Подпишитесь на рассылку
Получайте полезные материалы из нашего блога на свою почту. Экспертные статьи, скидки на решения, анонсы обновлений и другое.
Похоже, мы начинаем наблюдать то, о чём специалисты по информационной безопасности предупреждали ещё летом 2026 года:
с развитием мощных моделей искусственного интеллекта кибератаки могут стать чаще, сложнее и эффективнее.
ИИ позволяет автоматизировать поиск уязвимостей, анализ инфраструктуры и отдельные этапы атак. Пока нет подтверждений, что именно ИИ использовался при взломе FirstVDS, но происходящее заставляет серьёзнее относиться к этим прогнозам.
Что произошло с FirstVDS?
17 октября 2026 года злоумышленники получили доступ к части инфраструктуры российского хостинг-провайдера FirstVDS через уязвимость в системе управления виртуализацией VMmanager 6, разработанной ISPsystem (входит в ГК «Астра»).
По информации FirstVDS, вредоносная программа подключала диски клиентских виртуальных серверов в режиме чтения и копировала конфиденциальные данные:
- пароли, SSH-ключи и API-токены;
- доступы к облачным и сторонним сервисам;
- конфигурационные файлы и историю команд;
- пользовательские документы и другие файлы.
Самое неприятное, что виртуальные серверы при этом могли продолжать работать совершенно нормально.
Программа действовала на уровне инфраструктуры виртуализации, не запускаясь внутри гостевых операционных систем. Поэтому сайт мог оставаться доступным для посетителей, пока его данные копировались злоумышленниками.
Пострадал не только FirstVDS
Инцидент оказался значительно масштабнее проблемы одного хостинг-провайдера.
По информации ServerNews, об атаках на инфраструктуру VMmanager 6 также сообщили ForestsNet, MHost и YaColo.
Согласно опубликованному ForestsNet анализу, признаки предварительной компрометации панелей управления относятся к 11–16 октября, а активная фаза атаки пришлась на ночь с 16 на 17 октября.
При этом последствия различаются. Не все провайдеры подтвердили факт хищения клиентских данных. Например, ForestsNet и YaColo сообщили об отсутствии прямых доказательств такой утечки на момент публикации своих заявлений.
Разработчик VMmanager выпустил исправления безопасности и рекомендовал администраторам принять дополнительные защитные меры
Что мы наблюдаем на практике
С последствиями инцидента столкнулась и наша команда ВЕБ Симфонии.
На одном из используемых нами серверов FirstVDS в личном кабинете появилось уведомление об ограничении доступа к панели VMmanager.
Согласно сообщению провайдера, основные функции управления виртуальными машинами переносятся в личный кабинет, а отдельные операции временно выполняются через техническую поддержку.
Само по себе такое уведомление не подтверждает утечку данных конкретного сервера. Оно свидетельствует об ограничениях, введённых провайдером после инцидента
21 октября FirstVDS сообщил о завершении собственного технического разбора атаки. В ходе расследования специалисты обнаружили на части узлов следы закрепления злоумышленников в инфраструктуре.
Несмотря на сообщение разработчика об устранении уязвимости, FirstVDS решил сохранить ограничения доступа к панели до завершения проверки затронутых узлов.
Что делать владельцам сайтов
Если ваш сайт размещён на виртуальном сервере, особенно в инфраструктуре с VMmanager 6, рекомендуем проверить следующие моменты:
- Уведомления провайдера. Уточните, затронут ли конкретный сервер и какие действия рекомендует хостинг.
- Пароли и ключи. При подтверждённой или предполагаемой компрометации замените пароли, SSH-ключи, API-токены и доступы к базам данных.
- Внешние интеграции. Отзовите старые токены доступа к платёжным системам, облачным сервисам и другим подключённым платформам.
- Проверка сервера. Изучите журналы авторизации, учётные записи, задания cron и системные службы на предмет подозрительных изменений.
- Резервные копии. Проверьте наличие и работоспособность резервных копий. При этом помните: резервное копирование помогает восстановить данные, но не предотвращает их утечку.
Особое внимание необходимо уделить интернет-магазинам и корпоративным системам, где хранятся персональные данные клиентов, сведения о заказах и доступы к внешним интеграциям
Главный вывод
Эта история напоминает о важном принципе информационной безопасности: защищённость сайта зависит не только от его программного кода, CMS и настроек сервера, но и от безопасности всей инфраструктуры хостинг-провайдера.
Можно своевременно обновлять 1С-Битрикс, контролировать доступы и регулярно проверять сайт на уязвимости. Но если злоумышленник получает доступ к системе виртуализации уровнем выше, этих мер может оказаться недостаточно.
Поэтому безопасность современного сайта — это не только защита приложения, но и правильный выбор инфраструктуры, резервное копирование, контроль доступов и готовность к инцидентам
И главный урок этой истории: если сайт работает без ошибок, это ещё не значит, что его данные находятся в безопасности.
Источники информации
- Хабр — сообщение об атаке на FirstVDS
- ServerNews — атаки на российских хостинг-провайдеров
- Хабр — результаты технического расследования FirstVDS от 21 октября
Вопросы и ответы о кибератаке на FirstVDS и VMmanager 6
Что случилось с FirstVDS в октябре 2026 года?
17 октября 2026 года злоумышленники получили доступ к части инфраструктуры FirstVDS через уязвимость в системе виртуализации VMmanager 6. Атакующие использовали вредоносную программу для копирования данных с дисков клиентских виртуальных серверов. Инцидент затронул не всех клиентов провайдера.
Какие данные могли украсть при взломе FirstVDS?
По информации FirstVDS, злоумышленники копировали пароли, SSH-ключи, API-токены, конфигурационные файлы, историю команд, пользовательские документы и данные криптокошельков. Точный объём похищенных данных установить не удалось. Владельцам затронутых серверов рекомендовано считать все хранившиеся на них данные скомпрометированными.
Как узнать, взломали ли мой сервер на FirstVDS?
FirstVDS направлял уведомления владельцам затронутых серверов по электронной почте и в личный кабинет. Проверьте сообщения провайдера и список затронутых услуг. Если уведомления нет, это означает, что по результатам проведённых проверок ваш сервер не был определён как пострадавший. При сомнениях обратитесь в техническую поддержку.
Может ли сервер быть взломан, если сайт работает нормально?
Да. Во время атаки на FirstVDS вредоносная программа работала на уровне виртуализации и подключала диски виртуальных серверов только для чтения. Она не запускалась внутри клиентских операционных систем, поэтому сайты могли продолжать работу без ошибок, несмотря на копирование данных.
Что такое VMmanager 6 и почему его взлом опасен?
VMmanager 6 — платформа серверной виртуализации, разработанная ISPsystem, входящей в ГК «Астра». Она используется для создания и управления виртуальными машинами. Компрометация системы управления виртуализацией опасна тем, что злоумышленник может получить доступ к ресурсам нескольких виртуальных серверов через общую инфраструктуру.
Какие российские хостинги пострадали от атаки на VMmanager?
В октябре 2026 года об атаках на инфраструктуру VMmanager 6 публично сообщили FirstVDS, ForestsNet, MHost и YaColo. Последствия у провайдеров различались. FirstVDS подтвердил копирование клиентских данных, тогда как ForestsNet и YaColo на момент своих заявлений не обнаружили прямых доказательств их хищения.
Что делать, если мой сервер на FirstVDS попал под атаку?
Необходимо заменить пароли сервера, баз данных и административных панелей, перевыпустить SSH-ключи, отозвать API-токены и проверить доступы к внешним сервисам. Также следует изучить журналы авторизации, учётные записи и системные задания. Если на сервере хранились персональные данные, необходимо оценить возможные обязанности по уведомлению уполномоченных органов.
Почему FirstVDS отключил панель управления VMmanager?
FirstVDS ограничил внешний доступ к VMmanager, чтобы предотвратить повторную эксплуатацию уязвимости. Даже после сообщения разработчика об исправлении проблемы провайдер сохранил ограничения до проверки и восстановления затронутых узлов. Часть функций управления серверами переносится в личный кабинет, остальные доступны через поддержку.
Защитит ли обновление 1С-Битрикс от взлома хостинга?
Нет. Обновления 1С-Битрикс устраняют известные уязвимости CMS и её компонентов, но не защищают от компрометации инфраструктуры хостинг-провайдера. Безопасность сайта зависит от нескольких уровней: приложения, операционной системы, средств управления доступом и платформы виртуализации.
Нужно ли переносить сайт на другой хостинг после кибератаки?
Не обязательно. Решение зависит от масштаба инцидента, состояния инфраструктуры, действий провайдера и требований бизнеса. Смена хостинга сама по себе не устраняет последствия утечки паролей и ключей. Сначала необходимо закрыть скомпрометированные доступы, проверить сервер и оценить меры безопасности провайдера.