27 октября 2026 г.
SSH-ключи клиентов десятков хостингов утекли: панель VMmanager взломали с участием ИИ
ISPsystem закрыла дыру финальными сборками 23 октября, но у пострадавших клиентов ключи и пароли скопировали раньше.
14 октября в 00:40 МСК в поддержку ISPsystem пришло первое обращение: на узлах виртуализации творилось что-то странное.
Первые следы проникновения у клиентов датированы 12 октября. 17 октября накатила вторая волна, около 20 обращений за сутки. Атака задела несколько десятков хостинг-провайдеров.
Не хотите разбираться сами? Внедряем ИИ в ваш бизнес: задачи без лимита, одна цена в месяц, отмена в любой момент.
Если ваш сервер стоит у хостера на VMmanager 6, ключи и пароли с него могли уехать ещё до того, как панель залатали. Стилер на узлах виртуализации монтировал диски клиентских машин в режиме чтения и копировал SSH-ключи, хеши системных паролей и базы менеджеров паролей, а заодно облачные токены и данные криптокошельков.
Что делать клиенту. Чек-лист пострадавшего хостинга ForestsNet Cloud от 18 октября короткий: сменить root-пароли, которые выставлялись через панель, перейти на вход по SSH-ключам и отключить вход по паролю, ротировать все хранившиеся секреты (API-ключи, токены, пароли БД), проверить серверы на чужих пользователей, незнакомые процессы и cron-задачи.
Проверить заражение ISPsystem предлагает через Kaspersky Virus Removal Tool с обновлёнными базами индикаторов компрометации. Сборку под этот инцидент выложили 21 октября в 19:00 МСК.
Администраторам панели. Минимум это патч от 19 октября, а лучше финальные сборки от 23 октября: stable 2026.05.2-12 и regular 2026.09.1-8. В них обновлён nginx и закрыты три CVE. Тем же заходом вышли обновления DCImanager 6, BILLmanager 6 и DNSmanager 6.
До выхода дополнительных патчей ISPsystem велит держать контур закрытым: отключить загрузку ISO пользователями, SSH-доступ внутри платформы и запуск скриптов для узлов и виртуальных машин. Системы, где патчи уже стояли, взломать не удалось.
Дыру ISPsystem установила 19 октября в 16:00 МСК. Это 0-day класса HTTP Request Smuggling: websocket-запрос с телом отвергался, тело оставалось непрочитанным, и при keep-alive nginx читал его как новый запрос с административными правами.
Раньше такие дыры перебирал человек руками. На одну установку VMmanager прилетело больше 10 000 запросов с разными векторами, а в скриптах злоумышленника остались комментарии и характерные паттерны, по которым ISPsystem видит работу ИИ.
Следующая веха это дополнительные патчи ISPsystem, после них контур панели можно открывать обратно.
Первоисточник