически скопированных данных и полнота восстановительных мер.
Вопросы и ответы (FAQ)
Подтвержден ли взлом VMmanager 6?
Да. ISPsystem подтвердила инцидент с уязвимостью в одной из сборок VMmanager 6, а FirstVDS сообщил об атаке на часть своей инфраструктуры.
Когда произошла атака на FirstVDS?
Провайдер относит атаку к 17 октября 2026 года. Уведомления владельцам затронутых серверов направили 18 октября.
Какие данные могли скопировать хакеры?
Файлы с виртуальных дисков, включая пароли, SSH-ключи, API-токены, конфигурации, документы и данные кошельков, если они находились на соответствующих машинах.
Все организации из списка клиентов VMmanager пострадали?
Нет подтверждений такого масштаба. Наличие продукта в инфраструктуре организации само по себе не доказывает взлом или утечку.
Есть ли исправление и CVE?
Разработчик сообщил об обновлениях безопасности, однако расследование продолжалось. В доступном официальном уведомлении не приведены CVE, точные технические детали и исчерпывающий список затронутых сборок.
Почему виртуальный сервер мог работать без признаков взлома?
Потому что программа могла читать его диск с уровня виртуализации и не запускаться внутри гостевой операционной системы.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
