ISPsystem випустила оновлення VMmanager після атаки через вразливість нульового дня

ISPsystem випустила оновлення безпеки для VMmanager і переробила архітектуру захисту продукту після атаки через раніше невідому вразливість. Як пише Хабр 27 жовтня 2026 року, інцидент зачепив одну зі збірок VMmanager 6 Hosting, яку хостинг-провайдери використовують для автоматизованого надання віртуальних машин. Перевірка зачепленої інфраструктури триває: встановлення виправлень не означає, що пошук слідів атаки завершено.

Що відомо про атаку

Вразливу збірку провайдери використовували у відкритому контурі. За даними ISPsystem, зловмисники скористалися вразливістю нульового дня, а особливість Nginx пропускати такі запити уможливлювала її експлуатацію. Опублікований матеріал не містить технічних подробиць, достатніх для самостійної оцінки конкретної інсталяції VMmanager.

ISPsystem повідомляє, що під час атаки застосовували штучний інтелект: тактику підлаштовували під особливості провайдерів, а різні напрями атаки перевіряли паралельно. У «Лабораторії Касперського» також заявили про використання шкідливого ПЗ, написаного за допомогою ШІ. Це відомості учасників розслідування; докладного технічного аналізу дій нападників у матеріалі немає.

Про наслідки стало відомо ще до нинішнього повідомлення вендора. 18 жовтня FirstVDS розповіла, що зловмисники через вразливість VMmanager 6 отримали доступ до частини її мережевої інфраструктури та даних деяких клієнтів. Провайдер провів власне технічне розслідування і продовжує перевіряти захист разом з ISPsystem.

Виправлення та пошук слідів компрометації

ISPsystem терміново випустила позапланові виправлення, посилила підтримку й організувала цілодобове реагування. Вендор тимчасово заблокував віддалене керування та запуск внутрішніх скриптів, щоб обмежити можливості зловмисників і завадити їм закріпитися в системі. Компанія також повідомила про перероблення архітектури захисту рішень VMmanager.

До перевірки клієнтської інфраструктури долучилися фахівці Kaspersky Incident Response і Kaspersky Threat Research. Експерти «Лабораторії Касперського» надали оновлені бази індикаторів компрометації та утиліту Kaspersky Virus Removal Tool (KVRT) для сканування й очищення вузлів провайдерів від шкідливих бінарних файлів. Перевірка не завершена: ISPsystem разом із замовниками та партнерами шукає залишкові сліди атаки, вивчає поведінку зловмисників і раніше встановлені бекдори.

Щоб перевірити виправлення в умовах реальної атаки, вендор розгорнув у відкритому контурі стенди, схожі на інфраструктуру хостинг-провайдерів. Частина стендів отримала актуальні патчі, іншу частину навмисно залишили вразливою. Результатів такої перевірки в матеріалі поки немає.

Терміну завершення розслідування не названо. ISPsystem пояснює, що не публікувала технічних деталей, поки тривала робота, щоб не надати зловмисникам додаткової інформації. Тому з нинішнього повідомлення не можна отримати повний перелік ознак компрометації або зробити висновок про стан будь-якого окремого вузла.

Що це означає для власників сайтів і команд

Якщо сайт розміщено в провайдера, який використовує VMmanager, роботу сервера й доступ до засобів керування варто розглядати окремо. FirstVDS 20 жовтня попередила клієнтів, що панель віртуалізації поки залишиться закритою. Основні функції керування серверами компанія переносить в особистий кабінет і не виключає, що збереже такий порядок надалі.

21 жовтня FirstVDS повідомила: за словами вендора, вразливість усунено, але доступ не відкриють до повного відновлення та перевірки зачеплених вузлів. Інфраструктура залишалася ізольованою. 23 жовтня провайдер уточнив, що сервери клієнтів працюють, хоча операції з керування можуть виконуватися повільніше, ніж зазвичай. Для команди сайту це означає, що доступність проєкту для відвідувачів і звичний темп операцій із сервером — різні питання.

Тим, хто самостійно обслуговує VMmanager, я б порадила перевірити встановлення виправлень і не відкладати пошук ознак компрометації на своїх вузлах. Клієнтам провайдера корисно з’ясувати, які функції керування доступні зараз і чи завершено перевірку зачепленої інфраструктури. Загального графіка відновлення доступу в матеріалі немає, тому орієнтуватися доведеться на повідомлення свого провайдера.

Моя думка: патч і перевірка розв’язують різні завдання

Я б розділяла усунення вразливості й ліквідацію наслідків атаки, яка вже відбулася. Виправлення важливо встановити швидко, але сам факт його встановлення не дає змоги визначити, чи залишилися на вузлах шкідливі файли або бекдори. Тому мені зрозуміле рішення FirstVDS не відкривати панель одразу після повідомлення вендора про усунення вразливості.

Для власника сайту така пауза незручна, особливо якщо потрібно змінювати налаштування сервера. Я б заздалегідь уточнювала в провайдера, через який інтерфейс тепер виконувати необхідні операції та які обмеження поки діють. У подібних ситуаціях для мене важливі не лише випущені патчі, а й послідовна перевірка інфраструктури та зрозумілі повідомлення про перебіг відновлення.

Джерела

Звідки новина. Текст — переказ своїми словами, факти — з джерела, думка — автора.

1. В ISPsystem раскрыли детали инцидента с уязвимостью нулевого дня в VMmanager habr.com

Про автора

Маарья Каск

досвідчена full-stack-розробниця

Розробляю вебсервіси й інтеграції з CMS, найчастіше допомагаю командам прибирати зайві шари. Новачкам раджу спершу обрати просту архітектуру, яку вони зможуть підтримувати.

Усі публікації автора