Компания ISPsystem, входящая в группу «Астра», опубликовала подробности инцидента с эксплуатацией уязвимости нулевого дня в платформе виртуализации VMmanager 6 Hosting. Злоумышленники использовали ранее неизвестную ошибку в Nginx, позволяющую пропускать вредоносные запросы, для атаки на инфраструктуру хостинг-провайдеров. Расследование показало, что в атаке активно применялся искусственный интеллект: алгоритмы динамически адаптировали тактику под особенности конкретных провайдеров и параллельно перебирали векторы нападения. Для борьбы с угрозой ISPsystem совместно с экспертами Kaspersky Threat Research и сервисом Kaspersky Incident Response провела проверку клиентской IT-инфраструктуры, предоставив обновленные базы индикаторов компрометации и утилиту KVRT для зачистки узлов от вредоносных файлов.
Вендор экстренно выпустил комплекс внеплановых обновлений безопасности, переработал защитную архитектуру решений и временно заблокировал возможность удаленного управления и запуска внутренних скриптов, чтобы ограничить пространство для маневра у злоумышленников. Для проверки эффективности исправлений в условиях реальной атаки были развернуты стенды в открытом контуре (honeypot), имитирующие инфраструктуру провайдеров: часть из них содержала актуальные патчи, другая — намеренно оставалась уязвимой. Совместный аудит затронутых инфраструктур и поиск остаточных артефактов продолжаются, при этом заказчики и партнеры ISPsystem изучают скомпрометированные системы и анализируют поведение атакующих.
Генеральный директор FirstVDS Алексей Щербаков заявил, что инцидент затронул часть их инфраструктуры, и компания провела собственное техническое расследование параллельно с работой над локализацией атаки. Руководитель управления исследования угроз «Лаборатории Касперского» Александр Лискин отметил, что использование ИИ в атаке на программу, установленную во множестве организаций, создало чрезвычайно опасную ситуацию, подчеркивая важность применения средств киберразведки на базе искусственного интеллекта. Гендиректор ISPsystem Павел Гуральник назвал атаку беспрецедентной по масштабам, отметив, что безопасность перестала быть статичным свойством кода и стала непрерывным процессом, требующим постоянной работы.
18 октября 2026 года FirstVDS сообщила о получении доступа злоумышленников к части сетевой инфраструктуры и данным клиентов через уязвимость в VMmanager 6. 20 октября компания предупредила, что работа над устранением уязвимости продолжается, и доступ к панели виртуализации для клиентов останется закрытым, перенеся основные функции управления в личный кабинет. 21 октября инженеры FirstVDS завершили собственный разбор инцидента и, несмотря на сообщение вендора о закрытии уязвимости, сохранили инфраструктуру в изоляции до полного восстановления и проверки затронутых узлов. 23 октября стало известно, что серверы клиентов работают, но операции управления могут выполняться медленнее, а компания начала обсуждать вопросы компенсаций пострадавшим.
