Отечественная платформа серверной виртуализации VMmanager 6 была взломана хакерами, пишет РБК. За ней стоит компания ISPsystem, входящая в российскую «Группу Астра».

Инцидент произошел 17 октября 2026 г., однако одно из первых официальных подтверждений взлома появилось лишь сутки спустя – его опубликовал в своем официальном Telegram-канале хостинг-провайдер FirstVDS. Напомним, Telegram почти полностью замедлен в России с февраля 2026 г.

«17 октября (2026 г. – прим. CNews) злоумышленники получили доступ к части нашей инфраструктуры через уязвимость в системе управления виртуализацией VMmanager 6, – говорится в канале FirstVDS. – Всем, чьи серверы были затронуты, мы уже отправили уведомление в личный кабинет и на почту со списком серверов и инструкцией. Если вы такого уведомления не получили, это значит что на ваших узлах следов атаки мы не нашли».

В редакцию CNews поступил официальный комментарий «Группы Астра». В нем сказано, что компания IPSsystem осведомлена о ситуации.

«Компания ISPsystem – разработчик платформы серверной виртуализации VMmanager – подтверждает информацию об инциденте, связанном с уязвимостью в одной из сборок VMmanager 6, и сообщает о принимаемых мерах. Нам известно об инциденте, связанном с уязвимостью в одной из сборок VMmanager. Мы проводим проверку и находимся в постоянном контакте с заказчиками», – сообщили CNews представители «Группы Астра».

Насколько масштабным оказался взлом, к моменту выхода материала официально не раскрывалось. «Поскольку речь идет о безопасности конкретных инфраструктур и заказчиков, эксплуатирующих платформу в открытом информационном контуре, мы не раскрываем перечень и количество затронутых операторов, а также детали того, как мог быть получен доступ», – сказали CNews в «Группе Астра».

Между тем, некоторые подробности все же известны. В Telegram-канале FirstVDS сказано: «Злоумышленники запустили на части серверов нашей инфраструктуры программу для кражи данных. Она подключала диски клиентских виртуальных серверов в режиме только для чтения и копировала с них: пароли, ключи доступа (SSH, API, облачные сервисы) и токены; конфигурационные файлы и историю команд; криптокошельки; пользовательские файлы».

По информации профильного портала SecurityLab, хакеры могли украсть, в числе прочего, системные пароли, файлы конфигурации приложений, содержимое хранилищ KeePass и GPG, а вместе с ними – пароли и cookie-файлы, сохраненные в браузерах. Помимо этого, в руки злоумышленникам могли попасть «файлы .env, настройки Docker, строки подключения к PostgreSQL, MySQL, MongoDB и Redis, история выполненных команд и пароли систем резервного копирования Restic и Borg», отмечает SecurityLab.

Полученные данные хакеры передавали на свои серверы.

Также известно вероятное число пострадавших серверов. Как пишет портал SecPost, В 2025 г. на сайте «Группы Астра» была пометка более чем 6000 серверах, которые работают в паре с VMmanager. Эти серверы установлены в частных компаниях и государственных учреждениях. Среди пользователей платформы – СПб ГКУ «Организатор перевозок», Нефтесервисный холдинг «ТАГРАС» и авиакомпания «КрасАвиа», пишет SecPost.

«Последствия могут выйти далеко за пределы самого хостинга. Среди потенциально раскрытых секретов провайдер (FirstVDS — прим. CNews) назвал учетные данные AWS, Google Cloud, Microsoft Azure и OpenStack, настройки Kubernetes и Terraform, а также токены GitHub, GitLab и npm. В файлах могли находиться API-ключи OpenAI и Anthropic. Доступ к подобным данным способен позволить атакующим проникнуть в другие облачные среды, репозитории исходного кода и системы автоматической сборки программ. Подтверждений таких вторичных атак пока нет», – отмечает SecurityLab.

К моменту выпуска материала в публикации FirstVDS упоминаний о подавляющем большинстве этих сервисов не было. Пост редактировался несколько раз – последние изменения в него на момент выпуска статьи вносились 18 октября 2026 г. в 11:48 по Москве.

О взломе VMmanager 6 сообщили и другие хостинг-провайдеры, не только FirstVDS. Как пишет РБК, аналогичное заявление появилось на сайте ForestsNet Cloud, и в нем сказано, что что панели VMmanager были заражены в период с 11 по 16 октября 2026 г. Сама атака с вероятной кражей данных произошла в ночь с 16 на 17 октября 2026 г.

По утверждению провайдера, на руках у хакеров был гигантский список данных для взлома – список серверов, их IP-адреса, root-пароли, пароли для удаленного управления серверами и пр.

Факт атаки подтвердили провайдеры MHost YaColo.

«Группа Астра» не создавала систему VMmanager с нуля. Это разработка компании IPSsystem, которую, как сообщал CNews, «Группа Астра» почти полностью купила в марте 2022 г.

В результате заключенной сделки объем инвестиций в приобретенную компанию составил 2,5 млрд руб., «Астра» получила 70% акций, а 30% осталось у генерального директора ISPsystem Павла Гуральника.

CNews обнаруджил своем сайте IPSsystem в разделе «Кейсы» упоминание нескольких десятков компаний, пользующихся VMmanager. В их числе – хостинг-провайдеры, облачные компании, Департамент здравоохранения Томской области, Кировская ордена Почета государственная универсальная областная научная библиотека имени А.И. Герцена, ГБУЗ «Кузбасский кардиологический диспансер имени академика Л.С. Барбараша», КЧ РГАУ «Центр развития связи и коммуникаций», «Югорский лесопромышленный холдинг» и др.