Цены на дата-центры растут, а ИИ может сдристнуть в Казахстан



Я тут ванговал, что ЦОДы подорожают и будет дефицит стоек. И знаете, ЦОДы подорожали и появился дефицит стоек.

Удивительно, но если перестать строить дата-центры, то уже построенных не хватит. Могло показаться, что когда уйдут всякие западные компании, места освободится много. Да, было такое. Места хватило на месяц. Потом из дальних стран начали возвращаться российские компании.

Но давайте посмотрим, что происходит прямо сейчас. Первое и самое очевидное — дефицит ЦОДов сохраняется.

Цены на услуги выросли.

И тут же, как по команде, все кинулись искать ЦОДы в регионах.

Самое смешное в этой истории, что главный драйвер роста — ИИ-технологии (если что, по большей части так называют LLM-инференс). Предполагается, что каждому заводу нужно будет рядом по огромному ЦОДу, чтобы смотреть на конвейер или с помощью какой-нибудь китайской нейросетки, или от того же Яндекса, или ещё от кого-то. Я утрирую, но логика роста рынка именно такая.

Если ИИ сдристнет в Казахстан (из-за санкций) — эта модель порушится. Но пока возникают невероятно интересные штуки в регионах. Например, это ЦОДы-призраки, которые существуют, там можно арендовать стойку, но у них даже нет сайта. Потому что зачем?

Появилась даже профессия ЦОД-скаута. Это почти как риэлтор, только профессия полезная и требующая специальных знаний.

Всплыл такой модный тренд — Edge-вычисления, они же — граничные вычисления

Это вычисления, максимально близкие к заказчику, к источнику данных.

Поначалу это было важно тем, у кого Edge-соединение или спутник, чтобы не гонять трафик через центральный ЦОД, а считать на месте — около завода. Но назвали их так не в честь 2G.

Потом оказалось, что это что-то вроде CDN, только вместо C — вычисления. Те же городские серваки с Контр-Страйком — это Edge-вычисления до того, как это стало модным.

Но больше всего в перспективе это нужно для всяких AI-моделей, для работы с Big Data (чтобы не гонять то же самое «сырое» видео 4K по магистралям) и там, где важна минимальная задержка. Представьте, что вам нужно обработать гигабайтный снимок МРТ и получить результат немедленно, или данные с производства льются потоком.

Вот Edge и решает эту проблему. Это что-то вроде CDN, но если CDN — это про медиа и видео, то Edge — это про серьёзные вычисления. И да, это международный тренд, а не какое-то наше ноу-хау. Конечно, ЦОДы не строят только ради того, чтобы выиграть одну-две миллисекунды, но спрос на региональные ЦОДы для таких вот специализированных задач есть.

Для нас это важно. Годами в своей стратегии мы шли по пути максимального покрытия территорий, и сейчас у нас, пожалуй, самая большая сеть ЦОДов для облачных сервисов и виртуалок по России и зарубежью. И это важно, потому что, скажем, если вам нужен быстрый инференс (а европейские площадки для многих российских компаний заблокированы), то приходится искать решения здесь, в России. А чтобы они хорошо работали с зарубежными партнёрами, нужно и связность хорошую иметь, и географически быть не на краю света.

Так вот, региональные ЦОДы с их свободными (и более дешёвыми) мощностями — это один из факторов, который может немного охладить перегретый московский рынок.

В общем, мы годами шли в региональное покрытие, но не знали точно, зачем. Просто так чувствовали. Теперь начинаем догадываться.

Началась стройка новых ЦОДов (на самом деле — нет)

Все вокруг кричат, что строят, строят и строят новые ЦОДы. Планы грандиозные: на всех экономических и отраслевых форумах трубят, что в ближайшие три–пять лет введут чуть ли не 30 тысяч новых стоек. Звучит красиво, но в моменте, я думаю, дефицит всё равно сохранится. А вот через пять-шесть лет тренд уже удастся переломить.

Но если копнуть чуть глубже, узнав, что же именно они там строят, то найдётся много смешного.

Во-первых, некоторые строят документацию. Просто сидят и ждут снижения ставки ЦБ. Когда это произойдёт, можно будет взять кредит на землю и строительство или получить инвестиции. Это главный ограничивающий фактор: пока банк даёт больше по вкладу, чем возможные инвестиции, бизнес стоит.

Во-вторых, некоторые строят свои собственные корпоративные ЦОДы. И этот тренд — не только для гигантов. Я знаю примеры, когда даже крупные хостинг-провайдеры строят для себя. Почему? Да потому что это хороший вариант сэкономить! Внезапно оказалось, что аренда в Tier III ЦОДе очень дорогая. А у себя можно построить Tier II, и будет сильно дешевле. Можно даже Tier 1,5 из говна и палок. Если вынуть палки, то будет Tier I, II или Tier I. Зато туда можно поставить сервер. И вообще, многим ли нужен тот хвалёный аптайм, который к тому же сейчас стал понятием растяжимым?

Параллельно все сертификаты Tier III, по сути, обесценились. Все кому не лень пишут: «Соответствует Tier III», но это не проверяется, потому что Uptime Institute почему-то оказался не российской компанией.

Минцифра сейчас разрабатывает нормы для ЦОДов, как и для хостеров. Минстрой вот тоже вмешался: подгоняют ГОСТы к современным реалиям, чтобы строили хотя бы что-то похожее на ЦОД, а не клали сервера на кирпичах в ангаре.

То есть, по сути, все строят серверные, а не классические ЦОДы. Хостеры, особенно не самые крупные, смотрят на это дело и обзаводятся своими серверными, чтобы сэкономить на размещении и сохранить цены для клиентов.

А экономить можно только на палках для строительства дата-центра. Айпишники становятся только дороже, реклама — тоже, кадров у нас на рынке снова дефицит. Вот и строят свои мини-ЦОДы. Пусть там не будет супераптайма, зато дешевле. Даже крупные операторы переиспользуют бывшие телефонные станции. Хорошие же здания: стены есть, пол есть, потолок есть — всё в порядке.

Какой смысл, условно, платить какому-нибудь IXcellerate три миллиона в месяц, если, скажем, за 50 миллионов можно построить себе ангар, поставить туда сервера, и всё будет нормально работать. Отобьют за три–пять лет и ещё в плюсе останутся.

Раньше цены были не такие, разница была не столь ощутима.

Мы, кстати, сразу пошли по этому пути вот с этим ЦОДом. Конечно, своя инфраструктура — это куча геморроя, но экономически это целесообразно. Для себя мы решили, что один свой ЦОД — это хорошо, цифры радуют, но уходить на два-три своих — уже нет.

Наш любимый искусственный интеллект

Сейчас это главный драйвер спроса и одновременно источник рисков. С одной стороны — да: LLM и другие модели дико жрут мощности. Им нужно много железа. В Китае, например, сейчас просто бум строительства ЦОДов под ИИ.

Но тут есть пара жирных «но».

Во-первых, что если этот ИИ-хайп не оправдается? История помнит несколько «зим ИИ», когда развитие заходило в тупик и все ставки обнулялись. Похожая история была с биоинженерией: ждали клонов уже вчера, а тут — этические соображения и прочее. Сейчас на ИИ возлагают надежды, что он решит чуть ли не все проблемы человечества. А ну как он напугает людей и запустит ракеты по своим? Его же могут просто запретить, и вся активность заморозится. И куда тогда девать все эти построенные под ИИ мощности? Они хлынут на коммерческий рынок, и мы получим уже не дефицит, а избыток.

Думаю, через три–шесть лет это будет вполне реально. В смысле вероятность — выше 10 %.

Во-вторых, геополитика. Железо для ИИ, особенно топовые чипы от той же Nvidia, — это уже почти оружие. И производители открыто говорят, что будут ограничивать их работу по геопризнаку. Пример с Китаем мы уже видели. И что делать? Возить чемоданами жёсткие диски в Малайзию, там обучать модели, а результаты — обратно чемоданами? Это же цирк! А если и у нас так будет? Инвесторы, хедж-фонды собрали денег, построили ЦОД под ИИ где-нибудь на Байкале, а им и говорят: «Ребят, ваши карты здесь не работают». Остаётся перепрофилироваться под какой-нибудь майнинг или под коммерческие нужды. Вот вам ещё источник потенциального избытка.

Не зря же Яндекс уже заявляет, что будет строить дата-центр под ИИ в Казахстане. Значит, понимают риски и готовят пути отхода, если здесь станет туго или будут какие-то промежуточные CDN-подобные решения. Так что ИИ, который сейчас — главный драйвер, может легко стать головной болью. Да и, честно говоря, ожидания от ИИ, мне кажется, завышены. Думаю, что пик популярности пройдёт.

Невидимые ЦОДы и проблемы с маркетингом

Это чисто российская фишка.

Вот мы постоянно занимаемся поиском новых ЦОДов.

Оказалось, что многие из них, особенно региональные, просто не умеют продавать свои услуги. У них нет ни сайта, ни соцсетей, ни канала в Телеграме. Ни-че-го! Вы его не найдёте, даже если очень захотите и будете знать название.

Пример — Омск. Искали там ЦОД, нашли с помощью оператора связи: приличный, про Tier III не говорил, зато сразу чат, оперативная работа и многолетний положительный опыт сотрудничества с ним оператора. Встали, запустились, опубликовали новость об этом. В комментариях к нашему посту приходит другой ЦОД, о котором мы и не слышали. Его тупо не было в поиске. Оказывается, физически он существует, работает, и сайт у него есть. А те, кто о нём знал, нам его целенаправленно не предлагали: так как у них нет опыта работы с ним, они не стали его рекомендовать. Плюс они знали, что там нет нужного нам оператора. Тут мы не сравниваем площадки, но подчеркиваю, что и сравнить не получилось бы: просто мы сами не смогли его найти.

И таких невидимок по стране полно. Они стоят полупустыми, а могли бы закрыть часть спроса. Тут даже профессия такая появляется — дата-центр-брокеры: это люди, которые знают, где и за каким гаражом спрятался приличный ЦОД. Смешно, но это наша реальность.

На Западе такого нет: там крупные сети, у всех есть сайты, агрегаторы — всё прозрачно. У нас же этот рынок ещё дикий. Как только эти ЦОДы «оцифруются», начнут делать сайты, пытаться продавать, это тоже поможет сократить дефицит, потому что люди о них узнают и пойдут туда.

Прикольный рост SaaS
Интересно, что многие говорят про рост облачных технологий — SaaS и PaaS.

Но они ведь тоже не в вакууме существуют, а строятся на базе IaaS, то есть на инфраструктуре, на железе в ЦОДах. Так что спрос на базовые мощности со стороны облаков будет стабильным.

Смешной пример был с Infobox, которого недавно купил Ростелеком («Солар»). Все думали, что это гигантский провайдер, а оказалось, у них там всего один-два сисадмина и не так чтобы очень много железа. Это просто показатель того, насколько плотными стали вычисления. Если грубо прикинуть, то весь сегодняшний IaaS-рынок в России — это где-то 130 миллиардов рублей, что эквивалентно примерно 10 000 стоек. А планируют построить, напомню, ещё 30 тысяч!

Даже если IaaS вырастет в три раза — это будет 12 тысяч. А кто займёт остальные? Думают, что ИИ. Но если вычесть кэптивные ЦОДы, учесть, что ИИ могут «отменить» или он сам сдуется, то картина для строителей новых ЦОДов уже не такая радужная.

Общий прогноз
Думаю, что в ближайшую пару лет дефицит точно останется, пока все кэптивные ЦОДы не достроятся, пока Edge-вычисления, о которых заговорили-то всего год назад, не наберут оборотов.

Потом, через два–пять лет, рынок начнёт потихоньку охлаждаться.

А вот в долгосрочной перспективе, лет через пять-шесть, есть очень серьёзный риск, что из-за фактора ИИ мы получим избыток мощностей.

Все воспринимают дефицит как немедленное руководство к действию: «Бежим строить ЦОДы!» Но надо же считать. Так что, если кто-то хочет построить ЦОД, то ему надо очень хорошо подумать, зачем он это делает. Если у него свой хостинг, свой бизнес и он платит бешеные деньги коммерческим площадкам, то это одно. А если просто так, на хайпе, то можно и прогореть.

ruvds.com/ru-rub

Отключили сервер? Не работает VPN? Санкции? Сервер в Амстердаме за 2$ в месяц!



Сервер в Амстердаме по специальному тарифу:

1 Gb RAM / 1 core CPU 2.8 GHz / 10 Gb NVMe / 1 Tb трафик / выделенный IPv4 — по фиксированной цене 2$ в месяц.
  • Стоимость сервера сохраняется навсегда
  • Не более 1 сервера по специальному тарифу
  • Количество серверов ограничено
  • Скорость подключения к сети интернет 10 Гбит/сек
  • Доступны все сайты — свободный интернет
  • Оплата с рублёвой карты РФ, криптой, иностранной картой через Stripe
  • Готовые шаблоны VPN

Для заказа сервера достаточно зарегистрироваться на сайте vdsina.com
Наш чат в телеге t.me/vdsina

С уважением,
VDSina.com

vdsina.ru/?partner=bqadmsefvs
www.vdsina.com/?partner=562f641s99

Не тормозите себя — дайте сайту дышать свободно



Если у вас сайт, онлайн-сервис или телеграм-бот — выбор хостинга напрямую влияет на стабильность и скорость.

Разбираемся по-простому: что лучше и когда пора переходить на VPS?
  • Shared-хостинг — это как жить в коммуналке. Все делят кухню, ванну и счётчики. Дёшево, но тесно. Один шумный сосед — и весь дом не спит.
  • VPS — уже отдельная квартира. Всё под контролем: кто зашёл, где что стоит, и когда делать уборку — решаете вы.

Пора переходить на VPS, если:
  • Сайт начал тормозить, хотя раньше летал
  • Нужен root-доступ и своя конфигурация
  • Проект растёт — shared уже не тянет нагрузку

cloud4box.com

ЛЕТО ПРОДОЛЖАЕТСЯ! Скидки до 40% на услуги.


ЛЕТО ПРОДОЛЖАЕТСЯ!

Успейте воспользоваться нашими горячими предложениями!

✅ Скидка до 40% на аренду виртуальных серверов при оплате на год.
✅ Экономьте круглый год — скидки действуют даже на короткие сроки аренды.
✅ Приветственный бонус: получите сразу +1000₽ на счёт!
✅ Бонусы на каждый заказ: дополнительно начисляем ещё +15% от суммы вашего заказа, которые можно тратить на большинство услуг нашей компании, оплачивая до 20% стоимости услуг бонусами.

Почему выбирают именно нас?

— ☑ Надежность и стабильность работы ваших проектов.
— ✔ Высокое качество оборудования и круглосуточная техническая поддержка.
— ☑ Гарантированное снижение расходов благодаря нашим акциям и бонусам.
— ✔ Простота управления и удобный интерфейс личного кабинета.

Воспользуйтесь предложением прямо сейчас и убедитесь сами, насколько выгодно сотрудничать с нами летом!
https://elenahost.ru/skidki-i-akczii/

Friendhosting LTD: Jungle Sale от Friendhosting LTD. Скидки до 40% на vds



Jungle Sale от Friendhosting LTD. Скидки до 40% на vds
C 1 по 30 июля — специальные условия на VDS-серверы в рамках акции Jungle Sale. Это наше сезонное предложение для тех, кто ценит высокую производительность, стабильность и прозрачные тарифы. Ничего лишнего — только стабильность, производительность и полный контроль.
Friendhosting LTD — надёжный выбор для проектов любого масштаба. Мы предлагаем гибкие конфигурации, полный контроль над сервером и техническую поддержку, которой действительно можно доверять.
Jungle Sale — оптимальный момент для перехода на стабильный VDS-хостинг.

Для новых заказов
Не упустите свой шанс заказать Progressive NVMe VDS, Storage HDD VDS или виртуальный хостинг со скидкой 40%.
Для получения скидки во время заказа используйте промо-код jungle40
Обратите внимание, что скидка активируется исключительно для первого периода оплаты, поэтому для получения максимальной выгоды рекомендуем совершить заказ на максимальный период действия промо-кода, который составляет 3 месяцев.

Для существующих заказов
Если у вас уже есть активный заказ, то вы также можете получить скидки при его продлении. Продлевая vds или виртуальный хостинг на длительный период — 3, 6 или 12 месяцев, вы получаете скидку 3%, 5% или 10%, которая суммируется с вашей скидкой по программе лояльности до 25% (Подробнее о том как формируется скидка по программе лояльности читайте тут). Скидки применяются автоматически на последнем шаге оплаты без обращения в финансовый отдел.
Акция проходит с 01.07.2025 по 30.07.2025 года включительно.
friendhosting.net/ru/promo/jungle40.php

Открыт предзаказ на аренду выделенных серверов в Нидерландах (Амстердам)



Мы рады сообщить, что открываем предзаказ на аренду выделенных серверов в Нидерландах, г. Амстердам. Дата старта аренды — 1 августа 2025 года.

Индивидуальные конфигурации под любые задачи
Мы предлагаем гибкий подбор конфигураций серверов — под любые требования и проекты: от ресурсоемких приложений и высоконагруженных сайтов до корпоративных решений и инфраструктуры для разработчиков.

Надежный дата-центр в Амстердаме
Серверы будут размещены в современном дата-центре в Амстердаме с высоким уровнем отказоустойчивости, стабильными каналами связи и низкой задержкой как по Европе, так и в международных направлениях.

Начало аренды — с 1 августа 2025
Вы уже сейчас можете оставить предзаказ, чтобы гарантировать себе необходимую конфигурацию и ресурсы к моменту запуска услуги.

По вопросам конфигураций и оформления предзаказа — свяжитесь с нашей командой через тикеты в личном кабинете.

Не упустите возможность арендовать мощные выделенные серверы в одном из ключевых европейских IT-центров!

С Уважением,
Служба заботы о клиентах ООО «СервТех».
https://serv-tech.ru

Объектное хранилище S3



Запустили новую услугу — объектное хранилище S3. Это современное решение для безопасного хранения и управления данными. В отличие от традиционных файловых систем, S3 обеспечивает практически неограниченное масштабирование и доступ через API, что делает его идеальным для работы с большими объёмами информации. Данные размещаются в дата-центре IXcellerate с двойным резервированием на независимых серверах.

Объектное хранилище S3 идеально подходит:
  • для долгосрочного хранения редко используемых файлов: медиаконтента, метрик, дампов баз данных,
  • хранения бэкапов,
  • архивирования логов,
  • Data Lake и аналитики больших данных.
Хранилище оснащено встроенным файловым менеджером, что обеспечивает удобное и интуитивно понятное управление файлами.
1dedic.ru/knowledge_base/kak-nachat-rabotu-s-obektnym-khranilischem-s3

Стоимость аренды S3-хранилища составляет 750 рублей в месяц и включает объём 300 ГБ. Если указанный объём превышен, то дополнительные гигабайты оплачиваются отдельно — 2,5 рубля в месяц за каждый гигабайт.

Заказать услугу можно на сайте или в Личном кабинете.

Июнь — итоги тестирования S3 Manager, законопроект о хостерах и новые уязвимости в Linux

Лето в разгаре, и если вы уже сменили офисное кресло на шезлонг, а клавиатуру — на поднос с фруктами, то проектам и серверам приходится работать без выходных.



Чтобы вы могли спокойно отдыхать, мы следим за обновлениями, уязвимостями и новыми фишками: тестируем удобные инструменты, мониторим изменения в законах и разбираемся, как сделать вашу инфраструктуру надёжнее. А ещё — собираем для вас полезные статьи и новости, чтобы вы могли после отпуска легко вернуться в курс дела. Обо всём этом рассказали в июньском дайджесте.

Статьи и инструкции
Типы данных в MySQL

MySQL — одна из самых популярных систем управления реляционной базой данных с открытым исходным кодом. Она использует язык SQL и хранит записи в таблицах. При проектировании её архитектуры важно оптимально задать тип полей. В статье рассмотрели основные типы данных, доступные в MySQL.
firstvds.ru/technology/tipy-dannykh-v-mysql

8 лучших почтовых сервисов для работы и общения в 2025 году
Несмотря на популярность мессенджеров, email по-прежнему остается одним из универсальных инструментов для деловых переговоров, маркетинга и личного общения. Чтобы вам было легче выбрать подходящий, составили подборку из 8 лучших почтовых клиентов 2025 года.
firstvds.ru/blog/8-luchshikh-pochtovykh-servisov-dlya-raboty-i-obscheniya

Штрафы для хостеров и реселлеров в 2025 году: что изменится и как избежать миллионных санкций
В последнее время государство всё серьёзнее регулирует сферу хостинг-услуг. В статье рассказываем о недавнем законопроекте, который вводит новые штрафы для хостинг-провайдеров, а также разбираем вопрос, нужно ли реселлерам регистрироваться в госреестре, выполняя все требования для хостеров.
firstvds.ru/blog/shtrafy-dlya-khosterov-i-resellerov-v-2025

Habr: самое интересное за июнь
Этот месяц мы посвятили исследованию границ науки и технологии. Удивлялись тому, что мир теоретически может находится внутри чёрной дыры, и изучали новое доказательство для анализа математических поверхностей. Спойлер — там тоже про сингулярность. А ещё продолжили серию про DIY-роботов на FastAPI и вспомнили, почему даже гениальные идеи иногда терпят крах.
  • Наша Вселенная находится внутри сверхмассивной черной дыры — исследование
  • Новое доказательство позволило учёным без проблем анализировать эволюцию математических поверхностей
  • Веб-камера — глаза робота: пишу веб-приложение на FastApi для управления DIY-проектом. Часть 2
  • Карманный монстр Пола Аллена: как мини-компьютер за $2000 потерпел крах

Новости июня
Объектное хранилище S3: завершили тестирование файлового менеджера

Немного предыстории. В конце марта мы запустили услугу «Объектное хранилище S3», а в мае к ней вышло дополнение — файловый менеджер, который примерно до середины июня находился в режиме тестирования. Мы приглашали всех желающих поискать баги в работе S3 Manager и дарили сертификаты на пополнение баланса за конструктивную обратную связь.

Теперь, когда тестирование завершено, мы хотим поблагодарить всех участников за помощь и сказать, что всё это было не напрасно — ваши замечания уже помогли нам исправить часть багов. А сам файловый менеджер стал работать быстрее за счёт оптимизации различных процессов.
И ещё одна приятная новость. Мы не закрываем группу тестировщиков в телеграме. Она становится сообществом с замечаниями и пожеланиями к хранилищу S3 и менеджеру — будем на связи.
 https://firstvds.ru/services/s3

Отпуск без забот: чек-лист по проверке сервера.
На отдыхе совсем не хочется думать о работе и о том, что с ней связано. Поэтому перед уходом в отпуск рекомендуем провести небольшую подготовку — наш чек-лист поможет проверить, что вы ничего не забыли, а статья про телеграм-бота расскажет о том, как настроить быстрые уведомления и легко пополнять баланс, если вы из тех, кто любит держать под контролем ситуацию даже на пляже.

Топ новостей из мира технологий и безопасности
Июнь такой июнь. Принёс огромный букет… критических уязвимостей — от опасных дыр в популярных сервисах вроде Kea DHCP и cyrus-imapd, позволяющих нарушителям получать root-доступ, до масштабных угроз для WordPress и vBulletin, ставящих под удар сотни тысяч сайтов. Параллельно был разоблачен фейковый ИИ Natasha, а в Linux-экосистеме обнаружились критические баги в libblockdev, PAM и XML-обработчике.
На фоне этих событий становится ясно: лето — не время расслабляться, когда речь идет о кибербезопасности. Вот тут рассказали подробнее:

Уязвимости в libblockdev и PAM: получение прав root
Специалисты Qualys обнаружили две критические уязвимости:
  • в библиотеке libblockdev (CVE-2025-6019) — позволяет повысить привилегии до root через udisks,
  • в PAM (CVE-2025-6018) — даёт аналогичные возможности в openSUSE и SUSE Linux Enterprise.
Как это работает. Утилита udisks, которая используется в большинстве дистрибутивов Linux, по умолчанию разрешает операции с накопителями только пользователям с доступом allow_active (локальные сеансы). Однако злоумышленник может обойти это ограничение двумя путями:
Через systemctl, создав пользовательский сервис, который polkitd воспримет как локальный сеанс (требуется активный локальный пользователь).
Через уязвимость в PAM (актуально для openSUSE и SUSE), которую обнаружили в ходе анализа уязвимости в libblockdev. В этом случае локальный доступ имитирует подмена переменных XDG_SEAT и XDG_VTNR в ~/.pam_environment. То есть уязвимость позволяет любому пользователю, в том числе подключившемуся по SSH, выполнять операции в контексте «allow_active».
Создается loop-устройство с XFS-образом, содержащим SUID-файл. При изменении размера ФС libblockdev временно монтирует её без nosuid/nodev, позволяя выполнить вредоносный код. Обновления пока выпущены не для всех дистрибутивов — проверить статус можно на страницах Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo и Arch (1, 2).
Временное решение: изменить правило polkit, заменив allow_active=yes на auth_admin в файле /usr/share/polkit-1/actions/org.freedesktop.UDisks2.policy.
www.opennet.ru/opennews/art.shtml?num=63424

Критические уязвимости в libxml2: угроза выполнения произвольного кода
В популярной библиотеке libxml2, используемой для обработки XML-данных в проектах GNOME и сотнях Linux-пакетов (например, в 800+ компонентах Ubuntu), обнаружено пять уязвимостей, две из которых позволяют выполнить произвольный код.
Ключевые уязвимости:
CVE-2025-6170 — вызвана переполнением буфера в утилите xmllint, которое возникает за счет использования небезопасной функции strcpy() без проверки длины входных данных. Атакующий должен контролировать аргументы, передаваемые в xmllint. Патч пока не выпущен.
CVE-2025-6021 — вызывается целочисленным переполнением в функции xmlBuildQName(), записывая, как следствие, данные за пределами выделенного буфера. Исправления включены в выпуск libxml2 2.14.4.
К дополнительным уязвимостям относятся:
  • CVE-2025-49794: аварийное завершение из-за обращения к уже освобождённой области памяти в функции xmlSchematronGetNode,
  • CVE-2025-49795: разыменование NULL-указателя в xmlXPathCompiledEval,
  • CVE-2025-49796: неправильная обработка типов (Type Confusion) в функции xmlSchematronFormatReport.
Для их устранения оценивается возможность полного удаления поддержки Schematron из библиотеки.
Кроме этого, в libxslt (не поддерживаемой библиотеке) обнаружены три неисправленные уязвимости, детали которых обещают раскрыть 9, 13 июля и 6 августа 2025 года. Рекомендуем, следить за обновлениями libxml2 в нужном дистрибутиве и ограничить использование xmllint для обработки ненадёжных данных.
www.opennet.ru/opennews/art.shtml?num=63431

Уязвимости в DHCP-сервере Kea и IMAP-сервере Cyrus
В DHCP-сервере Kea (разрабатываемом ISC) обнаружены критические уязвимости:
  • CVE-2025-32801 – позволяет локальному пользователю выполнить произвольный код с правами root через REST API (kea-ctrl-agent), отправляя команду set-config для загрузки вредоносной библиотеки.
  • CVE-2025-32802 – даёт возможность перезаписать любой файл в системе через команду config-write в REST API.
  • CVE-2025-32803 – логи и файлы аренды IP-адресов доступны для чтения всем пользователям.
Kea по умолчанию запускается от root в Arch Linux, Gentoo, openSUSE Tumbleweed (до 23 мая), FreeBSD и NetBSD. В Debian, Ubuntu и Fedora используется непривилегированный пользователь.
Дополнительно: В openSUSE обнаружена уязвимость (CVE-2025-23394) в IMAP-сервере Cyrus, позволяющая пользователю cyrus повысить привилегии до root через скрипт daily-backup.sh. Проблема устранена в версии cyrus-imapd 3.8.4-2.1.
Обновления уже выпущены для большинства дистрибутивов.
www.opennet.ru/opennews/art.shtml?num=63324

ИИ “Natasha” оказался обычными индийскими программистами, а его создатели — банкротами
В конце мая британская компания Builder.ai, имеющая крупные филиалы в пяти государствах, объявила об обращении в суд, чтобы защитить себя от банкротства.
Эта компания привлекла внимание общественности своим уникальным подходом к разработке программного обеспечения с помощью искусственного интеллекта Natasha AI, который был создан для написания кода по запросам клиентов, освобождая заказчиков от необходимости писать код самостоятельно. Однако позже стало известно, что код писали реальные программисты, а искусственный интеллект был лишь прикрытием сомнительного ведения бизнеса.
Несмотря на разоблачение The Wall Street Journal в 2019 году, инвесторы продолжали вкладывать в компанию миллионы. В 2023 году Microsoft даже рассматривала интеграцию стартапа Builder.ai в свои сервисы.
В феврале 2025 новое руководство заявило, что проблемы компании вызваны не ИИ, а плохим финансовым управлением. А в мае кредитор Viola Credit заморозил значительную часть средств на счетах Builder.ai. Это обрушило работу компании в пяти странах (Великобритания, США, ОАЭ, Сингапур, Индия), вынудив уволить большую часть сотрудников и подать на защиту от банкротства.
3dnews.ru/1123614/ii-natasha-na-dele-okazalsya-sotnyami-programmistovindusov-ego-razrabotchik-promotal-dengi-microsoft-i-obankrotilsya/#68380e7b742eec5f738b4572

Уязвимость в cURL/libcurl
Разработчики curl выпустили обновление для устранения уязвимости средней степени опасности CVE-2025-5025. Проблема возникает при использовании TLS-библиотеки wolfSSL в сочетании с протоколом HTTP/3 и включенной функцией certificate pinning. В этих условиях злоумышленник может провести MITM-атаку, подменив сертификат сервера.
Уязвимость затрагивает только специальные сборки curl с wolfSSL, что редко встречается в стандартных дистрибутивах Linux. Основные пакеты обычно используют OpenSSL или GnuTLS и не подвержены этой проблеме. Для защиты рекомендуется обновить curl до версии 8.14.0 или новее. Пользователи могут проверить используемую TLS-библиотеку командой curl -V.
Риск эксплуатации низкий, так как атака требует выполнения нескольких специфических условий: наличие wolfSSL, использование HTTP/3 и ручное включение certificate pinning. Кроме того, злоумышленнику необходимо перехватить трафик и получить действительный сертификат. Сейчас не зафиксировано случаев реального использования этой уязвимости, поэтому для большинства пользователей угроза минимальна, но обновиться всё же рекомендуется.
www.linux.org.ru/news/security/17983178

Угроза для 100 000 сайтов на WordPress
Исследователи Patchstack обнаружили критическую уязвимость (CVE-2025-47577, 10/10 по CVSS) в плагине TI WooCommerce Wishlist, который установлен более чем на 100 000 сайтов. Проблема позволяет загружать произвольные файлы без авторизации.
Функция tinvwl_upload_file_wc_fields_factory некорректно проверяет загружаемые файлы из-за отключенных параметров test_form и test_type. Это позволяет загружать файлы любого типа, включая вредоносные PHP-скрипты. Для этого должен быть активен плагин WC Fields Factory и включена интеграция с TI WooCommerce Wishlist.
Плагин предназначен для создания списков желаний и их публикации в соцсетях, что делает его популярным среди WooCommerce-сайтов.
Поскольку обновления пока нет, единственный способ защиты — полное отключение уязвимого плагина. Владельцам интернет-магазинов следует предпринять меры немедленно.
xakep.ru/2025/05/30/ti-woocommerce-wishlist/

Критические уязвимости в vBulletin
В популярном движке форумов vBulletin обнаружены две опасные уязвимости (CVE-2025-48827 и CVE-2025-48828, оценка 9/10). Одна из них уже активно используется злоумышленниками. Баги затрагивают версии 5.0.0-5.7.5 и 6.0.0-6.0.3 на PHP 8.1+.
Суть угрозы в том, что через API можно вызывать защищённые методы, а ошибки в обработке шаблонов позволяют выполнить произвольный код. Исследователь EgiX показал, как это работает: уязвимость в replaceAdTemplate обходит фильтры, давая хакерам шелл-доступ.
Фактически эти уязвимости были закрыты в прошлогодних обновлениях: PL1 для ветки 6.* и PL3 для версии 5.7.5. Однако из-за того, что многие владельцы сайтов не обновили свои системы, угроза остается актуальной.
xakep.ru/2025/06/02/vbulletin-flaws/

Важная информация о блокировке Cloudflare в России



Блокировка Cloudflare в России
С 9 июня 2025 года российские интернет-провайдеры, включая Ростелеком, МегаФон, Вымпелком, МТС и МГТС, начали ограничивать доступ к веб-сервисам, защищенным Cloudflare. Пользователи могут загрузить только первые 16 КБ веб-ресурсов, что делает навигацию по сайтам практически невозможной.

Платформа Cloudflare не может восстановить нормальный доступ, так как ограничения введены провайдерами внутри страны и официальных уведомлений от властей компания не получала.

Если ваш сайт или инфраструктура пострадали от ограничений, первым шагом стоит проверить настройки DNS. Если ресурс размещён в нашей компании, мы рекомендуем использовать штатные DNS-серверы — это гарантирует корректную маршрутизацию, защиту от подмены записей и стабильную работу даже при внешних ограничениях.

DNS-серверы AdminVPS для делегирования доменов: ns1.adminvps.ru, ns2.adminvps.net, ns3.adminvps.ru, ns4.adminvps.net.

Если вы используете Cloudflare для проксирования, но хотите сохранить работоспособность сайта в РФ, временно отключите проксирование (оранжевое облачко) в настройках DNS и направьте трафик напрямую — через DNS-записи AdminVPS.