# FirstVDS сообщила об атаке через уязвимость в VMmanager 6

> Источник: 404 Media. Канонический URL: https://404-media.ru/tehnologii/firstvds-soobschila-ob-atake-cherez-uyazvimost-v-vmmanager-6

Злоумышленники получили доступ к части инфраструктуры FirstVDS и могли скопировать пароли, ключи, токены, конфигурации и файлы клиентов.

- Рубрика: Технологии (https://404-media.ru/tehnologii)
- Опубликовано: 2026-10-18T15:04:20+03:00
- HTML: https://404-media.ru/tehnologii/firstvds-soobschila-ob-atake-cherez-uyazvimost-v-vmmanager-6
- Markdown: https://404-media.ru/tehnologii/firstvds-soobschila-ob-atake-cherez-uyazvimost-v-vmmanager-6.md
- llms.txt: https://404-media.ru/llms.txt

FirstVDS сообщила об инциденте в своей инфраструктуре: 17 октября злоумышленники получили доступ к части системы управления виртуализацией VMmanager 6. Через уязвимость атакующие добрались до отдельных узлов виртуализации и данных клиентов, чьи серверы на них размещались.

[Компания](/biznes) уже отправила затронутым клиентам уведомления в личном кабинете и по электронной почте. В сообщениях указан список потенциально затронутых серверов и приведены дальнейшие инструкции. Если уведомление не пришло, FirstVDS не обнаружила следов атаки на соответствующих узлах, однако расследование продолжается.

## Какие данные могли быть скопированы

На части серверов инфраструктуры злоумышленники запустили программу для кражи данных. Она подключала диски клиентских виртуальных серверов в режиме только для чтения и копировала содержимое на внешний сервер. По данным FirstVDS, в распоряжении атакующих могли оказаться пароли, SSH- и API-ключи, токены, конфигурационные файлы, история команд, криптокошельки и пользовательские файлы.

Атака затронула не всю инфраструктуру провайдера. Вредоносная программа не изменяла содержимое дисков виртуальных [машин](/avto) и не запускалась внутри самих серверов, поэтому на них может не быть обычных следов компрометации. Серверы при этом продолжили работать в штатном режиме. Получившим уведомление клиентам компания рекомендует исходить из того, что данные с указанного сервера были скопированы.

## Что сделала FirstVDS

После обнаружения атаки провайдер отключил внешний доступ к системе управления виртуализацией, через которую произошёл взлом, и заблокировал в своей сети адрес сервера злоумышленников. Вендор VMmanager выпустил промежуточный патч и готовит окончательное исправление. До полного устранения уязвимости доступ к системе управления останется закрытым.

## Рекомендации для клиентов

Главный риск связан с возможным использованием украденных учётных данных. Клиентам, получившим уведомление, FirstVDS советует как можно быстрее выполнить следующие действия:

- **Защитить криптокошельки.** Перевести средства на новые кошельки, созданные на другом, заведомо чистом устройстве.
- **Сменить пароли, ключи и токены.** Это касается учётных записей root и пользователей, баз данных, панелей управления сайтами, почты, облачных сервисов, CI/CD и платёжных систем.
- **Отозвать старые ключи.** Недостаточно просто выпустить новые: прежние ключи необходимо отключить в облачных консолях, GitHub или GitLab и у платёжных провайдеров.
- **Проверить журналы входов.** Следует изучить логи на сервере и в сервисах, доступ к которым хранился на нём, обращая внимание на подключения с незнакомых адресов после 17 октября.
- **Проверить конфигурацию сервера.** Если злоумышленник успел войти до смены учётных данных, стоит проверить файл *~/.ssh/authorized_keys*, список пользователей, задания cron и службы systemd.
- **Оценить обязанности по защите персональных данных.** Если на сервере хранились персональные данные клиентов, FirstVDS рекомендует проконсультироваться с юристом о необходимости уведомления Роскомнадзора.

Компания обещает опубликовать постмортем после завершения расследования и закрытия инцидента. Дополнительную информацию FirstVDS намерена добавлять по мере её появления.