ISPsystem выпустила обновления VMmanager после атаки через уязвимость нулевого дня

ISPsystem выпустила обновления безопасности для VMmanager и переработала защитную архитектуру продукта после атаки через ранее неизвестную уязвимость. Как пишет Хабр 27 октября 2026 года, инцидент затронул одну из сборок VMmanager 6 Hosting, которую хостинг-провайдеры используют для автоматизированной выдачи виртуальных машин. Проверка затронутых инфраструктур продолжается: установка исправлений не означает, что поиск следов атаки завершён.

Что известно об атаке

Уязвимая сборка применялась провайдерами в открытом контуре. По данным ISPsystem, злоумышленники воспользовались уязвимостью нулевого дня, а особенность Nginx пропускать такие запросы делала её эксплуатацию возможной. Технических подробностей, достаточных для самостоятельной оценки конкретной установки VMmanager, в опубликованном материале нет.

ISPsystem сообщает, что при атаке применялся искусственный интеллект: тактика подстраивалась под особенности провайдеров, а разные направления атаки проверялись параллельно. В «Лаборатории Касперского» также заявили об использовании вредоносного ПО, написанного с помощью ИИ. Это сведения участников расследования; подробный технический разбор действий атакующих в материале не приведён.

О последствиях стало известно до нынешнего сообщения вендора. 18 октября FirstVDS рассказала, что злоумышленники получили через уязвимость VMmanager 6 доступ к части её сетевой инфраструктуры и данным некоторых клиентов. Провайдер провёл собственное техническое расследование и продолжает проверять защиту вместе с ISPsystem.

Исправления и поиск следов компрометации

ISPsystem экстренно выпустила внеплановые исправления, усилила поддержку и организовала круглосуточное реагирование. Вендор временно заблокировал удалённое управление и запуск внутренних скриптов, чтобы сократить возможности злоумышленников и помешать им закрепиться в системе. Компания также сообщила о переработке защитной архитектуры решений VMmanager.

В проверке клиентской инфраструктуры участвовали специалисты Kaspersky Incident Response и Kaspersky Threat Research. Эксперты «Лаборатории Касперского» предоставили обновлённые базы индикаторов компрометации и утилиту Kaspersky Virus Removal Tool (KVRT) для сканирования и очистки узлов провайдеров от вредоносных бинарных файлов. Проверка не закончена: ISPsystem вместе с заказчиками и партнёрами ищет оставшиеся следы атаки, изучает поведение злоумышленников и ранее заложенные бэкдоры.

Чтобы проверить исправления в условиях реальной атаки, вендор развернул в открытом контуре стенды, похожие на инфраструктуру хостинг-провайдеров. Часть получила актуальные патчи, другую часть намеренно оставили уязвимой. Результатов такой проверки в материале пока нет.

Срок завершения расследования не назван. ISPsystem объясняет, что не публиковала технические детали, пока шла работа, чтобы не дать злоумышленникам дополнительную информацию. Поэтому из нынешнего сообщения нельзя получить полный перечень признаков компрометации или сделать вывод о состоянии любого отдельного узла.

Что это значит для владельцев сайтов и команд

Если сайт размещён у провайдера, использующего VMmanager, работу сервера и доступ к средствам управления стоит рассматривать отдельно. FirstVDS 20 октября предупредила клиентов, что панель виртуализации пока останется закрытой. Основные функции управления серверами компания переносит в личный кабинет и не исключает, что сохранит такой порядок в дальнейшем.

21 октября FirstVDS сообщила: по словам вендора, уязвимость закрыта, но доступ не откроют до полного восстановления и проверки затронутых узлов. Инфраструктура оставалась в изоляции. 23 октября провайдер уточнил, что серверы клиентов работают, хотя действия, связанные с управлением, могут выполняться медленнее обычного. Для команды сайта это означает, что доступный посетителям проект и привычный темп операций с сервером — разные вопросы.

Тем, кто сопровождает VMmanager самостоятельно, я бы предложила проверить установку исправлений и не откладывать поиск признаков компрометации на своих узлах. Клиентам провайдера полезно выяснить, какие функции управления доступны сейчас и завершена ли проверка затронутой инфраструктуры. Общего графика возвращения доступа в материале нет, поэтому ориентироваться придётся на сообщения своего провайдера.

Моё мнение: патч и проверка решают разные задачи

Я бы разделяла закрытие уязвимости и устранение последствий уже состоявшейся атаки. Исправление важно установить быстро, но по одному факту его установки нельзя судить, остались ли на узлах вредоносные файлы или бэкдоры. Поэтому решение FirstVDS не открывать панель сразу после сообщения вендора об устранении уязвимости мне понятно.

Владельцу сайта такая пауза неудобна, особенно если нужно менять настройки сервера. Я бы заранее уточняла у провайдера, через какой интерфейс теперь выполнять необходимые операции и какие ограничения пока действуют. В подобных ситуациях мне важны не только выпущенные патчи, но и последовательная проверка инфраструктуры и ясные сообщения о ходе восстановления.

Источники

Откуда новость. Текст — пересказ своими словами, факты — из источника, мнение — автора.

1. В ISPsystem раскрыли детали инцидента с уязвимостью нулевого дня в VMmanager habr.com

Об авторе

Маарья Каск

опытный full-stack разработчик

Разрабатываю веб-сервисы и интеграции с CMS, чаще всего помогаю командам убрать лишние слои. Новичкам советую сначала выбрать простую архитектуру, которую они смогут поддерживать.

Все публикации автора