Хакеры похитили данные клиентов FirstVDS через уязвимость VMmanager
Для проникновения использовалась уязвимость в системе управления виртуализацией VMmanager 6. Под угрозой оказались пароли, ключи доступа, конфигурационные файлы и криптокошельки. При этом сами виртуальные серверы продолжали работать в обычном режиме.
Инцидент произошел 17 октября. Как следует из телеграм-канала FirstVDS, злоумышленники воспользовались уязвимостью в VMmanager 6 и получили доступ к части инфраструктуры провайдера. На скомпрометированных узлах виртуализации они запустили программу, предназначенную для сбора и передачи клиентских данных на внешний сервер.
Вредоносная программа подключала диски виртуальных машин в режиме только для чтения и копировала с них файлы. В числе похищенной информации могли оказаться пароли пользователей и баз данных, SSH-ключи, API-токены, конфигурационные файлы, история команд, пользовательские документы и данные криптовалютных кошельков.
Атака затронула не всю инфраструктуру FirstVDS, а отдельные узлы виртуализации. Количество пострадавших клиентов и серверов компания пока не раскрывает.
Кража без взлома клиентских серверов
Особенность атаки заключается в способе доступа к информации. Злоумышленники действовали на уровне инфраструктуры хостинг-провайдера, поэтому им не требовалось отдельно проникать в операционную систему каждого клиентского сервера.
Программа не запускалась внутри виртуальных машин и не изменяла содержимое их дисков. Серверы продолжали обслуживать сайты и приложения, а в системных журналах не оставалось следов первоначального копирования файлов.
По информации SecurityLab, в персональных уведомлениях FirstVDS указан период возможного доступа к данным 17 октября с 12:27 до 22:34 мск. Таким образом, потенциальное окно компрометации составляло более десяти часов. Это не означает, что копирование информации непрерывно продолжалось весь указанный период.
Последствия атаки могут затронуть и внешние сервисы, доступ к которым осуществлялся с пострадавших серверов. Помимо системных паролей и SSH-ключей, злоумышленники могли получить учетные данные облачных платформ AWS, Google Cloud и Microsoft Azure, токены GitHub и GitLab, настройки Kubernetes и Terraform, ключи подключения к базам данных, а также API-ключи OpenAI и Anthropic.
Наличие таких данных на сервере создает риск дальнейшей компрометации облачных ресурсов, репозиториев исходного кода и других корпоративных систем. Подтверждений последующих атак с использованием похищенных учетных данных пока нет.
Инцидент вновь ставит вопрос о том, насколько клиент способен самостоятельно обеспечить безопасность арендованной инфраструктуры. Даже при надежной защите виртуального сервера уязвимость в системе управления провайдера может открыть злоумышленникам доступ к его данным. Проблему распределения ответственности за безопасность облачных сервисов IT World ранее рассматривал в материале о включении киберзащиты в цифровую инфраструктуру.
Устранение уязвимости и восстановление сервисов
VMmanager 6 разработана российской компанией ISPsystem, входящей в «Группу Астра». Платформа предназначена для централизованного управления виртуальными машинами и физическими серверами.
После обнаружения атаки FirstVDS отключил внешний доступ к системе управления виртуализацией и заблокировал в своей сети адрес сервера злоумышленников, на который передавались данные.
18 октября разработчик VMmanager выпустил обновления 2026.09.1-3 и 2026.05.2-7 с исправлениями безопасности. Какие именно уязвимости устранены, в журнале изменений не уточняется.
FirstVDS в течение дня постепенно восстанавливал работу панелей управления виртуализацией. Согласно официальной статус-панели, к 19:40 мск сервисы провайдера работали с ограничениями. Расследование кибератаки продолжается.
Технические подробности уязвимости пока не раскрыты. Неизвестно, какие версии VMmanager 6 подвержены атаке, каким образом злоумышленники получили первоначальный доступ и существует ли риск эксплуатации той же ошибки у других хостинг-провайдеров. Публичный идентификатор CVE также отсутствует.
Клиентам придется заменить ключи доступа
FirstVDS направил владельцам затронутых серверов уведомления по электронной почте и через личный кабинет. Дополнительная рассылка состоялась 18 октября в 15:25 мск после обнаружения признаков возможной компрометации еще на нескольких узлах.
Получателям уведомлений рекомендовано исходить из того, что данные с их серверов были скопированы. В первую очередь необходимо заменить пароли, SSH-ключи, API-токены и другие учетные данные, хранившиеся на виртуальных машинах. Старые ключи следует отозвать, поскольку простое создание новых не исключает возможности использования ранее выданных разрешений.
Владельцам криптовалютных кошельков FirstVDS советует перевести средства на новые кошельки, созданные на другом, безопасном устройстве.
Также необходимо проверить журналы авторизации на серверах и во внешних сервисах, учетные данные которых могли попасть к злоумышленникам. Особого внимания требуют неизвестные подключения после 17 октября, появление новых пользователей, изменения в файлах authorized_keys, заданиях cron и службах systemd.
Если на затронутых серверах хранились персональные данные, компания рекомендует проконсультироваться с юристами относительно необходимости уведомления Роскомнадзора. Российское законодательство предусматривает обязанность оператора сообщать о выявленных инцидентах с персональными данными при наличии установленных законом оснований.
Расследование продолжается. FirstVDS намерен опубликовать технический разбор после устранения уязвимости и завершения проверки инфраструктуры. Пока остаются неизвестными общий объем выведенной информации, число затронутых клиентов и возможные последствия использования похищенных данных.
Опубликовано 18.10.2026
