Через уязвимость в одной из сборок VMmanager 6 злоумышленники получили доступ к панелям управления у нескольких десятков хостинг-провайдеров. Заражение панелей шло с 11 по 16 октября, а активная фаза кампании пришлась на ночь 17 октября. На части хостингов атакующие вышли за пределы панели и прочитали диски клиентских виртуальных машин.
FirstVDS подтвердил кражу данных 17 октября. На части физических серверов провайдера злоумышленники запустили программу, которая подключала диски клиентов в режиме только для чтения. Сборщик отправлял на внешний сервер пароли, ключи доступа, настройки приложений, историю команд, криптокошельки и пользовательские файлы. Внутри виртуальных машин программа не запускалась и содержимое дисков не меняла, поэтому серверы клиентов работали штатно, а первая кража могла не оставить следов в обычных журналах. Провайдер попросил получателей персонального уведомления исходить из того, что файлы уже скопированы.
Техническую цепочку взлома позже восстановила Senko Digital в опубликованном разборе инцидента постмортем Senko Digital: атакующий прошёл по нескольким ошибкам в программных интерфейсах платформы и добрался до функции подключения ISO-образов, цифровых копий дисков. Это позволило выполнять собственные команды на сервере панели без учётной записи и без входа в систему. С помощью полученного доступа атакующий создал два административных токена со сроком действия до 2036 года и замаскировал активность под штатные задачи платформы. Специалисты компании заметили посторонние ключи 14 октября во время проверки другой, похожей уязвимости, отозвали их и закрыли панель для внешних подключений.
Разработчик платформы ISPsystem инцидент подтвердил, но перечень и число пострадавших операторов не раскрыл. Компания объяснила это рисками для заказчиков, которые ещё не обновились, и выпустила исправление в версии 2026.05.2-6 в ночь на 18 октября. До установки патча вендор потребовал закрыть на межсетевом экране доступ к платформе и узлам виртуализации. Исключение он оставил только для доверенных администраторов и своей техподдержки, причём в обе стороны.
Пока одни провайдеры разбирались с последствиями, другие делились перечнем того, что искал сборщик. MHost опубликовал список целей: учётные данные AWS, Google Cloud и Azure, ключи GitHub и GitLab, доступы к базам данных и резервным копиям, криптобиржи, а также ключи сервисов OpenAI и Anthropic. Речь идёт о секретах клиентов, которые лежали на арендованных серверах, а не о взломе самих перечисленных платформ. MHost отключил оборудование, менял служебные ключи и 19 октября объявил о поэтапном запуске серверов после проверки.
ForestsNet Cloud раскрыл состав утёкшей базы панели: список виртуальных серверов с адресами, почту владельцев учётных записей, пароли администратора, заданные через панель при заказе, переустановке или смене пароля, и пароли консоли удалённого доступа VNC. Компания отдельно предупредила клиентов, которые не меняли пароль после выдачи. Первые следы проникновения здесь датируют 12 октября, вечером 16 октября сборщик работал на сервере панели с максимальными правами, а 17 октября панель закрыли. Личный кабинет и платежи размещены на отдельном сервере, доступа к ним у панели не было.
Остальные участники оценивают произошедшее осторожнее. YaColo сообщила, что 18 октября инцидент затронул несколько панелей в Кемерове, Москве и Санкт-Петербурге, но прямых доказательств кражи данных не привела. Datagio временно отключил затронутые узлы как меру предосторожности и кражу клиентских файлов не подтверждал, поэтому причислять компанию к подтверждённым утечкам на основании одного отключения нельзя. Senko Digital заменила ключ удалённого управления на всех 94 узлах, перенесла панель на изолированный сервер и не нашла признаков чтения клиентских дисков.
Общей статистики по кампании нет: провайдеры называют разные даты обнаружения, разную глубину доступа и разные последствия для клиентов. Единой даты взлома тоже не существует, потому что 17 октября стало днём массовых сообщений, а не началом атаки. При этом сама конструкция платформы объясняет масштаб. Одна панель управляет сотнями клиентских машин, и её компрометация обходит защиту, которую каждый арендатор строил на своём сервере отдельно.
