Yandex Cloud

Что случилось
Уязвимость CVE-2026-53359 позволяет гостевой системе нарушить изоляцию среды виртуализации и повысить свои привилегии (guest to host escape) в среде KVM/x86. Насколько известно, это первая обнаруженная уязвимость, позволяющая использовать эксплойт перехода с гостевой системы на хост, который может быть активирован как на Intel, так и на AMD, а не только на одной архитектуре. Januscape — это уязвимость типа use after free в эмуляции ShadowMMU KVM/x86.

Подробное описание уязвимости
github.com/V4bel/Januscape/blob/main/assets/write-up.md
CVSS-рейтинг: на момент написания статьи не проставлен.

Влияние
Общее влияние:

• подвержен KVM, не зависит от QEMU;
• отключенная вложенная виртуализация (nested virtualization) сильно затрудняет эксплуатацию.

Влияния на сервисы и пользователей Yandex Cloud уязвимость не оказывает, поскольку:

• вложенная виртуализация (nested virtualization) выключена;
• аппаратная технология Extended Page Tables (EPT) включена.

Компенсационные меры
Мы применяем исправленные стабильные версии, выпущенные 04 июля 2026 года:

• 7.1.3
• 6.18.38
• 6.12.95
• 6.6.144
• 6.1.177
• 5.15.211
• 5.10.260.

Идентификатор CVE (CVE ID): CVE-2026-53359

Ссылка на CVE www.cve.org/CVERecord?id=CVE-2026-53359
Ссылка на NVD nvd.nist.gov/vuln/detail/CVE-2026-53359

Эту новость ждали целый год. Об этом спрашивали наши клиенты, эксперты из крупнейших компаний, CTO, CMO, CPO и многие‑многие другие.
И вот это произошло: мы открыли регистрацию на Yandex Scale 2026 — флагманскую технологическую конференцию Yandex Cloud.

Наша платформа значительно изменилась в этом году — и внешне, и внутренне. Поэтому мы берём новую планку и готовим для вас ещё больше прорывных кейсов, идей и открытий. Отмечайте дату: 24 сентября.

scale.yandex.cloud

Yandex Cloud — первая российская облачная платформа, подтвердившая* соответствие стандартам ГОСТ Р 57580.3‑2022 и ГОСТ Р 57580.4‑2022.
Это достижение значит, что защита информации и операционная надёжность находятся на высоком уровне.
yandex.cloud/ru/security/standards/gost-p-57580

Современные российские стандарты

• ГОСТ Р 57580.3‑2022 выдвигает требования к управлению рисками реализации информационных угроз. Стандарт определяет, как планировать, внедрять, контролировать и совершенствовать систему — от выявления угроз до реагирования на инциденты.
• ГОСТ Р 57580.4‑2022 выдвигает требования к обеспечению операционной надёжности. Документ устанавливает меры, которые помогают предотвратить сбои в работе систем и минимизировать последствия нарушений.

Платформа Yandex Cloud обеспечила соответствие этим стандартам сервисам всех категорий (IaaS, SaaS, PaaS) — управляемым базам данных, контейнеризации приложений, бессерверным вычислениям. После аудита сервисы получили высокие оценки.

Почему это важно
Актуально для клиентов финансового сектора
В первую очередь для системно значимых банков, кредитных организаций, финтех‑компаний и платёжных систем.
Укрепление доверия
Мы открыто демонстрируем, что наша инфраструктура соответствует актуальным отраслевым стандартам.
Подтверждение высокого уровня
Внедрённые процессы эффективны, а механизмы защиты информации соответствуют лучшим практикам и требованиям Банка России.

Ранее Yandex Cloud получила заключение о соответствии ГОСТ Р 57580.1-2017, сертификаты соответствия PCI DSS (Payment Card Industry Data Security Standard) и ISO 271001 и 21 Приказу ФСТЭК.
Надёжность сервисов Yandex Cloud — главный приоритет. По каждому сервису действуют соглашения об уровне обслуживания (SLA), а также выстроены процессы, обеспечивающие должный уровень отказоустойчивости. Это позволяет строить высокодоступные решения поверх облачной инфраструктуры.