FirstVDS Хостинг

В последнюю пятницу июля весь IT-мир чествует самых стойких и незаменимых. Тех, кто знает, где искать, даже когда «ничего не понятно, но очень интересно» — системных администраторов.

FirstVDS поздравляет всех сисадминов с профессиональным праздником и благодарит за труд!

В честь праздника мы запускаем акцию, где дарим подарки:

Промокод со скидкой 25% на заказ новых VDS для всех.
Сертификаты на пополнение баланса номиналом 150 ₽ для тех, кто с нами в одной сети больше года.

День сисадмина 2025: -25% на заказ VDS
Действует на все тарифы, кроме тарифов «VDS-Прогрев», «VDS-LXD-ARM» и тарифы реселлеров.

UPTIME100%

firstvds.ru

Да-да, уже завтра, день тех, кто умеет приручить любой сервер или PC, кому утром пишут «всё легло!!», вместо «доброе утро» и для кого бубен — это не шутка, а инструмент.

Праздник уже завтра, значит будут сертификаты на баланс и скидки на VDS.

Старт акции 25 июля в 10:00 по мск, подписывайтесь на наш телеграм канал, чтобы точно не пропустить это и другие наши события.
t.me/TakeFirstNews

Лето в разгаре, а значит, самое время отдыхать!
Но пока вы наслаждаетесь морем, солнцем или просто спокойным уик-эндом, ваши серверы требуют внимания. Чтобы ни один сбой не нарушил ваш отдых, предлагаем техническое сопровождение проектов от нашей команды.

Что мы делаем?

• Следим за стабильной работой серверов 24/7.
• Оперативно реагируем на инциденты.
• Контролируем нагрузку и ресурсы.
• Решаем проблемы до того, как они станут критичными.

Для вашего удобства и оперативной коммуникации мы создадим Telegram-чат, где вы сможете напрямую общаться с нашей командой и при необходимости добавлять своих специалистов: разработчиков, системных администраторов и других участников проекта.

Базовый тариф начинается от 5000 ₽/месяц. Окончательная стоимость рассчитывается персонально, после изучения особенностей вашего проекта. Объём работ зависит от количества сайтов, используемых технологий и масштабов системы: чем больше инфраструктура, тем больше ресурсов для её поддержки.

Хотите спокойный отпуск?
Оставить заявку можно в форме на сайте или в Личном кабинете в разделе Администрирование. Мы свяжемся с вами в течение двух рабочих дней после заполнения заявки.

firstvds.ru/services/server_support

Лето в разгаре, и если вы уже сменили офисное кресло на шезлонг, а клавиатуру — на поднос с фруктами, то проектам и серверам приходится работать без выходных.



Чтобы вы могли спокойно отдыхать, мы следим за обновлениями, уязвимостями и новыми фишками: тестируем удобные инструменты, мониторим изменения в законах и разбираемся, как сделать вашу инфраструктуру надёжнее. А ещё — собираем для вас полезные статьи и новости, чтобы вы могли после отпуска легко вернуться в курс дела. Обо всём этом рассказали в июньском дайджесте.

Статьи и инструкции
Типы данных в MySQL
MySQL — одна из самых популярных систем управления реляционной базой данных с открытым исходным кодом. Она использует язык SQL и хранит записи в таблицах. При проектировании её архитектуры важно оптимально задать тип полей. В статье рассмотрели основные типы данных, доступные в MySQL.
firstvds.ru/technology/tipy-dannykh-v-mysql

8 лучших почтовых сервисов для работы и общения в 2025 году
Несмотря на популярность мессенджеров, email по-прежнему остается одним из универсальных инструментов для деловых переговоров, маркетинга и личного общения. Чтобы вам было легче выбрать подходящий, составили подборку из 8 лучших почтовых клиентов 2025 года.
firstvds.ru/blog/8-luchshikh-pochtovykh-servisov-dlya-raboty-i-obscheniya

Штрафы для хостеров и реселлеров в 2025 году: что изменится и как избежать миллионных санкций
В последнее время государство всё серьёзнее регулирует сферу хостинг-услуг. В статье рассказываем о недавнем законопроекте, который вводит новые штрафы для хостинг-провайдеров, а также разбираем вопрос, нужно ли реселлерам регистрироваться в госреестре, выполняя все требования для хостеров.
firstvds.ru/blog/shtrafy-dlya-khosterov-i-resellerov-v-2025

Habr: самое интересное за июнь
Этот месяц мы посвятили исследованию границ науки и технологии. Удивлялись тому, что мир теоретически может находится внутри чёрной дыры, и изучали новое доказательство для анализа математических поверхностей. Спойлер — там тоже про сингулярность. А ещё продолжили серию про DIY-роботов на FastAPI и вспомнили, почему даже гениальные идеи иногда терпят крах.

• Наша Вселенная находится внутри сверхмассивной черной дыры — исследование
• Новое доказательство позволило учёным без проблем анализировать эволюцию математических поверхностей
• Веб-камера — глаза робота: пишу веб-приложение на FastApi для управления DIY-проектом. Часть 2
• Карманный монстр Пола Аллена: как мини-компьютер за $2000 потерпел крах

Новости июня
Объектное хранилище S3: завершили тестирование файлового менеджера
Немного предыстории. В конце марта мы запустили услугу «Объектное хранилище S3», а в мае к ней вышло дополнение — файловый менеджер, который примерно до середины июня находился в режиме тестирования. Мы приглашали всех желающих поискать баги в работе S3 Manager и дарили сертификаты на пополнение баланса за конструктивную обратную связь.

Теперь, когда тестирование завершено, мы хотим поблагодарить всех участников за помощь и сказать, что всё это было не напрасно — ваши замечания уже помогли нам исправить часть багов. А сам файловый менеджер стал работать быстрее за счёт оптимизации различных процессов.
И ещё одна приятная новость. Мы не закрываем группу тестировщиков в телеграме. Она становится сообществом с замечаниями и пожеланиями к хранилищу S3 и менеджеру — будем на связи.
 https://firstvds.ru/services/s3

Отпуск без забот: чек-лист по проверке сервера.
На отдыхе совсем не хочется думать о работе и о том, что с ней связано. Поэтому перед уходом в отпуск рекомендуем провести небольшую подготовку — наш чек-лист поможет проверить, что вы ничего не забыли, а статья про телеграм-бота расскажет о том, как настроить быстрые уведомления и легко пополнять баланс, если вы из тех, кто любит держать под контролем ситуацию даже на пляже.

Топ новостей из мира технологий и безопасности
Июнь такой июнь. Принёс огромный букет… критических уязвимостей — от опасных дыр в популярных сервисах вроде Kea DHCP и cyrus-imapd, позволяющих нарушителям получать root-доступ, до масштабных угроз для WordPress и vBulletin, ставящих под удар сотни тысяч сайтов. Параллельно был разоблачен фейковый ИИ Natasha, а в Linux-экосистеме обнаружились критические баги в libblockdev, PAM и XML-обработчике.
На фоне этих событий становится ясно: лето — не время расслабляться, когда речь идет о кибербезопасности. Вот тут рассказали подробнее:

Уязвимости в libblockdev и PAM: получение прав root
Специалисты Qualys обнаружили две критические уязвимости:

• в библиотеке libblockdev (CVE-2025-6019) — позволяет повысить привилегии до root через udisks,
• в PAM (CVE-2025-6018) — даёт аналогичные возможности в openSUSE и SUSE Linux Enterprise.

Как это работает. Утилита udisks, которая используется в большинстве дистрибутивов Linux, по умолчанию разрешает операции с накопителями только пользователям с доступом allow_active (локальные сеансы). Однако злоумышленник может обойти это ограничение двумя путями:
Через systemctl, создав пользовательский сервис, который polkitd воспримет как локальный сеанс (требуется активный локальный пользователь).
Через уязвимость в PAM (актуально для openSUSE и SUSE), которую обнаружили в ходе анализа уязвимости в libblockdev. В этом случае локальный доступ имитирует подмена переменных XDG_SEAT и XDG_VTNR в ~/.pam_environment. То есть уязвимость позволяет любому пользователю, в том числе подключившемуся по SSH, выполнять операции в контексте «allow_active».
Создается loop-устройство с XFS-образом, содержащим SUID-файл. При изменении размера ФС libblockdev временно монтирует её без nosuid/nodev, позволяя выполнить вредоносный код. Обновления пока выпущены не для всех дистрибутивов — проверить статус можно на страницах Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo и Arch (1, 2).
Временное решение: изменить правило polkit, заменив allow_active=yes на auth_admin в файле /usr/share/polkit-1/actions/org.freedesktop.UDisks2.policy.
www.opennet.ru/opennews/art.shtml?num=63424

Критические уязвимости в libxml2: угроза выполнения произвольного кода
В популярной библиотеке libxml2, используемой для обработки XML-данных в проектах GNOME и сотнях Linux-пакетов (например, в 800+ компонентах Ubuntu), обнаружено пять уязвимостей, две из которых позволяют выполнить произвольный код.
Ключевые уязвимости:
CVE-2025-6170 — вызвана переполнением буфера в утилите xmllint, которое возникает за счет использования небезопасной функции strcpy() без проверки длины входных данных. Атакующий должен контролировать аргументы, передаваемые в xmllint. Патч пока не выпущен.
CVE-2025-6021 — вызывается целочисленным переполнением в функции xmlBuildQName(), записывая, как следствие, данные за пределами выделенного буфера. Исправления включены в выпуск libxml2 2.14.4.
К дополнительным уязвимостям относятся:

• CVE-2025-49794: аварийное завершение из-за обращения к уже освобождённой области памяти в функции xmlSchematronGetNode,
• CVE-2025-49795: разыменование NULL-указателя в xmlXPathCompiledEval,
• CVE-2025-49796: неправильная обработка типов (Type Confusion) в функции xmlSchematronFormatReport.

Для их устранения оценивается возможность полного удаления поддержки Schematron из библиотеки.
Кроме этого, в libxslt (не поддерживаемой библиотеке) обнаружены три неисправленные уязвимости, детали которых обещают раскрыть 9, 13 июля и 6 августа 2025 года. Рекомендуем, следить за обновлениями libxml2 в нужном дистрибутиве и ограничить использование xmllint для обработки ненадёжных данных.
www.opennet.ru/opennews/art.shtml?num=63431

Уязвимости в DHCP-сервере Kea и IMAP-сервере Cyrus
В DHCP-сервере Kea (разрабатываемом ISC) обнаружены критические уязвимости:

• CVE-2025-32801 – позволяет локальному пользователю выполнить произвольный код с правами root через REST API (kea-ctrl-agent), отправляя команду set-config для загрузки вредоносной библиотеки.
• CVE-2025-32802 – даёт возможность перезаписать любой файл в системе через команду config-write в REST API.
• CVE-2025-32803 – логи и файлы аренды IP-адресов доступны для чтения всем пользователям.

Kea по умолчанию запускается от root в Arch Linux, Gentoo, openSUSE Tumbleweed (до 23 мая), FreeBSD и NetBSD. В Debian, Ubuntu и Fedora используется непривилегированный пользователь.
Дополнительно: В openSUSE обнаружена уязвимость (CVE-2025-23394) в IMAP-сервере Cyrus, позволяющая пользователю cyrus повысить привилегии до root через скрипт daily-backup.sh. Проблема устранена в версии cyrus-imapd 3.8.4-2.1.
Обновления уже выпущены для большинства дистрибутивов.
www.opennet.ru/opennews/art.shtml?num=63324

ИИ “Natasha” оказался обычными индийскими программистами, а его создатели — банкротами
В конце мая британская компания Builder.ai, имеющая крупные филиалы в пяти государствах, объявила об обращении в суд, чтобы защитить себя от банкротства.
Эта компания привлекла внимание общественности своим уникальным подходом к разработке программного обеспечения с помощью искусственного интеллекта Natasha AI, который был создан для написания кода по запросам клиентов, освобождая заказчиков от необходимости писать код самостоятельно. Однако позже стало известно, что код писали реальные программисты, а искусственный интеллект был лишь прикрытием сомнительного ведения бизнеса.
Несмотря на разоблачение The Wall Street Journal в 2019 году, инвесторы продолжали вкладывать в компанию миллионы. В 2023 году Microsoft даже рассматривала интеграцию стартапа Builder.ai в свои сервисы.
В феврале 2025 новое руководство заявило, что проблемы компании вызваны не ИИ, а плохим финансовым управлением. А в мае кредитор Viola Credit заморозил значительную часть средств на счетах Builder.ai. Это обрушило работу компании в пяти странах (Великобритания, США, ОАЭ, Сингапур, Индия), вынудив уволить большую часть сотрудников и подать на защиту от банкротства.
3dnews.ru/1123614/ii-natasha-na-dele-okazalsya-sotnyami-programmistovindusov-ego-razrabotchik-promotal-dengi-microsoft-i-obankrotilsya/#68380e7b742eec5f738b4572

Уязвимость в cURL/libcurl
Разработчики curl выпустили обновление для устранения уязвимости средней степени опасности CVE-2025-5025. Проблема возникает при использовании TLS-библиотеки wolfSSL в сочетании с протоколом HTTP/3 и включенной функцией certificate pinning. В этих условиях злоумышленник может провести MITM-атаку, подменив сертификат сервера.
Уязвимость затрагивает только специальные сборки curl с wolfSSL, что редко встречается в стандартных дистрибутивах Linux. Основные пакеты обычно используют OpenSSL или GnuTLS и не подвержены этой проблеме. Для защиты рекомендуется обновить curl до версии 8.14.0 или новее. Пользователи могут проверить используемую TLS-библиотеку командой curl -V.
Риск эксплуатации низкий, так как атака требует выполнения нескольких специфических условий: наличие wolfSSL, использование HTTP/3 и ручное включение certificate pinning. Кроме того, злоумышленнику необходимо перехватить трафик и получить действительный сертификат. Сейчас не зафиксировано случаев реального использования этой уязвимости, поэтому для большинства пользователей угроза минимальна, но обновиться всё же рекомендуется.
www.linux.org.ru/news/security/17983178

Угроза для 100 000 сайтов на WordPress
Исследователи Patchstack обнаружили критическую уязвимость (CVE-2025-47577, 10/10 по CVSS) в плагине TI WooCommerce Wishlist, который установлен более чем на 100 000 сайтов. Проблема позволяет загружать произвольные файлы без авторизации.
Функция tinvwl_upload_file_wc_fields_factory некорректно проверяет загружаемые файлы из-за отключенных параметров test_form и test_type. Это позволяет загружать файлы любого типа, включая вредоносные PHP-скрипты. Для этого должен быть активен плагин WC Fields Factory и включена интеграция с TI WooCommerce Wishlist.
Плагин предназначен для создания списков желаний и их публикации в соцсетях, что делает его популярным среди WooCommerce-сайтов.
Поскольку обновления пока нет, единственный способ защиты — полное отключение уязвимого плагина. Владельцам интернет-магазинов следует предпринять меры немедленно.
xakep.ru/2025/05/30/ti-woocommerce-wishlist/

Критические уязвимости в vBulletin
В популярном движке форумов vBulletin обнаружены две опасные уязвимости (CVE-2025-48827 и CVE-2025-48828, оценка 9/10). Одна из них уже активно используется злоумышленниками. Баги затрагивают версии 5.0.0-5.7.5 и 6.0.0-6.0.3 на PHP 8.1+.
Суть угрозы в том, что через API можно вызывать защищённые методы, а ошибки в обработке шаблонов позволяют выполнить произвольный код. Исследователь EgiX показал, как это работает: уязвимость в replaceAdTemplate обходит фильтры, давая хакерам шелл-доступ.
Фактически эти уязвимости были закрыты в прошлогодних обновлениях: PL1 для ветки 6.* и PL3 для версии 5.7.5. Однако из-за того, что многие владельцы сайтов не обновили свои системы, угроза остается актуальной.
xakep.ru/2025/06/02/vbulletin-flaws/

Мы в поиске авторов для одного из наших блогов или базы знаний. Неважно, есть ли у вас опыт в подготовке статей, или хотите попробовать силы впервые — платим за качество!

Два пути к гонорару:

• Есть готовая статья? Отправьте нам, и если она подойдёт для одной из наших площадок, выплатим вам гонорар после публикации.
• Хотите написать новую? Согласуем тему, дадим детальный фидбэк и поможем довести текст до идеала.

Что ценим в статьях:

• уникальность >75% (text.ru),
• практическую пользу (проверенные инструкции, кейсы, аналитика),
• нейтральность подачи (без политики и скандалов),
• чёткую структуру и объём.

Преимущества для вас:

• Гибкость: одна статья или постоянное сотрудничество.
• Публикация на Хабре под своим аккаунтом (по желанию).
• Поддержка редактора на разных этапах + иллюстрация от нашего дизайнера.
• Оплата от 8 000 до 17 000 ₽ за статью.

Свобода: сами выбираете тему и график.
Отправить готовый материал можно на почту: content@firstvds.ru с темой «Хочу стать вашим автором», обязательно указав для какой площадки (или площадок) вы хотите писать, или откликнуться на нашем сайте.

P. S. До 5 июля за статьи в блог Хабра на тему «Высокая производительность» платим повышенный гонорар.

Деревенская мудрость гласит: «Был бы у меня такой сервер, я, может, и не женился бы никогда...»

Летняя акция продлится до 18 июня. Успейте забрать сервер со скидкой 25%, время ещё есть. Скидка действует на любой срок заказа сервера (1, 3, 6 или 12 месяцев).
firstvds.ru/actions/leto_v_derevne

Деревенская акция от FirstVDS уже стартовала!

В лукошке:
Промокод со скидкой 25% на заказ новых VDS — скидка сработает на любой срок заказа VDS (1, 3, 6 или 12 месяцев).

Сертификаты на пополнение баланса номиналом 150 рублей для наших постоянных клиентов. Количество сертификатов ограничено.

Акция продлится до 18 июня, но зачем ждать, когда петух клюнет?
firstvds.ru/actions/leto_v_derevne

P.S. Да, в письме допущены опечатки. Да, намеренно. Ищите ошибки в паре предыдущих писем, а последний кусочек сертификата перед вами. Собирайте, используйте, но помните: сертификатов на пополнение баланса всего 50, и разлетятся они как горячие пирожки.
P.P.S. Активировать п̶и̶р̶о̶ж̶к̶и̶ сертификат нужно до конца июня, иначе сгорит.

Солнце, речка, запах свежескошенной травы…VDS со скидкой 25% и сертификаты на баланс…

Старт акции 5 июня в 10:00 по мск.
Местный тракторист Геннадий уже подписался на наш Telegram-канал, чтобы ничего не пропустить, подписывайтесь и вы.
t.me/TakeFirstNews

P.S. Да, мы специально сделали опечатку. Уже парочка была, и ещё две будут. Соберёте все – получите слово-сертификат, следите за рассылками! ;)

Май — это время, когда work-life balance приобретает особый смысл. Горящие дедлайны меркнут на фоне сгоревших шашлыков, а ноутбуки нагреваются не от нагрузок, а от солнца. Лето неумолимо приближается, и пока одни планируют отпуск, другим предстоит совмещать созвоны с видом на мангал.



Статьи и инструкции
Обзор популярных бесплатных антивирусов 2025
Количество кибератак растет — в 2024 году было зарегистрировано более 1,8 млрд инцидентов без учета DDoS-атак и фишинга. Поэтому каждому стоит задуматься о том, как защитить свои устройства от вредоносного ПО.
В статье рассказали, зачем нужен антивирус, как его выбрать, и собрали топ-10 бесплатных программ.
firstvds.ru/blog/top-besplatnykh-antivirusov

Habr: самое интересное за апрель
Провожаем в цифровое небытие некогда незаменимый Skype («лучший файлообменник» своего времени), заглядываем в аналоговое прошлое вместе с транзисторными радиопередатчиками, открываем цикл публикаций о создании open-source веб-приложения и рассказываем про пределы предсказуемости и демона Лапласа. Настраивайтесь на волну — будет интересно :)

• Прощай, скайп
• Этот увлекательный мир радиопередатчиков на транзисторах
• Веб-камера — глаза робота: пишу веб-приложение на FastApi для управления DIY-проектом. Часть 1
• Хаос «нового уровня» определяет истинный предел предсказуемости

Ищем авторов для блога на Хабр
Подготовьте статью на одну из специальных тем или отправьте материал на тему месяца. И если ваша статья подойдёт для блога, вы получите повышенный гонорар. Тема июня: высокая производительность.
firstvds.ru/blog/vremya-pisat-stati-ischem-avtorov-dlya-blogov-i-bz

Новости мая
Новая услуга «Техническое сопровождение проектов»

Наступает долгожданная пора отпусков. Однако проекты не уходят на каникулы — они требуют внимания, даже когда вы наслаждаетесь заслуженным отдыхом.
Поэтому перед началом лета мы запустили услугу технического сопровождения проектов. Она обеспечивает стабильную работу серверов 24/7, круглосуточный мониторинг, контроль использования ресурсов и оперативную реакцию на критические ситуации.
Стоимость минимального тарифа — 5000 ₽ в месяц, итоговая стоимость услуг рассчитывается индивидуально после оценки проекта.
firstvds.ru/services/server_support

Объектное хранилище S3: запуск дополнения к услуге и новые статьи

Недавно мы запустили «Объектное хранилище S3». В нём можно держать что угодно: от фотографий котиков до важных рабочих документов. А в мае у нас вышло дополнение к услуге — файловый менеджер.
firstvds.ru/blog/faylovyy-menedzher-s3
Кстати, до 10 июня (включительно) файловый менеджер находится на стадии тестирования. Вы можете помочь нам сделать его лучше — участвуйте, отправляйте фидбэк и получайте сертификат на пополнение баланса. Узнать подробнее.
Для тех, кто только знакомится с объектным хранилищем, мы подготовили несколько полезных статей и инструкций:

• Что такое объектное хранилище S3
• Как организовать резервное копирование в S3-хранилище для Битрикс
• Подключение S3-хранилища как виртуального диска в Windows

Защита сервера и сайта с помощью BitNinja

Теперь ваш хостинг и сайты могут быть под надёжной охраной 24/7, ведь мы запустили новую услугу — BitNinja. Это комплексное решение для защиты серверов от современных киберугроз.
Система работает в автоматическом режиме, круглосуточно анализирует угрозы и самостоятельно обучается новым методам защиты, блокирует SQL-инъекции и DDoS-атаки, защищает от взлома и вирусов, а также обнаруживает вредоносный код.
Установка займёт всего 15-20 минут. Минимальные требования: 1 ядро CPU, 1 Гб RAM и 1 Гб на диске.
firstvds.ru/blog/zapustili-uslugu-bitninja

Как начать работу с BitNinja на виртуальном сервере
Подготовили инструкцию, чтобы вам было проще разобраться с управлением. Из неё вы узнаете, как начать работу с BitNinja: от автоматической установки до базовых настроек безопасности для вашего сервера. А это статья для тех, кто не ищет лёгких путей в виде готовых решений.
firstvds.ru/technology/kak-nachat-rabotu-s-bitninja-na-virtualnom-servere
firstvds.ru/technology/bitninja-ruchnaya-ustanovka-i-rabota-cherez-cli

Топ новостей из мира технологий и безопасности


Волна новых угроз: от уязвимостей в процессорах Intel и GNU screen до критических дыр в OpenPGP.js, GitHub и бага в GNU sort, от атак веб-ботов через Magento до поддельных пакетов в PyPI. Безопасность данных оказалась под серьёзной угрозой, причём многие из этих уязвимостей остаются неисправленными месяцами, а то и годами, требуя срочных мер защиты.

Применение метода zip-бомбы для защиты от вредоносных веб-ботов
В последнее время увеличилась активность веб-ботов, которые занимаются индексацией сайтов. Помимо стандартных ботов, которые работают корректно, появились «агрессивные» боты, которые игнорируют правила индексирования robots.txt, используют десятки тысяч разных IP-адресов. Эти боты создают чрезмерную нагрузку на серверы, нарушают нормальную работу систем и отнимают время администраторов. Многие воспринимают активность таких ботов как вредоносную.
Для замедления работы подобных ботов, а также ботов, сканирующих уязвимости в типовых веб-приложениях, один из администраторов предложил метод «zip-бомбы». Его суть заключается в том, что веб-боту в ответ на запрос страницы передаётся содержимое, эффективно сжатое методом «deflate», размер которого при распаковке значительно превышает размер переданных по сети данных.
Однако этот метод не рекомендуется использовать, так как сайт может быть занесён в чёрный список Google и начать помечаться как вредоносный в браузере Chrome с включённым режимом «Safe Browsing».
xakep.ru/2025/05/06/pypi-malware-gmail/

На PyPI обнаружены вредоносные пакеты, использующие Gmail и веб-сокеты
Специалисты обнаружили в PyPI семь вредоносных программ, которые использовали SMTP-серверы Gmail и веб-сокеты для кражи данных и удалённого выполнения команд.
После обнаружения все программы были удалены. Однако некоторые из них находились в PyPI более четырёх лет, а одна программа была загружена более 18 000 раз.
Программы Coffin выдавали себя за легитимный пакет Coffin, который представляет собой лёгкий адаптер для интеграции шаблонов Jinja2 в проекты Django. Вредоносные функции программ были направлены на скрытый удалённый доступ и кражу данных через Gmail. Они использовали жёстко закодированные учётные данные для входа на SMTP-сервер Gmail и отправляли своим операторам информацию, собранную на компьютерах жертв. Поскольку Gmail является доверенным ресурсом, брандмауэры и системы EDR вряд ли сочтут такую активность подозрительной.
Исследователи полагают, что программы в основном были нацелены на кражу криптовалюты.
www.opennet.ru/opennews/art.shtml?num=63165

В ядре Linux обнаружена уязвимость, позволяющая получить повышенные права через VSOCK
Была продемонстрирована возможность создания эксплойта для уязвимости CVE-2025-21756 в ядре Linux, которая приводит к обращению к памяти после её освобождения. Эта проблема затрагивает сокеты с адресацией AF_VSOCK, используемые для сетевого взаимодействия между гостевыми системами и хостами.
Эксплойт работает на системах с ядром версии 6.6.75, для других версий требуется модификация. Уязвимость была устранена в ядрах 6.14 и февральских/мартовских обновлениях веток 6.12.16, 6.6.79 и 6.1.131.
Уязвимость была исправлена в SUSE/openSUSE, Ubuntu и Debian 12, но остаётся в Debian 11 и RHEL. Причина — некорректное уменьшение счётчика ссылок на объект vsock при переназначении транспорта.
xakep.ru/2025/05/05/old-magento-backdoors/

В сотнях магазинов на платформе Magento обнаружены уязвимости шестилетней давности
Специалисты Sansec обнаружили сложную атаку на цепочку поставок. В 2019 году 21 расширение для Magento было заражено бэкдором, который активировался в апреле 2025 года, взломав от 500 до 1000 онлайн-магазинов.
Злоумышленники получили контроль над ecommerce-серверами через PHP-бэкдор, добавленный в файлы проверки лицензии (License.php или LicenseApi.php). Бэкдор позволял загружать и выполнять PHP-код, что включало кражу данных, установку веб-скиммеров и создание новых учётных записей.
Компания MGS не ответила на предупреждение; Tigren заявил об отсутствии взлома; Meetanshi признал взлом сервера, но не расширений. Пользователям заражённых расширений рекомендуется проверить сервер и восстановить сайт из чистой резервной копии.
Sansec продолжает расследование и обещает предоставить дополнительную информацию. Одной из жертв стала «40-миллиардная транснациональная корпорация».
3dnews.ru/1122251/udalyonniy-dostup-k-windows-sodergit-diru-kotoruyu-microsoft-ne-sobiraetsya-ispravlyat/#681574a7742eece6148b456c

В удалённом доступе к Windows есть уязвимость, которую компания Microsoft не планирует устранять
Исследователи обнаружили уязвимость в протоколе RDP, позволяющую использовать устаревшие пароли даже после их изменения. Microsoft отказалась устранять проблему из-за риска совместимости, рекомендовав двухфакторную аутентификацию. Уязвимость затрагивает все версии Windows за последние два десятилетия. Независимый эксперт отметил, что поведение RDP нарушает принципы информационной безопасности, а облачные платформы Microsoft не фиксируют угрозу. Эксперты предупреждают, что это ставит под угрозу корпоративные сети, особенно в условиях удалённой работы.
3dnews.ru/1122251/udalyonniy-dostup-k-windows-sodergit-diru-kotoruyu-microsoft-ne-sobiraetsya-ispravlyat/#681574a7742eece6148b456c

Вредоносное ПО в Linux, стирающее все данные с дисков
Специалисты по безопасности обнаружили три вредоносных модуля Go с зашифрованным кодом для загрузки удалённой полезной нагрузки. Эти модули перезаписывают основной диск Linux нулями, делая систему невосстановимой.
Угроза выявлена в следующих пакетах:

• github.com/truthfulpharm/prototransform
• github.com/blankloggia/go-mcp
• github.com/steelpoor/tlsproxy

Пакеты проверяют запуск в Linux и загружают полезную нагрузку через wget. Вредоносный скрипт уничтожает данные на диске (/dev/sda), делая сервер неработоспособным.
Для снижения рисков рекомендуется проверять подлинность пакетов, авторов, ссылки на репозитории, регулярно проводить аудит зависимостей и контролировать доступ к ключам.
xakep.ru/2025/05/06/go-wiper/

Уязвимость в GNU screen
В GNU screen обнаружены пять уязвимостей, одна из которых (CVE-2025-23395) позволяет получить права суперпользователя. Ошибка затрагивает только версию 5.0.0, используемую в Fedora, Arch Linux, NetBSD, OpenBSD и Alpine. Она связана с тем, что при запуске с правами root одна из функций обрабатывает лог-файлы от имени обычного пользователя до сброса привилегий. Это позволяет заменить лог на символическую ссылку и записать данные в произвольный файл от имени root — например, подложить скрипт в системный каталог, который выполнится при следующем входе администратора.
Менее опасные уязвимости позволяют перехватывать терминалы, неправильно выставлять права на PTY-устройства, раскрывать содержимое закрытых каталогов, вызывать сбои через состояние гонки и неправильно обрабатывать строки.
Все проблемы нашли специалисты SUSE в ходе аудита. Разработчики screen не успели вовремя подготовить исправления, и SUSE пришлось выпускать часть патчей самостоятельно. Исследователи считают, что текущие мейнтейнеры проекта плохо ориентируются в его коде и не справляются с безопасностью.
www.opennet.ru/opennews/art.shtml?num=63226

Новые способы эксплуатации уязвимости Spectre-v2 в процессорах Intel
Исследователи из Амстердамского свободного университета обнаружили новый вектор атак класса Spectre-v2 — Training Solo. Эти уязвимости позволяют обходить защиту памяти и извлекать данные из ядра или гипервизора — даже без запуска вредоносного кода на стороне атакуемой системы. Атаки особенно опасны в виртуализированных окружениях: они позволяют гостевой системе читать память хоста.
Training Solo использует уязвимости в предсказании переходов, чтобы «запутать» процессор и получить доступ к чувствительной информации через кэш. В отличие от классического Spectre, здесь задействуется уже существующий привилегированный код, а не пользовательский.
Описаны три техники атаки, включая манипуляции с системным вызовом SECCOMP, коллизии в буфере предсказания переходов и аппаратные сбои в новых чипах Intel (CVE-2024-28956 и CVE-2025-24495). Скорость утечки достигает 17 КБ/с, а примеры эксплойтов опубликованы на GitHub.
Intel уже выпустила обновление микрокода с новой инструкцией IBHF для защиты, а также предложила меры для старых чипов. Атака не затрагивает процессоры AMD, а среди ARM уязвимы только старые модели.
www.opennet.ru/opennews/art.shtml?num=63227

Брешь в библиотеке OpenPGP.js
В OpenPGP.js обнаружена уязвимость CVE-2025-47934. OpenPGP.js — это JavaScript-библиотека для работы с протоколом OpenPGP, используемая в Proton Mail и других проектах. Уязвимость позволяет злоумышленнику отправлять изменённые сообщения, которые система воспринимает как подписанные. Функции openpgp.verify и openpgp.decrypt возвращают успешный результат, хотя содержимое сообщения изменено.
Уязвимость устранена в версиях 5.11.3 и 6.1.1, но не затрагивает OpenPGP.js 4.x. Она касается только процедур проверки подписи и расшифровки сообщений. Злоумышленник может создать поддельное сообщение, изменив исходное с действительной подписью.
Уязвимость не распространяется на подписи, переданные отдельно от текста. Для атаки достаточно одного подписанного сообщения и знания его содержимого.
www.opennet.ru/opennews/art.shtml?num=63278

Критическая уязвимость в GNU sort: риск выхода за пределы буфера
В утилите sort, входящей в состав GNU Coreutils, обнаружена уязвимость CVE-2025-5278. Эта уязвимость связана с целочисленным переполнением в функции begfield(), что может привести к обращению к данным за пределами буфера.
При использовании специально подготовленных параметров сортировки эта уязвимость может привести к аварийному завершению работы приложения или раскрытию конфиденциальной информации.
Проблема была обнаружена в версии 7.2 (2009) и пока не была исправлена.
www.opennet.ru/opennews/art.shtml?num=63320

Проблема сервере GitHub: утечка данных из закрытых репозиториев
В системе GitHub MCP Server обнаружена проблема, которая позволяет злоумышленникам получать доступ к конфиденциальной информации из закрытых репозиториев через специальных AI-ассистентов.
Протокол MCP используется для интеграции моделей искусственного интеллекта с API GitHub, предоставляя им доступ к информации из репозиториев.
Злоумышленник может создать публичный запрос на исправление ошибки в репозитории, который приведёт к раскрытию данных в запросе на включение. Например, сообщение об ошибке, требующее добавить информацию об авторе в README, может раскрыть личные данные и список закрытых репозиториев автора.
Для активации уязвимости владелец репозитория должен разрешить AI-ассистенту анализировать сообщения об ошибках.
www.opennet.ru/opennews/art.shtml?num=63322

P.S. Многие гениальные идеи начинались с ошибки.
Самые внимательные заметили, что в кнопке в прошлой рассылке (про тестирование S3 Manager) мы допустили аж 2 опечатки. Это была чистая случайность.
Но мы решили сделать из бага фичу: в следующих двух рассылках допустим ошибки уже намеренно, а из полученных букв можно будет составить слово-сертификат на баланс аккаунта FirstVDS. Так что следите!

Мы продлеваем тестирование S3 Manager до 10 июня (включительно) – у вас ещё есть время поучаствовать и получить сертификат на пополнение баланса!

Как получить бонус?

• Протестируйте функции продукта.
• Сообщите о багах или предложите улучшения в группе тестировщиков.
• Чем ценнее ваш вклад, тем больше сумма сертификата.

Часть исправленных багов и внедрённых фич:

• Реализована возможность удобного отображения объектов. Теперь для бакетов и папок, в которых размещено более 10 тысяч объектов, работает упрощённый режим визуализации, что облегчает навигацию и управление.
• Доработано скачивание объектов. Теперь оно происходит сразу после нажатия кнопки скачивания и даже после закрытия страницы. Убрано ограничение в 2 Гб на скачивание, а также соблюдается заданная иерархия (без создания лишних папок).
• Добавлены уведомления при достижении лимитов (объём и количество файлов в бакете), а также отображение этих лимитов и запрет на определённые действия при их достижении.

Спасибо, что помогаете нам создавать по-настоящему удобный инструмент!

t.me/+XQw5y_EL1WY0NjMy