FirstVDS взломали.

https://www.securitylab.ru/news/578930.php

17 октября атакующие через дыру в VMmanager 6 добрались до системы управления виртуализацией. Они подключили диски клиентских серверов в режиме только для чтения и спокойно вынесли всё ценное: SSH-ключи, пароли, .env, токены AWS и GitHub, seed-фразы криптокошельков. Окно было около десяти часов. Клиентские серверы при этом работали как ни в чём не бывало, а в логах гостевой ОС ничего не видно.

Для неинженеров на пальцах. Вы поставили в квартире бронированную дверь, а грабители зашли через управляющую компанию, у которой ключи от всех квартир сразу.

Теперь про управляющую компанию.

VMmanager 6 разработала ISPsystem (ООО Экзософт). В 2022 году ISPsystem купила ПАО Группа Астра. Та самая, которая Astra Linux. Та самая "защищённая отечественная".

Ну вы поняли.

Патч ISPsystem уже выпустила. Промежуточный. Дыру полностью не закрыли, CVE нет, технических деталей нет. FirstVDS держит панели управления закрытыми снаружи до финального исправления.

Посему практические выводы.

Если у вас стоит VMmanager, BILLmanager, ISPmanager или вообще что-то от ISPsystem, обновляйтесь прямо сейчас. Панели управления уберите из открытого интернета: доступ только через VPN или по белому списку IP. (Да, это стоило сделать ещё вчера.)

Если вы клиент FirstVDS и получили письмо, сменить пароль от VDS недостаточно. Отзывайте и перевыпускайте все ключи и токены, которые лежали на сервере. Криптовалюту переводите на новые адреса, созданные на чистом устройстве.

Импортозамещение такое замещение.

Photo from

1 трл или 1 000 000 000 000 р.

Столько потратят нефтяные, газовые и другие компании из ТЭК до 2030 года на российские программно-аппаратные комплексы (ПАК).

Заявления от Минэнерго красивые, только вот беда, в партнёрах проекта значится Минпромторг, наш любимый. Когда вчера писал заметку, всплывало в памяти открытое письмо Ивана Покровского, где он обвинял министерство в импотенции.

Источники тоже с опаской смотрят в сторону обещаний спроса от Минпрома: за последние несколько лет, по ощущениям, только Yadro не сильно тряслось, и то из-за того, что компания брала субсидии преимущественно от Минцифры.

Верим в спрос в 1 трлн до 2030 года?

Мы вполне себе верим, что спрос в триллион рублей внутри РФ найдется. Просто звучит громко - триллион. Но это рублей. А в долларах это 10 млрд. Ну, чуть больше. Но порядок такой.

Так вот 10 млрд долларов - это строительство AI-ЦОДа средней руки. Мегаватт на 200. Это даже близко не Colossus от Илона Маска. Это примерно как у Nebius. Кстати, у них как раз обязательства в этом районе — порядка 10 млрд долларов долгов, включая конвертируемые ноты и обеспеченные кредитные линии.

У компаний классом выше, типа Amazon — там таких долгов 60-70 млрд (6-7 триллионов рублей). А там есть ещё Microsoft (40-50B), Google (12-15B) или Meta ( почти тридцать миллиардов долларов).

Так что спрос-то будет. А вот денег - вряд ли. Все эти деньги нужны в Малой Токмачке. Так хуйло решило. И кто ему будет спорить? Транснефть? Ага-ага. Мишустина ещё давайте вспомним - он же постоянно с ввп-хуйлом спорит, чтоб россиянам жить было легче.

Так что мой прогноз: никто никаких триллионов ни на какие ПАКи выделять не будет. Забудьте.

🌐 Интернет-сбой: Syria
Оператор: AS201550 EXT-PDN-STE-AS; AS29256 INT-PDN-STE-AS; AS48065 Syriatel-AS
Масштаб: network
Причина: плановые работы
Начало: 19.10 23:00
Announced maintenance by Syrian Telecom (AS29256) caused a significant drop in Internet traffic across multiple providers in Syria

Пока там УЦ имени цифровой деградации пытается впарить MitM-сертификаты (MitM — мент-по-середине), тут у нас разыгрывается драма с индийскими сертами

В Индии есть такая eMudhra — крупная индийская технологическая компания, основанная в 2008 году, которая специализируется на решениях в области цифровой подписи, инфраструктуры открытых ключей (PKI) и управления цифровой идентификацией (IAM). Это _был_ один из УЦ, который имел доверие у разработчиков браузеров.

Так вот, буквально на наших глазах: https://emudhra.we-have-a-problem.com/

В октябре 2026 года стало известно о компрометации восьми промежуточных сертификатов (Intermediate Certificates) eMudhra (emSign).


Программы-уполномоченные органы и многие нижестоящие хранилища доверенных сертификатов приняли меры для защиты своих пользователей. Сертификаты заблокированы в Firefox и Chrome с 17 октября, на устройствах Apple — с 19 октября, а на устройствах Microsoft — с 20 октября.

О проблеме было ответственно сообщено нижестоящим трастовым магазинам 19 октября. Многие из них уже выпустили обновления или находятся в процессе их выпуска.

Практический вывод: нету вывода. Ничего не изменилось.
Скомпрометированный сертификат заблочен. eMudhra скорее всего банкрот. Сертификатов миндеградации в нормальном мире не существует. Тот, кто установил — сам себе злобный идиот и его ни капельки не жалко

Очередная дыра в безопасности (да, дальше следует шутка, что хоть что-то у нас в безопасности) — на этот раз PHP

https://www.cyberkendra.com/2026/10/php-cve-2026-109618-cve-2026-109619-rce.html

PHP2Shell: две дыры в ядре PHP утекли раньше патча

Вчера на Hacker News появился пост: со ссылкой на надежный источник автор сообщил о двух уязвимостях удаленного выполнения кода в PHP, затрагивающих все версии начиная с пятой. Доказательств не было, пост скрыли, но скриншоты уже разошлись по X и Mastodon. Через пару часов watchTowr подтвердил: уязвимости настоящие. Эмбарго должно было закончиться только в четверг.

Номера — CVE-2026-109618 и CVE-2026-109619, у обеих 9.2 по CVSS v4.0. Команда PHP перенесла релиз на сегодня, 16:00 по Берлину (17:00 по Москве). Технических деталей нет: какая функция или расширение уязвимы, неизвестно.

Зато известно другое. Cloudflare утром сообщил о первых атаках и выкатил правила WAF. Sansec утверждает, что уязвим любой сервер с PHP 5.4 и новее, и ждет массовых атак через 15 минут после выхода патча: сравнить исправленный код со старым и понять, куда бить, — дело минут. В Нидерландах к обеду легли Tweakers, сайт парламента, NCSC и Security.NL. CERT-EU советует изолировать публичные PHP-приложения, если обновить их сразу нельзя. Обходного решения нет, только патч.

Масштаб понятен: на PHP работают WordPress, Drupal, Magento и почти весь виртуальный хостинг. Исправления получит только PHP 8, причем поддерживаемые ветки. Пятерка и семерка давно сняты с поддержки, а серверов на них в сети по-прежнему полно. Им патча не будет.

Отдельная история — сама утечка. Эмбарго нужно, чтобы дистрибутивы, хостеры и вендоры выпустили исправленные сборки одновременно с публикацией. Когда дата и критичность утекают заранее, все, у кого уже есть эксплойт, получают обратный отсчет. Сколько осталось до патча — знают все. У кого дыра на руках — не знает никто.

Что делать прямо сейчас: проверить версию PHP на всех серверах, подготовить обновление к 16:00 и не ждать, пока хостер сделает это сам. Все, что крутится на PHP 5 и 7, — переводить на восьмую ветку или отключать от интернета.

Вот уже пострадавший — это регистратор в зоне DE. Скриншот — автоперевод с немецкого

Наблюдаем, что многие сервисы, построенные на PHP уходят в оффлайн на обновление. Вот, Scaleway, например: https://xn--r1a.website/heraks2net/535

Кстати, по поводу чебурнета и как это будет выглядеть: у нас же есть буквально "машина времени", на которую можно смотреть и прогнозировать. Это Иран, конечно.

Вот что пишут (машинный перевод, конечно, я ни слова буквы тут прочитать не могу):

Состояние джиттера и пинга после каждого блокирования VPN обычно становится очень хорошим и стабильным (как сегодня).

Причины этого состояния:
1. Огромный трафик VPN временно покидает сеть, а затем, через несколько дней, провайдеры VPN возвращаются новыми способами и снова нарушают работу сети.
2. Пропускная способность международных каналов связи в Иране ограничена, и министерство не принимает никаких решений об увеличении пропускной способности в связи с текущей ситуацией с ценами на доллар.

Ну, то есть, куча народу заняты "очень производительным трудом": одни разрабатывают способы блокировок VPN. После чего сообщество разрабатывает способ обхода этих способов. И когда получается — все упирается в пропускную способность каналов передачи данных заграницу. Которые не модернизируются много лет.

Это состояние в РФ через год-два-три, если динамика будет сохраняться.

Охренеть. Все сайты Северной Кореи отвалились. Скорее всего, тоже PHP, но мы это не узнаем

Ни дня без уязвимостей:

Railway, облачная платформа для деплоя приложений, сообщила о взломе. Утром 21 октября там заметили аномальную активность в системах, где хранятся переменные окружения клиентов.

По предварительным данным, посторонний получил доступ к зашифрованным переменным, а часть из них сумел расшифровать. Для тех, кто не в теме: в переменных окружения обычно лежит все самое ценное. API-ключи, логины и пароли к базам данных, доступы к приватным реестрам контейнеров, ключи от облачных аккаунтов. То есть это не "утекли email-адреса", а "утекли ключи от квартиры".

Railway считает, что это часть серии атак на платформенные компании, цель которых добраться до провайдеров AI-инференса. Проще говоря, кто-то собирает чужие ключи от API нейросетей, чтобы гонять модели за чужой счет. Railway уже сам попросил этих провайдеров отозвать все ключи. Так что если у вас на Railway крутится что-то с ключом от LLM, не удивляйтесь, если оно внезапно перестанет работать.

Компания говорит, что затронута, вероятно, только часть пользователей, но менять все рекомендует всем. Пострадавшим обещают написать на почту отдельно.

Параллельно Railway остановил все деплои. Билды на паузе с 07:24 UTC 21 октября во всех регионах, новые версии выкатить нельзя. Работающие сервисы при этом живут.

Что делать, если у вас что-то крутится на Railway:

• перевыпустить все переменные окружения: API-ключи, пароли к базам, доступы к реестрам;
• проверить логи сервисов на необычную активность;
• если там лежал ключ сервисного аккаунта Google Cloud, отключить его. По умолчанию такие ключи не истекают и работают, пока их не выключить вручную;
• посмотреть биллинг в GCP и AWS. Злоумышленников обычно интересуют GPU, compute и AI-сервисы, так что внезапный счет за Vertex AI будет плохим знаком.
Railway уже выпустил отдельные инструкции по проверке GCP, AWS и смене паролей MySQL.

Источник: https://blog.railway.com/p/security-disclosure-wednesday-october-21st Статус инцидента: https://status.railway.com/incident/QH8L8B3E

Классика. Аппарат "прикомандированных сотрудников" в действии.

https://www.rbc.ru/politics/22/10/2026/6ad8d1769a79471e46ededf0

РБК со ссылкой на четыре источника пишет, что на пост замминистра по кибербезопасности рассматривают Константина Дробаденко. Сейчас он начальник управления Центра защиты информации и специальной связи ФСБ, то есть подразделения, которое отвечает за криптографию и спецсвязь. Приказа пока нет, окончательного решения тоже.

Место освобождает Александр Шойтов. Генерал-лейтенант, выпускник Института криптографии, связи и информатики (ныне Академия ФСБ), с 2017 года президент Академии криптографии. Курирует направление в Минцифры с апреля 2021 года. Разговоры о его уходе идут с весны.

Итак, из ФСБ в ФСБ. Транзитом через гражданское министерство.

Напомню, чем это направление занимается: ГосСОПКА, "Антифрод" для телефонных звонков, Национальный удостоверяющий центр (тот самый, что выдаёт "суверенные" сертификаты), гражданская криптография, защита "Гостеха". Плюс критическая информационная инфраструктура: связь, госсистемы, банки, энергетика, транспорт.

Гражданская кибербезопасность. В исполнении спецслужбы.

Алексей Лукацкий деликатно замечает, что подходы, удобные для госбезопасности, не всегда годятся для бизнеса и граждан. И надеется, что новый замминистра будет готов "услышать отрасль".

Надежда, разумеется, дело хорошее. Но назовём вещи своими именами: кресло замминистра по ИБ давно работает выносным постом ФСБ в гражданском ведомстве. Меняются только погоны. Да и то не сильно.

К слову, о кадрах. С весны министерство покинула замдиректора департамента кибербезопасности, под вопросом оказался врио директора профильного департамента, в мае уволили замминистра Кучушева. Его сменщик Гайфутдинов, по данным РБК, на 21 октября так и не вышел на работу.

А теперь минутка официоза.

Я нихрена не понял, что хотел сказать автор фразой:

Таким образом, ограничение доступа не является исключительной временной мерой, действующей до выпуска финального патча.

Но на всякий случай публикую скриншот письма этого "участника Сколково".
Теперь вы должны быть в курсе, что кто-то там не виноват вообще, а оно само. Наверное. Ну, потому что фразу "обобщение потенциальной угрозы на другие продукты" я тоже полчаса пытался понять, но не смог.

Наверное, забывать русский язык начал :(

Еще мне писал CEO ISPmanager, который утверждает, что не имеет отношения к ISPsystems и вообще они в Дубае, а ISPmanager просто их партнеры. Я тут затруднился как-то реагировать (первый позыв был послать нахер), но потом понял, что уже через три минуты забыл кто там в Дубае, а кто Сколково.

Очевидно, что есть какие-то проблемы с неймингом, которые "при разводе", надо было все же как-то утрясти. Ну, или подумать хотя бы пять минут.

Исправлять ничего не стал — дам ссылку на пост Неугомонного Фила, там в камментах читайте кто на ком стоял: https://xn--r1a.website/usher2/4208

Извините, я опять обосрался. СЕО, он в Иркутске. Это в корне меняет дело.

А давайте послушаем учоных со стороны НАТО, буквально:

RAND: подводная поножовщина

20 октября RAND выпустил доклад Winning the Undersea Knife Fight о сдерживании атак на подводную инфраструктуру. Авторы называют это противостояние поножовщиной: ближняя дистанция, плохая видимость, физическое перерезание кабелей и труб. Главная мысль: под водой привычные модели сдерживания не работают, нужна отдельная рамка.

Цифры
Под угрозой около 10 трлн долларов. 97% мировых коммуникаций идет через примерно 300 плохо защищенных кабелей. Ежегодно рвется 100–200 кабелей, ремонтных судов в мире меньше 25. Половина газа Европы идет из Норвегии, в основном по одной трубе. В высоком разрешении картировано около 26% дна.

Почему под водой иначе
Порог входа ниже, чем у кибератаки: достаточно протащить якорь. На другом конце шкалы подлодки, и чем дороже инструмент, тем выше скрытность.
Эффект отложен: перерезанный кабель видно сразу, поврежденный может отказать через месяцы.
Реакция медленная: спутник дает картину за час, судну нужно до 10 дней, чтобы дойти до места, подлодке или дрону месяцы.
Атрибуции почти нет: большинство балтийских инцидентов 2022–2025 годов, где подозревают Россию и Китай, формально не атрибутированы, как и подрыв Nord Stream.
Право мутное: по UNCLOS судно в международных водах подсудно государству флага, задержать диверсанта почти невозможно. Перерезание кабеля считается актом войны, только если ущерб катастрофический.

Рамка
Три переменные: уровень атрибуции (шесть ступеней, от нулевой до признания исполнителя), выбор между раскрытием и сокрытием (публичность давит на противника, но выдает свои средства обнаружения) и шкала действий от бездействия до вертикальной эскалации.
Матрица показывает минимальный уровень атрибуции для каждого шага. При слабых подозрениях допустимы только скрытая оборона и планирование. Публично бить по чужой инфраструктуре без надежной атрибуции нельзя. Самый гибкий инструмент — активная оборона: видимое патрулирование кабеля сигнализирует о его ценности. Быстрый ремонт тоже сдерживает: атака теряет смысл, если ущерб сразу устранят.

Выводы
Преимущества пока нет ни у кого. Выиграет тот, кто быстро понимает, что произошло, дозированно показывает возможности и отвечает без лишней эскалации. Вкладываться в атрибуцию и ответ надо одновременно, иначе будет сила без понимания, по кому бить. Дальше авторы предлагают проверить рамку на реальных кейсах, разобрать правовой хаос и делить ремонтные мощности с союзниками.

Оценка
Работа концептуальная, новых данных нет, Балтика упомянута одной строкой. Ценность в классификации атрибуции и матрице решений. И деталь: авторы прямо пишут, что непрозрачность глубины дает ВМС США возможности не только для защиты, но и для наступательных действий в мирное время.

https://www.rand.org/pubs/research_reports/RRA4027-1.html

Доклад целиком с картинками