цены сверены 21 октября 2026 года
Подбор VPS / Инструкции

Взлом VMmanager 6: что сделать, если ваш VPS у пострадавшего хостера

В октябре 2026 года через уязвимость в панели VMmanager 6 злоумышленники атаковали сразу несколько российских хостеров. FirstVDS и ProfitServer сообщили, что задело и их. Если ваш VPS у одного из пострадавших хостеров, смените root-пароль, SSH-ключи и все токены, которые лежали на сервере, даже если сервер работает как обычно.

Взлом VMmanager 6: что сделать, если ваш VPS у пострадавшего хостера
Содержание
  1. Что случилось
  2. Касается ли это вас
  3. Что сделать прямо сейчас
  4. Как проверить, не заходил ли кто-то на сервер
  5. Что дальше

Ваш сайт или бот стоит на VPS, всё открывается, ошибок нет. А хостер пишет, что данные с сервера могли скопировать. Так в октябре 2026 года вышло у клиентов нескольких хостеров. Причиной стала не ошибка самих клиентов, а взлом панели VMmanager 6.

Что случилось

VMmanager 6 это панель от ISPsystem (группа «Астра»), через которую хостеры создают виртуальные серверы и управляют ими. Её используют многие российские хостеры. В октябре в ней нашли уязвимость, и злоумышленники атаковали через неё сразу несколько компаний.

FirstVDS сообщил о взломе 16 октября. По его словам, злоумышленники запустили на части узлов программу, которая подключала диски клиентских серверов только на чтение. С дисков она копировала пароли, ключи SSH и API, токены, файлы настроек, историю команд и криптокошельки. Внутри серверов программа не запускалась, поэтому на самом сервере следов нет, и работает он как обычно.

ProfitServer написал, что атака задела и его панель. В его разборе сказано, что заражение шло с 11 по 16 октября, а в ночь на 17 октября злоумышленники добрались до баз панелей. Там хранились список серверов с адресами, почты аккаунтов, root-пароли, заданные через панель, и пароли консоли VNC. По данным ProfitServer, о взломе публично сообщили ещё ForestsNet Cloud, MHost, HSH Network и YaColo.

Касается ли это вас

Если ваш VPS у FirstVDS, посмотрите личный кабинет и почту. FirstVDS разослал уведомления владельцам серверов на затронутых узлах и пишет, что, если уведомления нет, следов атаки на ваших узлах не нашли. Тем, кто уведомление получил, он советует считать, что данные с сервера скопированы.

Если сервер у ProfitServer, хостер советует сменить доступы всем, даже если на сервере всё выглядит нормально. Он не исключает, что программа работала и у него, хотя следов её не нашёл.

У других хостеров узнайте в поддержке, стоит ли у них VMmanager 6 и задела ли их атака. ProfitServer советует пройти те же шаги на всех серверах, где работает эта панель.

Что сделать прямо сейчас

Шаги ниже собраны из советов FirstVDS и ProfitServer. Начинайте с самого ценного.

  1. Если на сервере лежали криптокошельки или seed-фразы, переведите средства на новые кошельки, созданные на другом, чистом устройстве.
  2. Смените root-пароль, особенно если задавали его через панель при заказе или переустановке.
  3. Смените пароли пользователей и баз данных, панелей сайтов и почты.
  4. Выпустите новые SSH-ключи, API-ключи и токены: облака, GitHub и GitLab, CI/CD, платёжные системы, ИИ-сервисы. Старые отзовите, а не просто добавьте новые рядом.
  5. Переходите на вход по ключу и отключите вход по паролю. Как это сделать, по шагам написано в статье первая настройка VPS на Ubuntu.

Как проверить, не заходил ли кто-то на сервер

Украденные пароли опасны, пока их не сменили. Поэтому после смены проверьте, не успел ли кто-то ими воспользоваться. Посмотрите, чьи ключи лежат в списке разрешённых:

cat ~/.ssh/authorized_keys
sudo cat /root/.ssh/authorized_keys

Каждая строка это ключ, с которым можно войти. Если среди них есть незнакомый, удалите строку. Потом посмотрите последние входы и пользователей:

last -a | head -30
getent passwd | awk -F: '$3 >= 1000'

last показывает, кто и с какого адреса входил. ProfitServer советует искать входы с незнакомых адресов после 11 октября, FirstVDS после 17 октября. Вторая команда выводит обычных пользователей: если среди них есть тот, кого вы не создавали, это повод разбираться дальше.

Ещё злоумышленник мог оставить задание по расписанию или свою службу:

sudo crontab -l
crontab -l
systemctl list-units --type=service --state=running

Незнакомое задание или служба с непонятным именем это знак, что кто-то на сервере был. Тогда надёжнее всего перенести данные на новый сервер, а этот переустановить. Как переехать, написано в статье перенос проекта на другой VPS. А если вход по паролю пока нужен, защитите его от перебора с помощью Fail2ban.

Что дальше

FirstVDS и ProfitServer пишут, что поставили все заплатки от ISPsystem, а доступ к панели для клиентов пока закрыли. 20 октября FirstVDS сообщил, что панель останется закрытой надолго, а основное управление серверами он переносит в личный кабинет. Заказ серверов у него работает, но выдача может занимать больше времени. Оба хостера обещали опубликовать подробный разбор после расследования.

Сведения в статье взяты из сообщений хостеров на 21 октября 2026 года: новость FirstVDS и разбор ProfitServer.