Иллюстрация создана ИИ для редакции «Инфоцентра»; не является документальной фотографией инцидента.
Анонс: Через уязвимость VMmanager 6 злоумышленники получили доступ к инфраструктуре ряда хостинг-провайдеров. У некоторых клиентов могли похитить пароли, ключи и конфигурации — даже когда сервер продолжал работать без сбоев. Разбираемся, что подтверждено и как проверить риски.
Сервер продолжает работать, сайт открывается, письма отправляются — и владелец может даже не подозревать, что его данные уже скопировали. Именно такую опасность показала серия атак на российские хостинг-компании, использующие платформу виртуализации VMmanager 6.
Разработчик системы ISPsystem 20 октября 2026 года официально подтвердил инцидент, связанный с уязвимостью в одной из сборок VMmanager 6. О взломе части своей инфраструктуры сообщил хостинг-провайдер FirstVDS. Известно и о других случаях. При этом точное число пострадавших серверов и объём похищенной информации пока не установлены.
Что произошло
VMmanager — это инструмент, с помощью которого хостинг-провайдеры создают и обслуживают виртуальные серверы клиентов. Если атакующий получает доступ к управляющей системе или узлам виртуализации, последствия могут выходить далеко за пределы самой панели.
По данным FirstVDS, атака на часть его инфраструктуры произошла 17 октября. Злоумышленники воспользовались уязвимостью платформы и на отдельных узлах смогли запускать программу, которая подключала диски клиентских VPS в режиме чтения и копировала хранившиеся там сведения.
Это принципиальная деталь. Вредоносная программа, как сообщил провайдер, не обязана была запускаться внутри самих виртуальных машин. Поэтому сервер мог продолжать нормально работать, а его обычные системные журналы — не показывать явных признаков копирования файлов.
РБК также сообщал об инцидентах или проблемах у других поставщиков хостинга, в том числе ForestsNet Cloud, MHost, HSH Network и YaColo. Но степень последствий у этих компаний нельзя автоматически считать одинаковой.
Атаки начались раньше, чем о них заговорили
Показателен отчёт Senko Digital. По результатам собственного расследования провайдер установил, что доступ к его платформе VMmanager атакующие получили ещё 12 октября. Подозрительные административные токены были обнаружены и отозваны 14 октября, после чего внешний доступ к панели ограничили.
Senko Digital отдельно подчёркивает: проверка не выявила чтения дисков или похищения данных клиентских виртуальных машин. То есть сам факт проникновения в панель не означает, что информация каждого клиента была украдена.
Этот пример объясняет, почему важны не только названия уязвимого программного обеспечения и провайдера, но и результаты проверки конкретного физического узла, на котором размещён сервер.
Какие данные могли попасть к злоумышленникам
Среди наиболее опасных находок — не только личные файлы, но и «ключи от других дверей»: пароли администраторов, закрытые SSH-ключи, API-токены, настройки приложений, файлы с секретами и данные подключения к базам.
Если такие сведения находились на затронутом сервере, возможная утечка создаёт цепную реакцию. Украденный ключ может предоставить доступ к Git-репозиторию, резервным копиям, платёжному сервису или другому серверу. Особенно серьёзный риск возникает, когда одинаковые пароли используются в нескольких системах.
Сообщалось также о поиске файлов, связанных с криптокошельками. Однако нельзя утверждать, что у всех клиентов перечисленные сведения действительно были похищены: подтверждённые последствия и потенциальные риски необходимо разделять.
Почему новость касается не только владельцев VPS
В инфраструктуре арендуемого сервера могут работать сайты, интернет-магазины, CRM-интеграции, боты и сервисы автоматизации. Даже если пользователь никогда не заходил в VMmanager, данные доступа к его приложениям могут храниться на сервере хостинг-провайдера.
После публикации сведений об атаке команда «1С-Битрикс» сообщила о превентивном перевыпуске секретов OAuth для части потенциально затронутых сторонних приложений Битрикс24. Это защитная мера, а не подтверждение взлома каждого приложения.
Что стоит сделать владельцу сайта или сервера
1. Проверить своего хостинг-провайдера. Спросите, используется ли VMmanager 6, затронут ли именно ваш узел и проводилась ли проверка на компрометацию. Ориентируйтесь на официальные уведомления, а не только на сообщения в социальных сетях.
2. При подтверждённом или обоснованно подозреваемом риске заменить секреты. В первую очередь — пароли администратора, SSH-ключи, API-токены, доступы к базам данных, резервным копиям и подключённым сервисам. Компрометированные токены нужно не просто сменить в настройках, а отозвать. Новые секреты создавайте из доверенной среды.
3. Проверить связанные сервисы. Если на сервере хранились ключи от других систем, необходимо оценить их журналы доступа, завершить подозрительные сеансы и при необходимости перевыпустить ключи там. Простая смена пароля VPS может не устранить последствия уже похищенного API-токена.
4. Не полагаться на отсутствие ошибок. Нормальная работа сайта и отсутствие необычных записей в журнале гостевой системы не исключают чтения диска со стороны инфраструктуры виртуализации. Запросите у провайдера результаты проверки узла.
5. Сохранить резервные копии и план восстановления. Если компрометация подтверждена, вместе с администратором или провайдером стоит оценить необходимость переноса в чистую среду, восстановления из доверенных копий и повторной замены доступов.
Что говорят разработчик и хостинг-компании
ISPsystem признала проблему, сообщила о продолжающемся расследовании и призвала ограничить доступ к управляющей платформе и узлам виртуализации доверенными адресами, а также оперативно изменить пароли. Компания не раскрывает полный перечень пострадавших операторов и технические детали атаки.
21 октября FirstVDS сообщил изданию SecPost, что не планирует отказываться от VMmanager, но намерен перенести функции управления серверами из прямого доступа к панели в личный кабинет. Внешний доступ к проблемной платформе ограничен до подтверждения её безопасности.
Итог: проблема не в том, что любой виртуальный сервер автоматически взломан. Опасность в другом: уязвимость общей управляющей системы может затронуть данные сразу нескольких клиентов — и остаться незаметной для привычного мониторинга внутри их серверов.
Получали ли вы в последние дни уведомление от хостинг-провайдера с рекомендацией сменить доступы? Расскажите в комментариях, какие меры предложила компания и насколько понятными оказались её объяснения.
Источники
ISPsystem — официальное сообщение от 20.10.2026
Senko Digital — опубликованный разбор инцидента
1С-Битрикс — рекомендации по косвенному риску
РБК — сообщения российских провайдеров, 20.10.2026
SecPost — позиция FirstVDS от 21.10.2026
