3 мая 2026 года (воскресенье), с 8:00 до 10:00 утра по Томскому времени,

будут проводиться работы по техническому обслуживанию и модернизации сетевой инфраструктуры, а также замена маршрутизатора.

Во время проведения технических работ (ориентировочно 1-2 часа) возможна кратковременная недоступность сервисов — до 10–20 минут.

Приносим извинения за доставленные неудобства.

Что произошло
В серверной операционной системе SELECTOS 1.3 устранена уязвимость ядра Linux CVE-2026-31431, которую команда разработки сочла критической: локальный пользователь может повысить привилегии до уровня root. Проблема затрагивает подсистему криптографического API (AF_ALG) и связана с ошибкой в управлении памятью.

Уязвимость возникла еще в 2017 году в результате изменений, направленных на оптимизацию работы кода — тогда была убрана избыточная синхронизация, что впоследствии привело к race condition и потенциальному use-after-free.

Обновление безопасности уже выпущено, и уязвимость в SELECTOS 1.3 устранена. Для применения изменений нужно обновить ядро.

Как применить изменения
Вариант 1. Обновление только версии ядра:

apt update 
apt install --only-upgrade linux-image-amd64
reboot

Вариант 2. Обновление до версии SELECTOS 1.3 c последней версией ядра:

apt update
apt upgrade
reboot

https://selectel.ru

7 мая 2026 года (четверг), с 3:00 до 4:00 утра по центральноевропейскому летнему времени, будут проводиться работы по техническому обслуживанию сетевой инфраструктуры.
В течение этого времени возможны перебои в работе интернета — потеря доступа к сети на несколько секунд в течение часа. Это относится ко всем сервисам.
Приносим извинения за доставленные неудобства.
Команда MEVSPACE

On May 7, 2026 (Thursday), between 3:00 and 4:00 a.m. CEST, maintenance work will be carried out on the network infrastructure.
During this time, there will be an internet flickers — a few-second loss of internet access occurring within that hour. Applies to all services.
We apologize for the inconvenience.
MEVSPACE Team

W dniu 7 maja 2026 roku (czwartek) w godzinach 3:00-4:00 zostaną przeprowadzone prace serwisowe infrastruktury sieci Internet.
W tym czasie wystąpią kilkunastosekundowe przerwy w dostępie do Internetu w ramach wszystkich usług.
Przepraszamy za utrudnienia.
Zespół MEVSPACE

https://timeweb.cloud

29 апреля 2026 Прокачать AI-агента в один ход
Да, речь про MCP-серверы — встречаем новичков в галерее готовых установок, чтобы не терять ни минуты на автоматизацию под свои проекты.
1. Context7
Помогает агенту работать с актуальной документацией по популярным npm- и PyPI-библиотекам.
Примеры задач:

• «Найди API и верни список аргументов»
• «Покажи актуальный пример кода из документации»
• «Расскажи, как подключить пакет в проекте»

2. Timeweb Cloud MCP
Дает доступ к данным аккаунта в панели, например к балансу или к информации по тарифам.
Примеры задач:

• «Покажи статус по всем активным сервисам»
• «Посмотри статус оплаты»
• «Узнай, есть ли профилактические работы»

Что еще можно подключить к агенту в галерее:

• Яндекс Поиск — поиск актуальной информации в интернете
• amoCRM — работа со сделками и контактами в CRM
• Контур.Фокус — проверка реквизитов, статуса и репутации компаний

28 апреля 2026 Вебхуки для ваших проектов
Задача: настроить уведомления по событиям в сервисах
Решение: автоматизировать по максимуму
С этим помогут вебхуки, которые автоматически отправляют уведомления во внешние сервисы. Настроив вебхуки один раз, вы избавляетесь от постоянных запросов к API.
Представим на практике: у вас заканчивается SSL-сертификат или пришло время пополнить баланс. Система отправляет вебхук — и вы сразу получаете уведомление на внешнем сервисе.
Что можно настроить:
1. Интеграция с корпоративными чатами, service desk, SIEM-платформами, внутренними панелями и др.
2. Выбор событий: безопасность, биллинг, базы, S3, домены, SSL, AI-агенты, лицензии
3. Возможность добавить секретный ключ, чтобы убедиться, что вебхук пришел именно от вашего сервиса
Подробнее → в доке.
timeweb.cloud/docs/account-management/webhook-notification/configure-webhooks

27 апреля 2026 Новая версия Ubuntu уже в маркетплейсе
Часто видели в обсуждениях тех, кто предпочитает Ubuntu. Что ж, для вас есть хорошая новость. Облачный сервер можно создать сразу на актуальной версии ОС — Ubuntu 26.
Чем может приглянуться новинка:
1. х2 к безопасности. Появился отдельный Security Center
2. Выше производительность. Оптимизации под современные системы и драйверы
3. Новый стек под современное железо. Ubuntu 26 идет с Linux Kernel 7.0 и улучшенной поддержкой CPU и GPU

23 апреля 2026 Уведомления в MAX
Теперь вы можете привязать свой аккаунт MAX и получать уведомления о своих сервисах.
Все работает так же, как и для других каналов: доступна гибкая настройка оповещений по группам. Можно использовать MAX и для подтверждения 2FA.

21 апреля 2026 Галерея MCP-серверов в AI-агентах
«А мне вообще нужен MCP-сервер в AI-агентах?». Проверить можно за пару минут. В AI-агентах появилась галерея готовых MCP-серверов: выбираете нужный, вставляете токен/API-ключ и сразу за работу.
Сейчас доступны: Яндекс Поиск, amoCRM и Контур.Фокус. Скоро добавим Битрикс24, Google Drive и — барабанная дробь — наш собственный MCP-сервер.
Чего-то не хватает? Отправьте заявку со своими предложениями через форму в галерее MCP.
Галерея нужна, чтобы вы быстро подключили агента к привычным сервисам. Он сам будет искать информацию, подтягивать данные из CRM и работать с базами. Централизованное управление доступами, безопасность, разрешения и связь между агентами — бизнес оценит.
Подробнее о подключении → в доке.
timeweb.cloud/docs/ai-agents/mcp-server

20 апреля 2026 Лидер среди запросов на ОС
Речь про NixOS — он стал первым и в опросах о следующих сборках, и в идеях (раз, два, три). И теперь занимает почетное место среди других ОС в нашем маркетплейсе.
А еще его называют одним из лучших дистрибутивов Linux. Он работает по декларативному принципу: вы описываете, каким должен быть сервер, а система сама приводит его к этому состоянию.
1. Один и тот же конфиг — одинаковый результат в dev, staging и production
2. Быстрый откат за секунды, без переустановки
3. Пакеты изолированы и не конфликтуют друг с другом

17 апреля 2026 Фичапад в Kubernetes
Еще недавно про автоскейлер, но на нем обновления в Кубере не закончились. Принесли еще два релиза:
1. Для тестирования новинок — ранний доступ к функциям
Появилась поддержка переключателей для новых фич внутри кластера, чтобы вы точечно тестировали изменения.
Где найти: Управление → Ранний доступ к функциям → Настроить.
Например, с функцией MemoryQoS можно управлять памятью кластера, а PodLevelResources дает возможность контролировать ресурсы на уровне всего пода. Больше функций с описанием можно найти в настройках кластера →
Пара нюансов:
— Список доступных фич зависит от версии Kubernetes.
— Стабильная работа гарантируется только с настройками по умолчанию.
2. Для качественной аналитики — Prometheus-экспортеры
Теперь для кластеров доступен сбор метрик в формате Prometheus (CPU, память, состояние подов и нод). Их можно получить:
Внутри приватной сети — для мониторинга внутри вашего кластера.
Через публичный доступ (с авторизацией и SSL) — чтобы безопасно подключать внешние системы.

16 апреля 2026 Продолжаем прокачивать ваши кластеры
Автоскейлер в Kubernetes, конечно, удобная вещь — помогает следить за нагрузкой и управлять масштабированием нод. Поэтому мы сделали его еще лучше.
Добавили кастомные параметры кластеров Kubernetes 1.34 и выше, чтобы вы могли балансировать между стоимостью и скоростью. Подробнее о новых возможностях автоскейлинга → в доке.
Юзкейсы:
1. У вас пиковая нагрузка днем, а ночью она падает
Решение: уменьшить значение ScaleDownUnneededDuration, и неиспользуемые ноды удаляются быстрее, чтобы вы экономили на масштабировании.
2. Нода перестала отвечать и висит в unready
Решение: уменьшить ScaleDownUnreadyDuration, и скейлер быстрее ее заменит, что снизит даунтайм.
3. Необходимо моментальное масштабирование
Решение: включить ZeroOrMaxNodeScaling, чтобы не тратить ресурсы без нагрузки и быстро масштабироваться, когда появляется задача.
Также добавили:

• IgnoreDaemonSetsUtilization — позволяет не учитывать служебные DaemonSet при расчете загрузки.
• MaxNodeProvisionDuration — максимальное время ожидания создания ноды
• ScaleDownUtilizationThreshold — порог загрузки, ниже которого нода удаляется.

Где найти: Ресурсы кластера → Редактировать нужную группу нод → Автомасштабирование → Расширенные настройки.

9 апреля 2026 Ключ от всех моделей
Добавили AI Gateway, чтобы вы могли работать с разными AI-моделями через один API-ключ. Работает и через библиотеки, и через обычные HTTP-запросы.
«Ну а почему я не могу просто пользоваться AI-агентами в панели?»
Отвечаем: некоторым пользователям не нужны все фичи AI-агентов — им нужна прямая интеграция через API. Вместо нескольких API, ключей и разных форматов запросов → один ключ и одна точка входа.
Накидали несколько кейсов для применения:
— Разрабатываете кастомных агентов со специфичным или сложным функционалом, которого нет в наших AI-агентах
— Нужна интеграция только на уровне кода
— Хотите подключить модели в уже готовые инструменты (Cursor, OpenClaw и т.д.)
— Нужно быстро менять модели внутри проекта (например, вы используете GPT, Claude и Gemini вместе)
— Требуется скомбинировать текст, изображения и эмбеддинги в одном сервисе
Все подробности о подключении оставили в доке. (https://timeweb.cloud/docs/ai-agents/api-usage/ai-gateway)

8 апреля 2026 Запустить нужные сервисы без установки
Добавили в маркетплейс новый набор инструментов для облачных серверов:
1. Bitwarden — менеджер паролей
С этим сервсом все пароли будут храниться в одном месте. Подходит для тех, кто хочет усилить безопасность данных и не искать пароли по заметкам и чатам.
2. Ghost — платформа для медиа
С удобным редактором, где можно писать текст, добавлять картинки, оформить пост — и сразу публиковать. Хорошее решение для корпоративных медиа и статей.
3. Jitsi Meet — сервис видеозвонков
Когда нужно созвониться по видео без подписок и лимитов. Удобно для команд, обучения и внутренних созвонов.
4. Matrix — корпоративный мессенджер
Для команд, которым нужен свой мессенджер с упором на приватность и контроль. Подходит для конфиденциальных данных.

7 апреля 2026 Подсмотрено в ваших идеях
Каждый раз находим там много полезного. Нам предлагают не только масштабные фичи, но и точечные улучшения, которые делают работу с панелью намного приятнее.
Вот что выкатили за неделю:
1. Любителям идеального порядка в панели — сортировка проектов
Если раньше сортировка была в формате: чем старше проект — тем выше в списке, то сейчас вы сами настраиваете их расположение.
С несколькими проектами разница, конечно, не особо видна, но когда их много, это сильно упрощает восприятие.
Менять порядок можно с помощью перетаскивания в левом меню или на странице проектов — все синхронизируется.
2. Визуалам и тем, кто ценит свое время — создание серверов прямо на схеме
Теперь можно создавать серверы на бегу и без лишних переходов.
Как это работает: добавляете сервер на схеме → заполняете форму → донастраиваете параметры в шаблоне → нажимаете «Заказать» — ваш сервер готов к работе.
Можно сразу собрать готовую архитектуру и добавить серверы туда, куда нужно. И все это в одном месте — без кучи вкладок.

7 апреля 2026 Обновление во внешнем чате AI-агентов
А тем временем там появилась крутая фича — возможность шерить доступ к чату, а не просто работать в соло.
Как это работает:
Переходите на страницу AI-агентов и открываете настройки → добавляете почту доп пользователя → он получит письмо со ссылкой для входа и сохранит пароль
Вуаля, можно работать с агентами в timeweb.ai
Теперь чат — это полноценный командный инструмент, где вы:
1. Подключаете разработчика, маркетолога или саппорт — и все работают с одним источником
2. Шерите доступ коллегам из поддержки, чтобы они быстрее отвечали клиентам
3. Упрощаете онбординг нового сотрудника или подрядчика через агентов
timeweb.cloud/my/cloud-ai/agents

3 апреля 2026 Где тестировать новые фичи для своих приложений?
Ответ: с помощью стендов — отдельных окружений внутри одного приложения. Удобно, когда нужно протестировать релиз не на проде или сравнить несколько версий параллельно.
Подробнее о том, как создать стенд → на скринкасте.
Пример: вы меняете экран оплаты в онлайн-магазине → поднимаете стенд → кидаете ссылку для остальной команды → собираете правки и только потом выкатываете в прод.
Несколько нюансов:
1. Одно приложение — до 10 стендов
2. Переменные подтягиваются в стенд с основного приложения
3. Доступно для всех приложений, кроме Docker Compose
timeweb.cloud/my/apps

3 апреля 2026 Последние релизы в AI-агентах
1. MCP-сервер стал ближе к агентам
Теперь можно обновлять подключение к MCP-серверу, если на его стороне появились новые методы.
Пример: вы добавили новый метод для работы с API или базой → его можно подтянуть к агенту без пересоздания.
Кстати, теперь выбрать существующий MCP-сервер или завести новый можно сразу при создании агента.
2. Гибкая настройка уведомлений
Информацию о статусе агентов (например, о лимите токенов) вы можете получать не только в Телеграме, но и по почте. Также появилась возможность отключать уведомления.
3. TimewebGPT теперь в контексте
Ассистент в панели быстро ответит на базовые вопросы без обращения в поддержку:
— Подсказки по балансу и статусу отложенных платежей
— Список подключенных и доступных для заказа продуктов

1 апреля 2026 Продолжаем пополнять коллекцию сборок
Узнали хотелки наших пользователей и постепенно выкатываем их в облачный маркетплейс. На этот раз добавили Alpine Linux последней версии.
Ее главное преимущество — легкость и экономия. Alpine занимает около 180 МБ на диске и потребляет в 2–3 раза меньше памяти, чем, например, Ubuntu или Debian.
За счет этого у вас появляется больше ресурсов под нагрузку в проекте.
Идеально подойдет:
Разработчикам и DevOps-инженерам для тестовых стендов и быстрых рантаймов
Системным админам, если нужна минималка по тарифу

Сегодня был проведён осмотр совместно с сотрудниками. С нашей стороны оказано полное содействие: предоставлена вся необходимая информация и выполнены все возможные технические мероприятия.

Осмотр данных проводился в нашем присутствии и исключительно в отношении абонента, зафиксированного в рамках уголовного дела. Иные данные затронуты не были.

Завтра работа в этом направлении также будет продолжена в течение всего дня. После завершения всех мероприятий ожидаем принятия решения о выдаче.

Все данные абонентов сохранены, виртуальные машины функционируют корректно, серверы находятся в удовлетворительном состоянии.

Отдельно отметим, что подобные ситуации, как правило, затягиваются на месяцы. Тем не менее, мы прилагаем максимум усилий, чтобы пройти все процедуры максимально быстро и восстановить работу в кратчайшие возможные сроки.

Планируем полностью восстановить работу до 9 мая. Точные сроки пока назвать затруднительно, однако делаем всё возможное, чтобы завершить восстановление как можно быстрее.

Благодарим за поддержку и понимание — это действительно важно для нас.

hosting-russia.ru

Раскрыта критическая уязвимость ядра Linux CVE-2026-31431 («Copy Fail», CVSS 7.8). Затронуты практически все дистрибутивы с ядрами 2017+ — Ubuntu, Debian, RHEL, Alma, Rocky, SUSE, Amazon Linux. Локальный непривилегированный пользователь получает root через 10-строчный Python-скрипт, редактирующий PageCache любого файла, включая setuid-бинарники. Без race-условий, без подбора смещений.

Что делать прямо сейчас:
Ubuntu / Debian:

apt update && apt upgrade

RHEL / Alma / Rocky / Amazon Linux:

dnf update kernel

SUSE:

zypper update kernel-default

После обновления — перезагрузка обязательна, иначе старое ядро остаётся в памяти.

Если перезагрузка прямо сейчас невозможна и вы не используете IPsec ESP с Extended Sequence Numbers — временно отключите модуль:

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf && rmmod algif_aead

Подробности и PoC: xint.io/blog/copy-fail-linux-distributions

Нужна помощь — поддержка is*hosting на связи 24/7

Это информационное уведомление относительно уязвимости CVE-2026-31431, известной как «Copy Fail». Она представляет собой одну из наиболее распространенных уязвимостей ядра Linux за последние годы, потенциально влияющую на глобальную экосистему Linux. Об этой уязвимости было сообщено 29 апреля 2026 года.

Наша команда безопасности подтвердила это в день публикации и немедленно начала необходимые расследования.

Эта уязвимость, расположенная в криптографической подсистеме ядра (через интерфейс AF_ALG), позволяет осуществить локальное повышение привилегий (LPE). На стандартном сервере она позволяет стандартному пользователю стать root (администратором). В контейнеризированной среде (например, Docker или Kubernetes) она позволяет контейнеру получить контроль над хост-узлом.

Поскольку безопасность вашей инфраструктуры является нашим приоритетом, ниже приведена подробная информация о влиянии этой уязвимости на ваши сервисы Scaleway и рекомендации по ее устранению.

Действия, предпринятые Scaleway
После обнаружения этой уязвимости наши команды приняли необходимые меры для обеспечения безопасности среды и предоставления чистых образов:

В Kubernetes Kapsule: Развернуты новые образы ОС, отключающие модуль algif_aead: Любой новый узел, созданный после 30 апреля 2026 г., 14:20 CEST, будет автоматически использовать версию с исправлением. (Вы можете проверить дату выпуска используемой версии в поле OS-IMAGE, возвращаемом командой kubectl get node -o wide).

Оценка риска: Многопользовательская среда против изолированной среды
Срочность применения исправлений сильно зависит от ваших моделей использования и архитектуры ваших сервисов:

Многопользовательская / Общая среда (высокая степень серьезности): Если ваши машины или кластеры Kapsule размещают приложения от разных клиентов, предоставляют доступ к командной оболочке нескольким пользователям или выполняют непроверенный сторонний код, эта уязвимость является критической. Злоумышленник с ограниченным доступом (стандартный пользователь или доступ к поду) может использовать эту уязвимость для получения полного контроля над сервером (доступ root) и компрометации данных других арендаторов в системе.

Однопользовательская/изолированная среда (умеренная степень опасности): Если ваши серверы или кластеры предназначены исключительно для вашего собственного использования и запускают только доверенные приложения, код которых вы контролируете (без возможности локального доступа или произвольного выполнения третьими лицами), риск значительно ниже. Для использования уязвимости действительно требуется предварительное локальное выполнение кода.

Необходимые действия и временные меры
Постоянное решение — обновить ядро ​​вашей системы, как только станет доступна версия, включающая патч. Мы рекомендуем регулярно проверять наличие патча для вашей конкретной ОС.

Меры по смягчению последствий (временное решение):
Если немедленная перезагрузка или обновление невозможны, вы можете применить временные меры по смягчению последствий непосредственно на затронутых узлах и серверах, чтобы заблокировать уязвимый интерфейс. Выполните следующие команды с правами администратора (root или sudo):

# Create a rule to prevent their automatic reloading

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf



# Unload the vulnerable module from memory

rmmod algif_aead 2>/dev/null || true

For servers based on RedHat / CentOS / AlmaLinux / RockyLinux:

# Create a rule to prevent the module from loading automatically on boot

grubby --update-kernel=ALL --args=initcall_blacklist=algif_aead_init



# Completely reboot the system to apply the modification

For Kubernetes Kapsule, this operation must be performed on the worker nodes, for example via SSH access or by deploying a privileged DaemonSet:

apiVersion: apps/v1

kind: DaemonSet

metadata:

  name: disable-algif-aead

  namespace: kube-system

  labels:

    app: disable-algif-aead

spec:

  selector:

    matchLabels:

      app: disable-algif-aead

  template:

    metadata:

      labels:

        app: disable-algif-aead

    spec:

      hostPID: true

      tolerations:

        - operator: Exists

          effect: NoSchedule

        - operator: Exists

          effect: NoExecute

      initContainers:

        - name: disable-algif-aead

          image: alpine:3.23

          securityContext:

            privileged: true

          command:

            - /bin/sh

            - -c

            - |

              echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf

              rmmod algif_aead 2>/dev/null || true

          volumeMounts:

            - name: modprobe-d

              mountPath: /etc/modprobe.d

      containers:

        - name: pause

          image: registry.k8s.io/pause:3.10

          resources:

            limits:

              cpu: 1m

              memory: 8Mi

      volumes:

        - name: modprobe-d

          hostPath:

            path: /etc/modprobe.d

Откат: Команды повторной активации
Отключение af_alg не влияет на подавляющее большинство стандартных приложений. Однако, если некоторым вашим сервисам требуется криптографическое ускорение, предоставляемое этой подсистемой (и вы наблюдаете сбои), вы можете отменить это решение в любое время с помощью следующих команд:
# Удаление блокирующего файла

sudo rm /etc/modprobe.d/disable-algif.conf

# Ручная перезагрузка модуля в ядро

sudo modprobe algif_aead

Мы остаемся в полном распоряжении для предоставления любой дополнительной информации или технической помощи через консоль.

Команда Scaleway.

Рубе – 17 апреля 2026 г. – На форуме Quantum Defense Forum компания OVHcloud, мировой игрок и европейский лидер в области облачных вычислений, и компания Quandela, специализирующаяся на фотонных квантовых вычислениях, объявили о появлении компьютера Belenos на квантовой платформе OVHcloud.

Представленная прошлой осенью платформа OVHcloud Quantum Platform демократизирует использование квантовых вычислений и доступ к передовым технологиям благодаря модели потребления «квантовые вычисления как услуга» (QaaS). С добавлением Belenos, OVHcloud продолжает реализацию своей амбициозной дорожной карты по созданию квантовых компьютеров, доступных из облака.

В Belenos de Quandel используется технология квантовой фотоники, обеспечивающая вычислительную мощность в 12 кубитов. Это позволяет экспериментировать с новыми алгоритмами в различных и инновационных областях, таких как классификация и генерация изображений, ускорение искусственного интеллекта и квантовое машинное обучение (QML). Новые области применения в электромагнитном моделировании, структурной механике, горении в двигателях, моделировании материалов, метеорологии и наблюдении за Землей также выигрывают от достижений в области квантовых вычислений.

С 2022 года Группа поддерживает европейскую квантовую экосистему, предоставляя самый широкий спектр квантовых эмуляторов на основе своей инфраструктуры, которой пользуются более тысячи человек. Сейчас, предлагая пятнадцать доступных квантовых эмуляторов (включая Perceval и MerLin) по цене от 0,03 евро в час, Группа помогает пользователям познакомиться с различными моделями квантовых вычислений.

Мы рады выполнить обещание, заложенное в квантовой платформе, добавив второй эталонный квантовый компьютер, Belenos, от французской компании Quandela. Квантовая революция набирает обороты, и OVHcloud намерена занять свое законное место в качестве европейского лидера в области облачных технологий в рамках экосистемы

говорит Мирослав Клаба, директор по исследованиям и разработкам OVHcloud.

Квантовая платформа OVHcloud предоставляет доступ к реальным квантовым компьютерам, стремясь ускорить внедрение квантовых вычислений в частном секторе. Квантовый процессор Belenos предлагается как услуга с оплатой по фактическому использованию, с точностью до секунды, без каких-либо обязательств.

Интеграция 12 кубитов Belenos в предложение OVHcloud знаменует собой решающий шаг для квантовых вычислений в Европе. Доступный через облако, этот фотонный компьютер становится конкретным инструментом для бизнеса. С помощью OVHcloud мы предлагаем специалистам по обработке данных и новаторам средства для разработки своих алгоритмов на гибкой и суверенной инфраструктуре

говорит Никколо Сомаски, генеральный директор и соучредитель Quandela.

«Поехали!» — сказал Гагарин и полетел. Вдохновившись его подвигом, мы тоже решили поднапрячься и в апреле выложились на полную: доделали задачи, закрыли спринты, выкатили в релиз пару фич.



Теперь со спокойной душой можно на майских проводить нагрузочное тестирование мангала, мигрировать в горизонтальное положение или просто уйти в офлайн и не отсвечивать.

Специально для таких ситуаций мы подготовили наш апрельский дайджест. Собрали самое интересное для релакса на праздниках: гайды, чтобы с кайфом поковыряться в настройках, а ещё — статьи о физике и психологии для разговоров с друзьями за шашлычком.

А спринты, дедлайны, собрания — уже после майских.

Как установить Minecraft-сервер
Майские — отличный повод собраться с друзьями и поиграть в любимую игру. Подготовили инструкцию: как создать свой Minecraft-сервер, учесть подключение множества игроков и собрать огромный общий мир.
firstvds.ru/technology/kak-sozdat-i-nastroit-minecraft-server-na-ubuntu

Как сделать сайт-портфолио бесплатно без знания кода и конструкторов с помощью ИИ
Пошагово объясняем, как создать кастомный сайт с помощью ИИ на примере одностраничного портфолио. Технический бэкграунд необязателен — достаточно чётко формулировать задачи для нейросети и следовать её подсказкам в чате.
firstvds.ru/blog/kak-sdelat-sayt-besplatno-bez-znaniya-koda-i-konstruktorov-s-pomoschyu-ii

Что такое фишинг и как он изменился в 2026 году
Провели небольшое исследование о том, как развитие технологий и нейросетей помогает мошенникам придумывать новые схемы и почему привычные способы защиты перестали быть надёжными. В статье — примеры атак и несколько советов, как защититься от фишинга в новых условиях.
firstvds.ru/blog/chto-takoe-fishing-i-kak-izmenilsya-v-2026-godu

Habr: самое интересное за апрель
Отобрали статьи с Хабра, которые зацепили читателей. Сами залипли, пока читали. В подборке рассказываем, как запустить свою нейросеть на домашнем компьютере, зачем HR-специалисту разбираться в Warhammer и как это помогает понимать коллег, почему в физике элементарных частиц наступил кризис и как в 1844 году появился аналог онлайн-шахмат.

• Свой ИИ без облаков: практический гайд по llama.cpp + Qwen
• HR, Примархи, Империум человечества: как 40-тысячный психоанализ помогает мне понимать команду
• Кризис в физике элементарных частиц: есть ли свет в конце туннеля?
• Онлайн-шахматы до интернета: партия по телеграфу в 1844 году

Ищем авторов для блога на Хабр
Подготовьте статью на одну из специальных тем или отправьте материал на тему месяца. И если ваша статья подойдёт для блога, вы получите повышенный гонорар.
Тема мая: электроника для начинающих.
firstvds.ru/avtoram

Новости апреля
Джон и кот в космосе: конкурс ИИ-видео

На днях запустили конкурс на лучший нейросетевой ролик про космические приключения кота и Джона. Победителям подарим крутой сет — шоппер, кепка, сумка-трансформер, блокнот с ручкой и патчи.
Чтобы поучаствовать в конкурсе, нужно подписаться на наш тг-канал, сгенерировать короткое видео с помощью ИИ и выложить в комментариях под постом до 3 мая включительно.
4 мая выберем пятерых лучших авторов по количеству реакций (лайков) под видео. Полёт фантазии не ограничиваем, но просим не вылетать за орбиту приличия :)
Дерзайте и выигрывайте классные призы!
t.me/TakeFirstNews
t.me/TakeFirstNews/1318

Новые фичи в S3-хранилище: мультипарт-загрузка и подключение домена с SSL
Продолжаем вести работы по улучшению S3 хранилища.

Добавили мультипарт-загрузку, при которой файл делится на части и качается параллельно в несколько потоков. Такой подход позволяет увеличить скорость передачи больших файлов. Другие плюсы:

• При сбое вы сможете продолжить загрузку с того же места, где она прервалась.
• Загружать можно что угодно — от бэкапа базы данных до архива проекта с десятками тысяч мелких файлов. Технология адаптируется под ваш файл, а не наоборот.
• Система распределяет нагрузку. Это позволяет загружать большие файлы, не «подвешивая» всю сеть и не мешая другой работе.
• При сбое вы сможете продолжить загрузку с того же места, где она прервалась.
• Загружать можно что угодно — от бэкапа базы данных до архива проекта с десятками тысяч мелких файлов. Технология адаптируется под ваш файл, а не наоборот.
• Система распределяет нагрузку. Это позволяет загружать большие файлы, не «подвешивая» всю сеть и не мешая другой работе.

Добавили возможность подключать домен и SSL-сертификат к S3-хранилищу. В чём плюсы этого решения:

• Вместо ссылок провайдера пользователи видят ваш официальный адрес. С технической стороны это позволяет исключить возникновение предупреждений безопасности в браузерах.
• При размещении статического сайта в бакете свой домен и SSL-сертификат делают хранилище полноценным веб-ресурсом, который работает как самостоятельный проект.
• Вместо ссылок провайдера пользователи видят ваш официальный адрес. С технической стороны это позволяет исключить возникновение предупреждений безопасности в браузерах.
• При размещении статического сайта в бакете свой домен и SSL-сертификат делают хранилище полноценным веб-ресурсом, который работает как самостоятельный проект.

День рождения CLO: последний день кешбэка

Проекту CLO исполнилось 6 лет! В честь этого события дарим своим клиентам кешбэк 25%. Чтобы его получить:
1. Пополните баланс в Личном кабинете до 23:59 30 апреля.
2. Введите промокод BDAYCLO на странице «Баланс и расходы» → нажмите «Активировать». Кешбэк начислится автоматически.
Сегодня последний день акции.

Топ новостей из мира безопасности


Обнаружено 113 уязвимостей в Rust Coreutils
В Rust Coreutils (uutils), которые используются в Ubuntu, независимый аудит выявил 113 уязвимостей, включая критические. В связи с этим в Ubuntu 26.04 от GNU Coreutils вернули утилиты cp, mv и rm.
Наиболее опасные уязвимости позволяют злоумышленнику выполнить код с правами root или разрушить систему:

• chroot: если пользователь может писать в новый корень, он подставляет свои NSS-библиотеки (из-за того, что chroot() срабатывает раньше сброса привилегий и загрузки модулей NSS).
• mkfifo: при попытке создать именованный канал в существующем файле утилита не завершается, а меняет права этого файла на 644 (rw-r--r--), открывая доступ к файлам, для которых не было разрешено чтение.
• chmod: обход защиты --preserve-root через путь /../ или символическую ссылку на корень — можно рекурсивно изменить права доступа во всей ФС.
• rm: обработка любых сокращений опции --no-preserve-root (например, rm -rf --n /), а также подстановка символической ссылки на / или пути ./, /// для удаления текущего каталога.
• kill: указание идентификатора процесса -1 отправляет сигнал сразу всем процессам в системе.
• Также выявлено много уязвимостей класса TOCTOU (состояния гонки), когда между проверкой и операцией подменяют файл на символическую ссылку — это позволяет, например, перезаписать произвольные файлы из скриптов, запущенных от root.

В Ubuntu 26.04 для cp, mv и rm уже возвращены версии из GNU Coreutils. Большинство найденных уязвимостей устранено в выпусках uutils 0.5–0.8, поэтому рекомендуем как можно скорее обновиться.
www.opennet.ru/opennews/art.shtml?num=65278

Ошибка в API IndexedDB позволяет сайтам отслеживать действия пользователей Firefox и Tor Browser
В браузерах на движке Gecko (Firefox, Tor Browser и др.) нашли уязвимость (CVE-2026-6770). Она позволяет сайтам создавать уникальный отпечаток браузера и отслеживать активность пользователя на сайтах.
Атака работает так. Сайты создают через IndexedDB один и тот же набор баз данных. Затем вызывают метод indexedDB.databases(), который возвращает список этих баз. Их порядок не зависит от имён или времени создания, а определяется внутренним устройством конкретного экземпляра браузера. Для каждого запущенного браузера этот порядок свой, но он одинаков для всех сайтов, которые пользователь открывает в рамках одной сессии. Порядок сохраняется до перезапуска браузера, и на него не влияют очистка локальных хранилищ или смена Tor-цепи («New Identity»). Атака работает даже в режиме приватного просмотра.
Уязвимость уже исправлена. Чтобы защититься, обновите браузер до версии:

• Firefox 150 или 140.10.0 (в зависимости от ветки)
• Tor Browser 15.0.10

www.opennet.ru/opennews/art.shtml?num=65272

Критические уязвимости в Chrome
В Chrome нашли 5 критических уязвимостей, которые позволяют обойти песочницу и выполнить вредоносный код в системе. Кроме того, браузер оказался уязвим для множества методов скрытой идентификации пользователей.
Критические уязвимости связаны с выходом за границы буфера в компонентах ANGLE и Skia, а также с обращением к уже освобождённой памяти (use-after-free) в механизме предварительной отрисовки Prerender, в XR-компонентах для виртуальной реальности и в реализации Proxy-объектов.
Методы скрытой идентификации собирают косвенные признаки: разрешение экрана, установленные шрифты, MIME-типы, заголовки HTTP/2 и HTTP/3, особенности отрисовки через WebGL, Canvas и WebGPU, утечку локального IP через WebRTC, список поддерживаемых расширений TLS, отображение Emoji, показания датчиков, подключённые Bluetooth/USB/HID-устройства, производительность системы, CSS-правила, историю посещений и даже установленные расширения браузера. Также используются «суперкуки» — например, кэш иконок Favicon или база автозаполнения форм. В Chrome почти нет встроенной защиты от таких методов.
Чтобы защититься от вероятных атак, обновите Chrome до версии 147.0.7727.101. Для блокировки скрытой идентификации можно установить браузерные дополнения, которые используют скрипты обработки контента, отладочный API (chrome.debugger) и перехват сетевых запросов (chrome.webRequest).
www.opennet.ru/opennews/art.shtml?num=65219

Уязвимость во Flatpak, позволяющая выполнить код вне изолированного окружения
Опубликованы корректирующие выпуски Flatpak 1.16.4 и 1.17.4, в которых устранена критическая уязвимость (CVE-2026-34078, 9.3 из 10), позволяющая вредоносному приложению обойти sandbox-изоляцию, получить доступ к файлам основной системы и выполнить произвольный код вне изолированного окружения.
Сервис flatpak-portal позволяет приложению указывать в опции sandbox-expose пути, которые могут быть символическими ссылками на произвольные части ФС. Сервис раскрывает ссылку и монтирует целевой путь в sandbox-окружение, давая доступ на чтение и запись к файлам хост-системы. Для выполнения кода можно, например, добавить автозапускаемый скрипт (вроде ~/.bashrc) или изменить ~/.ssh/authorized_keys.
Чтобы защитить свои системы, отключите сервис flatpak-portal командой:

sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service

www.opennet.ru/opennews/art.shtml?num=65170

Две угрозы в экосистеме Python
В апреле выявили две важные уязвимости.
В стандартных библиотеках сжатия CPython (lzma, bz2, gzip) нашли критическую уязвимость (CVE-2026-6100, 9.1 балла). При распаковке специально оформленных данных и нехватке памяти может возникнуть обращение к уже освобождённой памяти (use-after-free), что приводит к утечке информации или выполнению кода атакующего. Подробности можно почитать здесь. Исправление пока только в виде патча.
Вторая проблема — атака на цепочку поставок. В пакет elementary-data (1,1 млн загрузок в месяц) через скомпрометированный GitHub Actions внедрили вредоносный код. В релизе 0.23.3, доступном для скачивания более 11 часов, при установке активировался base64-код. Он похищал SSH-ключи, данные из переменных окружения, пароли от БД, учётные данные от облачных сервисов (AWS, GCP, Azure, K8s), криптокошельки и другую конфиденциальную информацию. Подробнее здесь.
www.opennet.ru/opennews/art.shtml?num=65202
github.com/python/cpython/pull/148396
www.opennet.ru/opennews/art.shtml?num=65313

Бэкдор в 30 плагинах WordPress мог заразить тысячи сайтов через штатные обновления
Специалисты по ИБ обнаружили, что более 30 плагинов WordPress из пакета EssentialPlugin скомпрометированы. Выяснилось, что в них ещё в 2025 году внедрили бэкдор, который через штатные обновления распространился на тысячи (потенциально сотни тысяч) сайтов. Недавно малварь активировали.
После активации бэкдор связывался с внешним сервером (используя адресацию через Ethereum-блокчейн) и скачивал файл wp-comments-posts.php, который встраивал вредоносный код в wp-config.php. По команде злоумышленников малварь генерировала спам-ссылки, редиректы и фейковые страницы, видимые только Googlebot. Бэкдор активировался при условии, что эндпоинт analytics.essentialplugin.com возвращал вредоносный контент.
Сейчас скомпрометированные плагины заблокированы, WordPress.org отправил принудительное обновление, нейтрализующее бэкдор и обрывающее связь с C2. Однако оно не очищает wp-config.php — файл нужно проверить вручную. Также следует искать файл wp-comments-posts.php (не путать с легитимным wp-comments-post.php). Малварь может скрываться и в других местах.
xakep.ru/2026/04/17/essentialplugin-backdoor/

CrystalX RAT: новый MaaS-троян для кражи данных и пранков над жертвами
Эксперты «Лаборатории Касперского» обнаружили троян удалённого доступа CrystalX RAT (ранее назывался Webcrystal RAT). Вредонос распространяется по модели MaaS (Malware-as-a-Service) и нацелен преимущественно на российских пользователей. Он совмещает функции RAT, стилера, кейлоггера, клиппера и шпионского ПО, а также умеет выполнять prankware-действия (менять обои и кнопки мыши, переворачивать экран, отправлять сообщения жертве). У малвари есть собственный телеграм-канал и даже YouTube-аккаунт с видео, которые обучают использованию вредоноса.
Панель управления CrystalX позволяет клиентам собирать собственную уникальную версию трояна с широкими возможностями настройки: можно включить фильтрацию жертв по стране, выбрать иконку для исполняемого файла, подключить защиту от анализа и другие опции.
Готовый имплант сжимается с помощью zlib, а затем шифруется потоковым шифром ChaCha20 с 256‑битным ключом и 96‑битным одноразовым кодом. Кроме того, CrystalX умеет обнаруживать виртуальные машины и проверять, не запущен ли он в тестовой или отладочной среде, что затрудняет его обнаружение.
После заражения вредонос крадёт учётные данные из Steam, Discord, телеграма и всех браузеров на движке Chromium, а также мониторит буфер обмена, подменяя скопированные адреса криптокошельков на адреса злоумышленников. Троян оснащён клавиатурным шпионом (кейлоггером) и обеспечивает полный удалённый контроль над устройством жертвы: доступ к экрану, камере и микрофону с возможностью записи видео и звука. Помимо этого, CrystalX может выполнять пранк-функции.
Для защиты от трояна специалисты рекомендуют стандартные меры цифровой гигиены:

• Обращать внимание на странное поведение (поворот экрана, блокировка клавиатуры/мыши, необычные уведомления). При подозрении — отключить компьютер от сети и интернета, установить антивирус с флешки.
• Скачивать программы только с официальных сайтов, избегать взломанного ПО.
• Осторожно относиться к файлам из мессенджеров (особенно архивам с паролями).
• Включить двухфакторную аутентификацию.
• Регулярно обновлять ОС и приложения.
• Использовать защитное решение, которое обнаруживает и обезвреживает CrystalX.

www.kaspersky.ru/blog/prankware-crystalx-rat-maas/41616/?ysclid=mnzvvaocoy152695405

Уважаемый клиент,
Мы пишем, чтобы сообщить вам о небольшом обновлении веб-сайта Dediserve.

С 18 мая 2026 года наш устаревший веб-сайт Dediserve будет перенаправлять на iomart.com Это изменение является частью более масштабных усилий по упрощению и модернизации нашей веб-инфраструктуры.

Что это значит для вас:

• Никаких изменений в предоставляемых услугах не наблюдается.
• Никаких изменений в выставлении счетов или условиях договора не предусмотрено.
• Вы продолжите пользоваться той же панелью управления, что и сегодня.

Если вы посетите существующий веб-сайт Dediserve, вы будете автоматически перенаправлены на страницу панелей управления Iomart, где сможете получить доступ к своей панели управления как обычно.
www.iomart.com/control-panels
www.iomart.com/our-data-centres

Это изменение затрагивает только веб-сайт и никак не повлияет на то, как вы управляете своими услугами или используете их.

Если у вас возникнут какие-либо вопросы или проблемы, наша служба поддержки с удовольствием вам поможет.

С уважением,
Команда Дедивер