Все об Интернете

Эксперты называют инцидент «крайне опасным» — могли утечь пароли, ключи и криптокошельки. На сайте компании-разработчика системы упоминается около 30 организаций-пользователей VMmanager, в том числе хостинг-провайдеры и облачные компании PSB Hosting, 4VPS, «ОБЛАКО. РУ». Также среди пользователей указаны медицинские центры Минздрава, МИАЦ Томской области, Уральский федеральный университет, «Алеф-банк», «Электросети Кубани» и другие.

По цифровому фронту прокатилась волна паники! Более 6 тысяч государственных и коммерческих серверов оказались под прицелом кибер-крестоносцев, прорвавших оборону через подлую уязвимость в VMmanager 6 от ГК «Астра».

19 октября 2026 года, 18:22. Похоже, кто-то решил устроить хакерский карнавал, воспользовавшись лазейкой в системе виртуализации VMmanager 6, детище ГК «Астра». Злоумышленники, словно ниндзя в темноте, прошмыгнули в серверы хостинг-провайдера FirstVDS.CLO и, представьте себе, утащили клиентские данные! Среди пострадавших — такие солидные организации, как СПб ГКУ «Организатор перевозок», Нефтесервисный холдинг «ТАГРАС» и даже Авиакомпания «КрасАвиа». Эксперты бьют тревогу: одна прохудившаяся шестеренка в этом механизме может повлечь за собой цепную реакцию бедствий, а просто сменить пароли – это как пытаться остановить цунами с помощью зонтика.

Злоумышленники, будто бы опытные взломщики сейфов, нашли заветную «дырочку» в системе VMmanager 6, позволяющую им проникнуть в самое сердце компаний. FirstVDS.CLO подтвердила, что их инфраструктура была взломана, и хакеры успели развернуть там свои шпионские программы для кражи информации. Официальный канал компании подтверждает: это не сон, а суровая реальность.

VMmanager – это наша, российская платформа для управления виртуальными серверами. Она создана компанией ISPsystem, которая является частью группы компаний «Астра». Представьте себе, эта платформа – настоящий дирижер, управляющий всем оркестром виртуальной ИТ-инфраструктуры.

Кстати, не так давно «Группа Астра» щедро отстегнула более 3 миллионов рублей «охотникам за ошибками» за обнаруженные уязвимости. Исследователи, словно кладоискатели, рыскали по всем сервисам, включая VMmanager. И вот, пожалуйста, результат – более 120 отчетов от бдительных сыщиков.

На сайте «Группы Астра» красуются истории успеха с их клиентами. Среди них – Napa Labs, «ТАГРАС» и «КрасАвиа». А вот СПб ГКУ «Организатор перевозок» тоже пользуется VMmanager, о чем с удовольствием писали в РБК Компании. Мы, конечно, тоже попытались связаться с компаниями, но, увы, тишина…

FirstVDS.CLO рассказала, что 17 октября хакеры получили доступ к части их серверов, а затем, словно детективы, подключали диски клиентских серверов в режиме «только для чтения», чтобы скопировать ценную информацию. Среди украденного – пароли, ключи доступа (SSH, API, облачные сервисы), конфигурационные файлы, история команд, криптокошельки и даже личные файлы пользователей.

После того как добыча была собрана, она, как по конвейеру, отправилась на сервер злоумышленников.

В 2025 году «Группа Астра» хвасталась, что их VMmanager используют более 6000 серверов, как из мира бизнеса, так и из государственных учреждений. Однако, когда мы спросили о доле рынка в России, они уклончиво ответили, что VMmanager входит в топ-5 российских платформ виртуализации.

«Астра» заверила, что в курсе инцидента у FirstVDS и находится в тесном контакте с провайдером. Количество затронутых компаний они раскрывать не стали. Зато сообщили, что ISPsystem, их дочерняя компания, уже выпустила патч, устраняющий уязвимость, а проверки и меры по ликвидации последствий атаки продолжаются.

Сменить логотип – это не решение!

Независимый эксперт по кибербезопасности Евгений Баклушин, хоть и не пользуется VMmanager сам, признает, что это очень популярное решение среди российских хостеров, почти стандарт. «Так что дыра у одного поставщика автоматически становится головной болью для всего рынка VPS», – констатировал он.

Эксперт подчеркнул, что был взломан не сам сервер, а уровень управления гипервизором. «Внутри виртуальных машин следов нет, антивирусы молчат, сайты работают, а SSH-ключи, токены к облакам и репозиториям уже улетают к врагу», – объяснил Баклушин. Далее начинается цепная реакция: клиенты хостера страдают уже от своих клиентов. Именно поэтому, отметил он, простая смена паролей не поможет: «Все секреты считаем скомпрометированными и перевыпускаем!»

Баклушин напомнил, что существует масса альтернатив VMmanager – Proxmox, OpenNebula, OpenStack, а из отечественных – zVirt, SpaceVM, «РЕД Виртуализация» и Basis. Тем не менее, он уверен, что смена логотипа на панели управления – это лишь косметическая мера. «Защищает архитектура: панель гипервизора не должна быть выставлена в интернет, доступ – только через VPN и MFA, плюс мониторинг операций с дисками ВМ», – посоветовал он. «Миграция займет месяцы, а закрыть доступ к панели можно сегодня!»

Эксперт также отметил, что модель разделения ответственности у хостеров зачастую существует только на бумаге. «„Лежит у провайдера“ не означает „защищено“», – предупредил Баклушин. Он считает, что это испытание на зрелость для поставщика, ведь главное – не патч, а прозрачность инцидента: информация о CVE, затронутых версиях и индикаторах компрометации (IoC).

Компрометация одного компонента – угроза для множества серверов!

Сергей Полунин, руководитель группы защиты инфраструктурных ИТ-решений «Газинформсервис», подчеркнул, что любая система централизованного управления – это лакомая цель для хакеров, которая оправдывает их усилия. При этом он отметил, что важно различать наличие уязвимости и реальную возможность ее эксплуатации.

По его словам, речь, скорее всего, идет о возможности выполнения произвольного кода на сервере при наличии базового доступа к панели управления. «В случае с хостингом это особенно опасно – клиенты имеют прямой доступ к своим виртуальным машинам, а значит, каждый из них потенциально может навредить другим клиентам на том же сервере», – подчеркнул Полунин.

Денис Кувшинов, руководитель направления Threat Intelligence Positive Technologies, добавил, что главная опасность систем управления виртуализацией – это масштаб возможных последствий: «Взлом одного управляющего компонента может поставить под угрозу множество клиентских серверов одновременно».

Он также отметил особую опасность последующих атак с использованием украденных данных. «Ключ, сохраненный на одном сервере, может открыть двери к другим серверам компании, облачным ресурсам, репозиториям кода или резервным копиям», – привел пример Кувшинов. Именно поэтому, по мнению эксперта, последствия могут выйти далеко за пределы первоначально пострадавшей инфраструктуры, приведя к дальнейшим кражам информации, подмене данных и вымогательству.