Уязвимость в VMmanager 6, платформе управления виртуальными серверами, стала входом для атак на хостинг-провайдеров. FirstVDS сообщила о похищении данных с части клиентских VPS, а Senko Digital раскрыла попытку закрепиться в своей панели ещё 12 октября. Разработчик платформы ISPsystem подтвердил инцидент 20 октября, но число затронутых операторов и технические детали уязвимости пока не раскрывает.

По описанию FirstVDS, 17 октября злоумышленники запустили программу для кражи данных на части узлов виртуализации — физических серверов, где размещаются клиентские VPS. Она подключала их диски в режиме только для чтения и отправляла наружу пароли, SSH- и API-ключи, токены, конфигурационные и пользовательские файлы, в том числе данные криптокошельков. Внутри самих виртуальных машин программа не запускалась и диски не меняла: сервер мог продолжать работать как обычно, без следов этой программы в гостевой системе. Владельцев затронутых VPS провайдер уведомил отдельно.

Последствия у разных хостеров оказались неодинаковыми. В разборе Senko Digital от 19 октября говорится, что цепочка ошибок позволила атакующему выполнить команды без учётной записи и создать два административных API-токена со сроком действия до 2036 года. Компания обнаружила их 14 октября, отозвала и закрыла публичный доступ к панели. По итогам проверки всех 94 узлов Senko не нашла признаков чтения клиентских дисков, выгрузки базы панели или кражи ключей. Её оценка, что кампания затронула несколько десятков провайдеров, остаётся оценкой участника расследования; ISPsystem общего числа не подтвердила.

В обновлении FirstVDS от 20 октября работа над устранением уязвимости ещё продолжалась. Панели оставались закрытыми для клиентов, основные функции управления провайдер переносил в личный кабинет. ISPsystem требует на время инцидента ограничить входящие и исходящие соединения платформы и узлов доверенными администраторами и своей техподдержкой. Выпуск промежуточных исправлений поэтому нельзя считать подтверждением полного устранения проблемы.

Для пострадавших клиентов риск выходит за пределы самого VPS: украденные ключи могут открывать доступ к другим сервисам. FirstVDS отдельно подчёркивает необходимость отозвать прежние ключи, а не только выпустить новые. Закрытие панели перекрывает исходный путь атаки, но не возвращает уже скопированные секреты.