# Битрикс24 предупредил о рисках после атаки на инфраструктуру FirstVDS

> Источник: 404 Media. Канонический URL: https://404-media.ru/tehnologii/bitriks24-predupredil-o-riskah-posle-ataki-na-infrastrukturu-firstvds

Уязвимость в VMmanager 6 могла привести к копированию файлов, паролей и токенов на виртуальных машинах. Битрикс24 отозвал часть OAuth-секретов.

- Рубрика: Технологии (https://404-media.ru/tehnologii)
- Опубликовано: 2026-10-20T11:12:28+03:00
- HTML: https://404-media.ru/tehnologii/bitriks24-predupredil-o-riskah-posle-ataki-na-infrastrukturu-firstvds
- Markdown: https://404-media.ru/tehnologii/bitriks24-predupredil-o-riskah-posle-ataki-na-infrastrukturu-firstvds.md
- llms.txt: https://404-media.ru/llms.txt

18 октября хостинг-провайдер FirstVDS сообщил об атаке, которая произошла 17 октября. По данным [компании](/biznes), злоумышленники использовали уязвимость в системе управления виртуализацией VMmanager 6 и получили доступ к части инфраструктуры провайдера.

Вредоносная программа подключала диски некоторых клиентских виртуальных машин в режиме «только чтение» и копировала файлы, пароли, ключи, токены и конфигурации. При этом она не запускалась внутри гостевых операционных систем и не изменяла данные на дисках. Поэтому работа виртуальной [машины](/avto) могла продолжаться без очевидных признаков активности внутри самой системы.

Для пользователей Битрикс24 риск был косвенным. На внешних серверах могли размещаться серверные компоненты сторонних приложений, а также храниться данные доступа к порталам или сведения, ранее полученные из Битрикс24. При этом сама уязвимость находилась не в Битрикс24, а в инфраструктуре FirstVDS. Использование VMmanager 6 также не означает автоматическую компрометацию конкретного сервера или приложения.

## Какие меры принял Битрикс24

После публикации сообщения FirstVDS Битрикс24 18 октября перевыпустил секреты **client_secret** OAuth-доступа для серверной части потенциально затронутых приложений из Маркета. Сейчас речь идет о десяти разработчиках. Мера носит упреждающий характер и сама по себе не подтверждает взлом конкретного приложения или его установки.

Разработчики обновляют секреты, поэтому отдельные приложения могли временно перестать работать 18–19 октября. Пользователям следует уточнить у разработчика, относится ли ограничение к их установке, а также сроки и порядок восстановления. Если разработчик не отвечает, можно обратиться в техническую поддержку 1С-Битрикс.

Локальные [приложения](/tehnologii) и входящие вебхуки, созданные администраторами порталов, автоматически этой мерой не охвачены. Отзыв OAuth-секрета снижает риск новых обращений к порталу с использованием скомпрометированных данных, но не удаляет копии информации, которые приложение уже сохранило на внешнем сервере, в резервных копиях, журналах или временных хранилищах.

## Что проверить владельцам порталов

Администраторам рекомендуется составить список всех сторонних приложений, подключенных к Битрикс24, и определить их разработчиков. Для каждого приложения стоит выяснить, к каким данным и инструментам оно имеет доступ, где находится его серверная часть, какой хостинг используется и применяет ли провайдер VMmanager 6.

Запрос разработчику должен относиться к конкретной установке и серверу, обслуживающему портал. Важно уточнить, работало ли приложение на потенциально затронутом узле, хранились ли там ключи и токены, какие данные портала сохранялись во внешней инфраструктуре, включая резервные копии и журналы, а также завершена ли проверка безопасности.

Если сервер локального приложения или его данные доступа находились на потенциально скомпрометированном хостинге, сервер следует изолировать и отключить интеграции. Для аннулирования сохраненных токенов локальное приложение можно удалить с портала: согласно документации Битрикс24, после удаления все сохраненные токены становятся недействительными. Перед этим необходимо оценить, какие связанные процессы остановятся и как их восстановить.

Если на подозрительном сервере хранился URL входящего вебхука, рекомендуется удалить старый вебхук, проверить или перенести серверную среду, а затем создать новый. До этого также нужно оценить последствия для автоматизированных процессов.

## Проверка активности в Битрикс24

Администратор портала может открыть раздел «Приложения» → «Разработчикам» → «Статистика» и посмотреть количество REST-запросов по приложениям, вебхукам, методам и событиям. История доступна максимум за 14 дней, поэтому активность с 17 октября можно сравнить с обычными значениями за предыдущие даты.

Эта статистика предназначена только для предварительного поиска аномалий. Она не показывает, кто именно использовал учетные данные, какие записи были прочитаны и какие сведения могли быть получены. Отсутствие всплеска запросов не исключает использование доступа небольшим числом обращений, компрометацию ранее сохраненных данных или утечку непосредственно из инфраструктуры разработчика. Необычная активность также не доказывает атаку без дополнительной проверки.

Расследование FirstVDS продолжается. По состоянию на 19 октября 2026 года, 17:46 по московскому времени, провайдер не раскрыл технические детали эксплуатации уязвимости и полный список затронутых версий. Поскольку VMmanager 6 может использоваться другими хостерами, окончательную оценку риска следует получать у разработчика конкретного приложения и обслуживающего его провайдера.