МАССОВЫЙ ВЗЛОМ VMmanager 6 — 21 ОКТЯБРЯ 2026 ГОДА

В октябре 2026 года началась масштабная кибератака на хостинг-провайдеров, использующих российскую платформу виртуализации VMmanager 6 от компании ISPsystem («Группа Астра»).

Что произошло?

Злоумышленники обнаружили и начали эксплуатировать цепочку критических уязвимостей в системе управления виртуальными серверами.

Первые подтверждённые следы проникновения относятся к 12 октября. Основная волна атак произошла 16–17 октября.

В ряде случаев хакеры смогли получить административные права, внедрить вредоносные компоненты и получить доступ к инфраструктуре виртуализации.

Как именно происходил взлом?

Компания Senko Digital установила, что злоумышленники использовали уязвимости API, включая механизм подключения ISO-образов.

Атака позволяла выполнять команды на управляющей платформе без предварительной авторизации. В одном случае злоумышленники создали два административных API-токена со сроком действия до 2036 года.

Исследователи обнаружили в инструментарии атакующих скрытые бэкдоры, поддельные системные службы, сборщики баз данных и программы для извлечения информации с дисков клиентских серверов.

Что делали с клиентскими серверами?

На части скомпрометированной инфраструктуры вредоносное ПО подключало диски виртуальных машин в режиме чтения, извлекало конфиденциальные данные и передавало их злоумышленникам.

Под угрозой оказались пароли, SSH-ключи, API-токены, базы данных, конфигурационные файлы, резервные копии и сведения о криптовалютных кошельках.

Главная опасность заключается в том, что подобная кража может происходить за пределами гостевой операционной системы. Виртуальный сервер продолжает работать нормально, а его внутренние журналы могут не показывать признаков проникновения.

Какие компании пострадали?

Публично обсуждались инциденты у FirstVDS, ForestsNet Cloud, MHost, HSH Network, YaColo и Senko Digital.

FirstVDS подтвердил доступ к части своей инфраструктуры и похищение данных некоторых клиентов.

ForestsNet Cloud сообщил о компрометации управляющей панели и базы данных. Компания не обнаружила признаков вмешательства в клиентские узлы, однако полностью исключить отдельные риски не смогла.

Senko Digital обнаружила проникновение 14 октября и отозвала вредоносные административные токены. По результатам расследования компания не обнаружила доступа злоумышленников к клиентским виртуальным машинам.

Насколько масштабна атака?

По данным Senko Digital, кампания затронула как минимум несколько десятков хостинг-провайдеров.

Существуют сообщения о тысячах потенциально находящихся под угрозой серверов, однако точного подтверждённого количества скомпрометированных машин и пострадавших пользователей нет.

Основные публично подтверждённые эпизоды относятся к российскому хостинговому рынку. Говорить о подтверждённом глобальном взломе всех установок VMmanager 6 пока нельзя.

Что происходит сейчас?

20 октября ISPsystem официально признала наличие уязвимости в одной из сборок VMmanager 6.

Разработчик выпускает исправления безопасности. К 20 октября появились версии 2026.05.2-9 для ветки Stable и 2026.09.1-5 для Regular.

При этом расследование продолжается. Некоторые провайдеры сохраняют закрытым публичный доступ к панелям управления виртуализацией.

ISPsystem рекомендует ограничить сетевой доступ к управляющей платформе и узлам виртуализации доверенными адресами, ограничить SSH-подключения и немедленно заменить пароли.

Кто стоит за атакой?

На 21 октября достоверно не установлены ни организаторы, ни их страна происхождения, ни принадлежность к конкретной хакерской группировке.

Также пока нет полного публичного технического описания всех использованных уязвимостей.

Итог

Это один из наиболее серьёзных публично известных инцидентов безопасности VMmanager 6.

Опасность заключается не только в компрометации административной панели, но и в возможности массовой кражи данных клиентских виртуальных серверов через инфраструктуру провайдера.

Масштаб последствий продолжает уточняться. Наличие обновления не означает, что ранее скомпрометированная система автоматически очищена от всех следов проникновения.

Телеграм: t.me/ainewsline

Источник: vk.com

Комментарии: