Рейтинг
0.00

FirstVDS Хостинг

14 читателей, 383 топика

Массовый дефейс веб-сайтов, использующих CMS Bitrix

26 мая 2023 в российском сегменте интернета произошла массовая атака и дефейс сайтов, использующих CMS Bitrix.

Начиная с 2022 года злоумышленники массово взламывали сайты через известные уязвимости CMS Bitrix и устанавливали на сервер бэкдор, позволяющий создавать произвольные файлы и вызывать команды ОС. 26 мая с помощью установленного бэкдора был произведен массовый дефейс сайтов на Bitrix.
dev.1c-bitrix.ru/community/forums/messages/forum6/topic147346/message731078/#message731078

Если ваши сайты на CMS Bitrix, обязательно изучите техническое описание атаки и проведите профилактические мероприятия на сервере:
telegra.ph/hck-bx-0526-05-26

1. Проверьте по журналам доступа к WEB-серверу факт эксплуатации уязвимости CVE-2022-27228 (одна из самых часто используемых для взлома).
helpdesk.bitrix24.com/open/15536776/

Пример команды поиска:
grep -E 'POST/bitrix/tools/(html_editor_action.php)|(vote/uf.php)' /var/log/www.access.log* | grep' 200 '

2. Проверьте, что модуль CMS Bitrix «Опросы, Голоса» (vote) не ниже версии 21.0.100. При необходимости, обновите версию данного модуля.

3. Установите «1С-Битрикс: Поиск троянов», запустите сканирование. Панель управления сайтом → Настройки → bitrix.xscan → Поиск и Поиск (бета). Модуль отсканирует весь сайт и отобразит выявленные подозрительные файлы.
marketplace.1c-bitrix.ru/solutions/bitrix.xscan/

4. Проверьте наличие бэкапов и корректность их создания. Бэкапы могут помочь вам в восстановлении заражённых и удалённых файлов.

Май — способы борьбы с выгоранием, искусственный интеллект и серверы на базе Ampere Altra Max

Говорят, грядущее лето будет самым жарким за всю историю наблюдений, так что готовим чемоданы к отпуску. А если ваши отношения с работой пока не позволяют сделать перерыв, есть и другие варианты уберечь себя от выгорания — поделимся несколькими в нашем новом дайджесте :)



Игрушки, миски и квартальные отчёты: зачем в офисе питомцы
Многие современные компании позволяют приводить в офисы домашних животных. На первый взгляд эта идея кажется странной, но правда в том, что люди любят своих питомцев и чувствуют себя лучше рядом с ними. В статье на VC.ru рассказываем о том, как присутствие домашних питомцев в офисе не только улучшает эмоциональное состояние сотрудников, но и снижает уровень стресса и выгорания на работе.
vc.ru/office/706678-igrushki-miski-i-kvartalnye-otchety-zachem-v-ofis-puskayut-s-pitomcami


Мечтает ли ChatGPT о гибели человечества
Если вы волновались, то спешим вас успокоить: восстания машин не будет! По крайней мере, пока что :) Мы изучили сценарии развития ИИ, прогнозы неоднозначные, но в целом оптимистичные. Так что рекомендуем уже сейчас осваивать новые технологии, возможно, у вас получится делегировать однообразные задачи нейросетям и меньше страдать от рабочей рутины.
vc.ru/chatgpt/699280-mechtaet-li-chatgpt-o-gibeli-chelovechestva-razbiraemsya-k-chemu-vedet-razvitie-ii

Habr: самое интересное за май
В интернете только и разговоров, что о нейросетях… В мае мы много говорили об ИИ: о том, как эти технологии меняют нашу повседневную жизнь и как ИИ переосмысливает подход к вычислениям. Также мы протестировали несколько популярных чат-ботов и поделились результатами. Переходите в блог, чтобы узнать подробнее.



Скидка 77% на все SSL-сертификаты GlobalSign
Вы, наверное, уже в курсе, но на всякий случай напоминаем — завтра последний день майской акции, когда вы можете заказать SSL-сертификаты GlobalSign со скидкой 77%. Выберите сертификат с необходимым уровнем проверки и количеством защищаемых доменов и субдоменов и успейте сделать заказ по выгодной цене.
firstvds.ru/actions/skidka-ssl-gs


К заказу доступны VDS на ARM-архитектуре
Почти два месяца назад мы запустили гибкий тариф на базе высоко энергоэффективного процессора Ampere Altra Max M128-30 (3 ГГц, 128 ядер) и уже успели оценить его преимущества, среди которых высокая производительность, возможность быстрого масштабирования и создания гибкой инфраструктуры. Пока тариф находится в статусе Beta, но уже сейчас вы можете сделать заказ в Личном кабинете и проверить его в деле.
firstvds.ru/blog/zapustili-vds-na-arm-arkhitekture


Intel Xeon E5, E3 и E на аукционе FirstDEDIC
На аукцион поступило сразу несколько конфигураций на базе Intel Xeon E5, E3 и E. Количество серверов, как и срок, во время которого они доступны на аукционе, ограничено. Поэтому успейте оформить заказ, пока нужная конфигурация в наличии. Цена, по которой будет арендован аукционный сервер, не вырастет на протяжении всего периода его использования. А при заказе на длительный срок прибавится ещё и скидка за период.

Уязвимости
Критическая уязвимость в GitLab 16.0

В недавнем выпуске GitLab 16.0 выявлена критическая уязвимость с уровнем опасности 10 из 10, позволяющая неаутентифицированному пользователю получить содержимое любого файла на сервере, насколько это позволяют права доступа процесса, обрабатывающего запросы. Подробности эксплуатации пока не сообщаются. Проблему уже устранили в обновлении GitLab 16.0.1.
www.opennet.ru/opennews/art.shtml?num=59190

Уязвимость в MikroTik позволяет выполнить код при обработке IPv6
В RouterOS, операционной системе MikroTik, найдена критическая уязвимость, которая позволяет неаутентифицированному пользователю удаленно выполнить код на устройстве через отправку специально оформленного анонса маршрутизатора IPv6. Эксплуатация уязвимости была продемонстрирована на соревнованиях Pwn2Own, где выявившие проблему исследователи получили вознаграждение в размере 100 000 долларов. Производитель выпустил обновления, исправляющие уязвимость.
www.opennet.ru/opennews/art.shtml?num=59188

Уязвимость в одном из самых популярных плагинов WordPress
В WordPress-плагине Essential Addons for Elementor, который используется более чем на 1 млн сайтов, обнаружена уязвимость, позволяющая неаутентифицированному пользователю получить права администратора. Проблема связана с функцией сброса пароля в плагине и затрагивает версии с 5.4.0 по 5.7.1. Исправление уже выпущено в версии 5.7.2, всем пользователям рекомендуется как можно скорее обновиться.
xakep.ru/2023/05/12/essential-addons-for-elementor/

Ошибка в ядре Linux 6.3, приводящая к повреждению метаданных XFS
В апрельском выпуске ядра Linux 6.3 нашли ошибку, приводящую к повреждению метаданных файловой системы XFS. Причину проблемы пока не выяснили окончательно, но, судя по всему, дело в одном из коммитов — исправление уже имеется, но только для версии 6.4. Пользователям XFS следует воздержаться от обновления ядра до ветки 6.3 до прояснения ситуации.
www.opennet.ru/opennews/art.shtml?num=59204

-77% на SSL-сертификаты GlobalSign только до 31 мая



Понимаем, что уже засыпали вас этими письмами, но это последнее, обещаем! До конца акции на SSL-сертификаты GlobalSign осталась пара дней. Писать про скидки 77% мы больше не будем :)

Если вдруг вы ещё не посмотрели цены на сертификаты, то вот они:
GlobalSign AlphaSSL — 975 ₽ в год (4 425 ₽).
GlobalSign AlphaSSL Wildcard — 3 916 ₽ в год (17 028 ₽).

Заказать по такой цене можно до 31 мая. У нас всё.
firstvds.ru/services/ssl_certificate

Апрель — космическое путешествие, VDS на ARM и день рождения CLO

Месяц выдался насыщенным. И День космонавтики отметили, и несколько важных релизов сделали, а теперь празднуем день рождения проекта CLO! В общем, скучать не приходится. Но даже в такой суете не могли оставить вас без свежего дайджеста.



Статьи и инструкци
Как создать корпоративную почту на своём домене
Клиенты и партнёры будут больше доверять компании, у которой есть почта с собственным адресом — она выглядит более серьёзно и лучше запоминается. Чтобы вы могли настроить такую почту на своём сервере, мы вместе с коллегами из ispmanager приготовили для вас статью.
firstvds.ru/technology/kak-sozdat-korporativnuyu-pochtu-na-svoyom-domene

Читать
Habr: самое интересное за апрель

Кажется, об ИИ сейчас не говорит только ленивый. Мы тоже активно разбираемся в теме, чтобы быть наготове, если вдруг придётся отправиться в прошлое и сражаться со Скайнет. Статью об этом ещё не написали, но выпустили много других. Заглядывайте в наш блог на Хабре, там много интересного.
  • Новое исследование: Microsoft утверждает, что GPT-4 показывает «зачатки настоящего искусственного интеллекта»
  • Мгновенное создание видео — следующий скачок в ИИ-технологиях
  • Компьютерный синдром: личный опыт сохранения зрения в эпоху цифровых технологий
  • Быстрее, больше, сильнее: фреймворки Python с параллельной обработкой данных

Когда провал полезнее успеха: как ошибка выжившего вредит бизнесу
Ошибка выжившего заставляет нас приходить к выводу, пользуясь неполными данными, мешает видеть всю картину происходящего. Один случайный успех затмевает сотни неудач. В новой статье на VC рассказываем, как подойти к делу, чтобы сделать правильные выводы и не попасться на удочку когнитивного искажения.
vc.ru/hr/669954-kogda-proval-poleznee-uspeha-kak-oshibka-vyzhivshego-vredit-biznesu

Новости
А теперь к новостям апреля.

Космическое путешествие подошло к концу. Подводим итоги

Итоги космического путешествия
В честь Дня космонавтики мы предложили клиентам собрать космический корабль и отправиться в путешествие, чтобы найти планету X. Те, кто успешно справился с поисками, получили скидки на серверы и сертификаты на пополнение баланса, а также возможность выиграть один из 12 боксов с нашим мерчем.
Итоги розыгрыша опубликованы в нашем тг-канале. Спасибо каждому за активность! :) Поделиться впечатлениями и оставить фидбэк можно в чате.


Запустили новый тариф VDS на ARM-архитектуре
В качестве эксперимента развернули новый гибкий тариф на базе высоко энергоэффективного процессора Ampere Altra Max M128-30 (3 ГГц, 128 ядер). На тарифе доступно до 16 ядер, до 32 Гб оперативной памяти и до 960 Гб NVMe-накопителя. Так как тариф запущен в статусе «бета», он имеет некоторые ограничения и заказать его можно только через Личный кабинет.


CLO: добавили возможность выходить в интернет через NAT
Добавили возможность включения виртуального роутера с внешним IP-адресом. Теперь серверы проекта CLO могут получить доступ к данным вне локальной сети через NAT. Больше нет необходимости покупать внешние IP-адреса для каждого сервера, при включении роутера оплата будет списываться только за IP самого роутера.


Отмечаем день рождения CLO!
В апреле CLO исполнилось 3 года. За это время команда проекта провела большую работу, добавила много полезных фич и удобных инструментов. Это заслуга не только разработчиков, но и клиентов, которые активно участвовали в развитии проекта и помогали своей обратной связью. Чтобы отметить день рождения вместе, ребята из CLO запустили акцию и до 3 мая дарят бонусы:
  • скидку 50% на 3 месяца всем новым клиентам на любые услуги по промокоду HBDCLO3,
  • кешбэк 30% на все платежи, совершённые во время акции — сработает как для новых, так и для действующих клиентов.

Уязвимости и релизы
Релиз ядра Linux 6.3

Линус Торвальдс представил релиз ядра Linux 6.3. Новая версия ядра Linux содержит много изменений и доработок, в том числе: чистку устаревших ARM-платформ и графических драйверов, продолжение интеграции поддержки языка Rust, утилиту hwnoise, поддержку древовидных структур red-black в BPF, режим BIG TCP для IPv4, встроенный тест производительности Dhrystone, возможность запрета исполнения в memfd.
www.opennet.ru/opennews/art.shtml?num=59022

Релиз Ubuntu 23.04
Разработчики выпустили новую версию дистрибутива Ubuntu 23.04 Lunar Lobster. Среди основных изменений: рабочий стол обновлён до выпуска GNOME 44, добавлена новая минималистичная сборка Netboot весом 143 Мб, усовершенствована работа с обновлениями пакетов в формате snap, задействован новый установщик на базе Flutter UI и новая редакция инсталлятора Subiquity.
www.opennet.ru/opennews/art.shtml?num=59007

Уязвимость в ядре Linux 6.2, позволяющая обойти защиту от атак Spectre v2
Обнаружена уязвимость в ядре Linux 6.2, которая приводит к отключению защиты от атак Spectre v2 и позволяет получить доступ к памяти процессов, выполняемых в разных потоках на одном физическом ядре процессора. Проблема затрагивает только ядро Linux 6.2 и была вызвана некорректной реализацией оптимизаций, призванных снизить накладные расходы при защите от Spectre v2. Уязвимость устранена в экспериментальной ветке ядра Linux 6.3.
www.opennet.ru/opennews/art.shtml?num=58981

Исправлен ряд уязвимостей в Git
Опубликованы корректирующие выпуски Git, в которых устранено пять уязвимостей, позволяющих перезаписать файлы или выполнить свой код. В качестве обходных путей для защиты от уязвимостей рекомендуется избегать выполнения команды «git apply --reject» при работе с непроверенными внешними патчами и проверять содержимое $GIT_DIR/config перед запуском команд «git submodule deinit», «git config --rename-section» и «git config --remove-section» при работе с не заслуживающими доверия репозиториями.Также устранены три уязвимости, проявляющиеся только на платформе Windows.
www.opennet.ru/opennews/art.shtml?num=59033

Ищем авторов для блога FirstVDS на Habr и VC



Ищем опытных IT-специалистов, готовых поделиться своими знаниями в наших блогах на Habr и VC. Пишите статьи о том, что вам интересно, и получайте до 15 тысяч рублей за каждую.

Предложите тему, на которую хотите писать. Нам важно, чтобы автор был заинтересован в статье и уверен в своих знаниях, поэтому мы не предоставляем готовый список тем или ТЗ. Единственное ограничение — ваша идея должна вписываться в тематику Хабра и подходить нашему блогу.

Напишите статью в удобные для себя сроки. Мы не ограничиваем авторов в сроках и количестве материалов. Вы сами формируете свою загруженность.

Далее к работе подключится наш редактор, он проверит текст на ошибки и соответствие редполитике, поможет раскрыть важные детали. При необходимости в дело вступит дизайнер, чтобы подготовить иллюстрации для вашей статьи.

Порядок оплаты зависит от формы сотрудничества — на выбор предлагаем оферту и договор с ИП, физическим или юридическим лицом. Оплата сдельная, за каждую статью от 10 до 15 тысяч рублей.

Чтобы стать автором, напишите нам на почту marketing@firstvds.ru с темой «Хочу стать автором». В письме немного расскажите о себе: как вас зовут, на чём вы специализируетесь, есть ли у вас опыт написания статей. И укажите тему, над которой хотите поработать. Мы свяжемся с вами в течение 3 рабочих дней.

Новая линейка реселлерских тарифов: «Реселлинг-10.0»



Обновили линейку тарифов в рамках программы реселлинга — снизили стоимость почти на 30% по сравнению с версией 9.0 и изменили конфигурации накопителей.

VDS «Реселлинг-10.0» уже доступны к заказу.
Максимальные параметры CPU и RAM остались такими же — до 8 ядер и до 12 Гб оперативной памяти. Изменения коснулись SSD и NVMe-накопителей:
  • теперь можно заказать накопитель не от 20, а от 15 Гб.
  • максимальное значение осталось такое же — 500 Гб;
  • шаг при выборе накопителя тоже уменьшился и теперь составляет 5 Гб вместо 10.
Внимание! Изменения касаются специальных тарифов, которые доступны только для участников программы реселлинга.
firstvds.ru/partner/reseller

Запустили VDS на ARM-архитектуре



В качестве эксперимента развернули тариф на базе высоко энергоэффективного процессора Ampere Altra Max M128-30 (3 ГГц, 128 ядер).

Тариф запущен в статусе «Beta», поэтому заказать его можно только через Личный кабинет — VDS-LXD-ARM-NVMe-Beta.

Тариф представляет из себя гибкую конфигурацию.
Максимальные значения: CPU до 16 и до 32 Гб RAM. Изменить количество CPU/RAM можно самостоятельно прямо в Личном кабинете. NVMe-накопитель тоже гибкий — объём можно выбрать как при заказе сервера, так и увеличить уже в процессе использования. Максимальный объём накопителя — 960 Гб.

Стоимость базовой конфигурации 1 CPU, 2 Гб RAM, 20 Гб NVMe-накопителя 349 рублей в месяц.

На сегодняшний день на тарифе доступны следующие ОС:
  • Alma Linux 8, 9
  • CentOS 7, 8, 9
  • Debian 10, 11
  • Fedora Linux 37
  • Oracle Linux 8, 9
  • Rocky Linux 8, 9
  • Ubuntu 20.04, 22.04

На VDS-LXD-ARM-NVMe-Beta недоступны:
  • «Автоматическое резервное копирование»;
  • ОС Windows;
  • панель управления ISPmanager;
  • все рецепты Битрикс-окружения.
https://firstvds.ru

Время космических приключений!



Не будем тратить время на красивые подводки и поздравления с 12 апреля, а сразу перейдём к делу и расскажем, какую акцию мы приготовили.

1. Эксклюзивные тарифы VDS «Восток».
Доступны к заказу только в период акции — до 24 апреля 2023 года. Параметры тарифа: 8 CPU, 8 RAM, от 80 до 500 Гб SSD или NVMe-накопителя и гигабитный канал. Стоимость от 990 рублей в месяц!

2. Космический квест.
За прохождение можно получить скидку 20% на покупку нового или продление действующего VDS, до 500 рублей на баланс и возможность выиграть наш крутой мерч!

Подробности ищите на нашем сайте и в официальном тг-канале. Желаем всем хорошего космического приключения!
firstvds.ru/spaceday

Отметим День космонавтики по-особенному!



В этот раз решили отпраздновать День космонавтики по-особенному! Приготовили космотарифы, скидки на действующие и новые VDS, сертификаты на пополнение баланса и возможность выиграть крутой мерч от FirstVDS.

Но вы же нас знаете (глухой смех сквозь космический шлем :)). Чтобы получить эти бонусы, вам придётся отправиться в настоящее космическое приключение.

Какое именно — расскажем 12 апреля.

Подписывайтесь на наш телеграм-канал и включайте уведомления, чтобы не пропустить старт акции. А также вступайте в тг-чат, чтобы быть в курсе всех спойлеров и инсайдов (но мы вам этого не говорили).
t.me/TakeFirst_chat

Март — почтовый сервис на базе Exchange, частые ошибки CMS Битрикс и путь в айти для не айтишников

Зиму перезимовали, теперь берем курс на весну! Синоптики обещают море новых задач, временами что-то будет гореть, а кто-то — подгорать… Но мы-то знаем, что у работы нет плохой погоды, а все дедлайны растают, как прошлогодний снег. О том, чем горели в марте, рассказываем в новом дайджесте.



Статьи и инструкции
Частые ошибки «1С-Битрикс»

«1С-Битрикс: Управление сайтом» — одна из самых популярных коммерческих CMS. Как и в случае с любой другой CMS, при работе с Битриксом возникают разные ошибки, мешающие нормальной работе сайта. В новой статье мы разобрали шесть распространённых ошибок и рассказали, как их исправить.
Ошибки CMS «1С-Битрикс: Управление сайтом» и способы их устранения

Habr: самое интересное за март
В марте мы подняли на Хабре много новых тем: рассказали о техниках запоминания, провели ликбез по кабелям и обсудили, почему большие данные мертвы, а дискеты ни в какую не хотят умирать. В общем, у нас, как всегда, интересно. Подписывайтесь, если ещё не :)
  • Смотрю в книгу — вижу «фигу». Техника «абсорбирования» учебников SQ3R вместо пассивного чтения
  • Почему дискеты отказываются умирать
  • Какие кабели можно встретить в стойке дата-центра?
  • Большие данные мертвы. Это нужно принять



Новые статьи на VC.ru
Не Хабром единым, как говорится. Опубликовали две новых статьи на VC.ru. Рассказываем, какие неочевидные ошибки может совершить HR при найме сотрудников, особенно IT-специалистов, а также делимся историей нашего сотрудника о том, как он попал в IT и что в этой сфере делать гуманитарию.
Новости
А теперь к новостям марта.


Почтовый сервис на базе Exchange доступен для заказа
Добавили новую услугу для создания корпоративной почты по модели SaaS — почтовый сервис на базе Exchange. Управлять услугой можно из любой точки мира, а сам сервис удобен в использовании и защищён от вирусов и спама. Для заказа доступны почтовые ящики на 2, 10 и 50 Гб, при этом объём можно увеличить в любой момент.
firstvds.ru/services/exchange


Обновили рекламные баннеры для реферальной программы
Если у вас есть свой сайт — вы можете разместить на нём рекламный баннер со встроенной партнёрской ссылкой и получать 10% от расходов привлечённых клиентов. Клиенты, в свою очередь, получат скидку 25% на первый месяц аренды сервера. Баннеры доступны в разных размерах и подойдут для размещения на любом сайте.
firstvds.ru/partner/referral

Оставьте честный отзыв о нас и получите скидку до 25%
Напоминаем, что у нас действует акция — скидка за отзыв. Поделитесь честным мнением о нас на одном из хостинг-ресурсов, и мы подарим вам скидку до 25% на один месяц аренды сервера. Благодаря вашей обратной связи мы сможем проработать моменты, которые требуют особого внимания, и сделать наш сервис ещё лучше.
firstvds.ru/blog/skidka-do-25-kazhdomu

Уязвимости и релизы
Релиз криптографической библиотеки OpenSSL 3.1.0

Опубликован новый релиз библиотеки OpenSSL 3.1.0. Среди главных обновлений: реализована поддержка криптографических алгоритмов, соответствующих стандарту безопасности FIPS 140-3, улучшена производительность фреймворков кодировщика и декодировщика, повышена скорость генерации RSA-ключей в режиме FIPS.
www.opennet.ru/opennews/art.shtml?num=58797

Релиз системы управления исходными текстами Git 2.40
Выпущен новый релиз распределенной системы управления исходными текстами Git 2.40, в рамках которого принято 472 изменения. В скрипт git-jump добавлена поддержка редактора Emacs, в подсистеме учётных записей реализована поддержка паролей с ограниченным сроком действия, также разработчики добавили новые опции для различных команд.
www.opennet.ru/opennews/art.shtml?num=58790

Две критические уязвимости в Wordpress-плагине Houzez
Эксперты сообщают, что хакеры начали активно эксплуатировать две критические уязвимости в плагине Houzez для Wordpress, они позволяют им создать на уязвимом сайте нового пользователя-администратора и полностью перехватить контроль. Патчи с исправлениями были опубликованы ещё в прошлом году, но многие сайты до сих пор не установили обновления.
xakep.ru/2023/03/01/houzez-bugs/

Уязвимость в OverlayFS
Обнаружена уязвимость в реализации файловой системы OverlayFS ядра Linux. Злоумышленники могут использовать её, чтобы получить root-доступ к системам, в которых установлена подсистема FUSЕ и разрешено монтирование разделов OverlayFS непривилегированным пользователем. Проблема устранена в ветке ядра 6.2.
www.opennet.ru/opennews/art.shtml?num=58857