Хакеры не дремлют, но теперь у вас есть мощный союзник — BitNinja. Это интеллектуальная система защиты, которая:

• автоматически блокирует SQL-инъекции, XSS-атаки и спам,
• пресекает попытки взлома через уязвимости CMS,
• блокирует работу спам-скриптов и ботов,
• защищает от сканирования портов и подбора пароля для доступа к сайту,
• проверяет и обнаруживает вредоносный код в файлах сайта.

Почему выбирают BitNinja?

• Самообучающаяся система — чем больше атак, тем лучше защита.
• AI-сканер Сканирует файлы и ловит угрозы, прошедшие через другие ловушки.
• Мониторинг в реальном времени без нагрузки на администратора.
• Удобная панель управления с аналитикой и автоматическими отчётами.
• Всего от 949 ₽ в месяц — это дешевле, чем устранение последствий взлома!

Минимальные требования: 1 ядро CPU, 1 Гб RAM, 1 Гб на диске.
Не работает с тарифом «Прогрев» и ARM-серверами.
firstvds.ru/services/bitninja

Мы всё ещё активно дорабатываем S3 Manager – файловый менеджер для работы с хранилищем. И нам очень нужна ваша помощь, чтобы сделать сервис по-настоящему удобным и стабильным.
firstvds.ru/services/s3

Как можно поучаствовать?

• Тестируйте функции в разных сценариях.
• Сообщайте о багах и неочевидных моментах.
• Делитесь идеями – даже небольшие замечания будут важны.

За участие в тестировании мы подарим вам сертификат на пополнение баланса – его размер будет зависеть от вашего вклада.

Как присоединиться?
Вступите в группу тестировщиков. t.me/c/2014388506/3757
Присылайте обратную связь до 28 мая включительно.
Получайте сертификат – отправим его после завершения тестирования.
Помогите нам улучшить S3 Manager и получите вознаграждение за ваш вклад!

Запустили услугу, которая включает полный цикл сопровождения ваших проектов: от профилактики до устранения сбоев. Теперь можно спокойно уйти в отпуск и не беспокоиться о своих сайтах. Техническое сопровождение проектов — это профессиональное администрирование и мониторинг 24/7 в одном решении.

Мы обеспечим:

• стабильную работу серверов 24/7,
• круглосуточный мониторинг,
• контроль использования ресурсов,
• оперативную реакцию на критические ситуации.

А чтобы всё было максимально быстро и удобно — можем создать отдельный Telegram-чат для прямой связи с нашими специалистами. Вы сможете добавить в него всех, кто задействован в проекте: разработчиков, сисадминов и других коллег.

Стоимость минимального тарифа — 5000 ₽ в месяц, итоговая стоимость услуг рассчитывается индивидуально после оценки проекта. Чем больше сайтов и сложнее стек технологий или масштабнее проект, тем больше ресурсов требуется для мониторинга и оптимизации, поэтому точная цена определяется только после анализа ваших потребностей.

Оставить заявку можно в форме на сайте или в Личном кабинете в разделе администрирование. Мы свяжемся с вами в течение двух дней после заполнения заявки.
firstvds.ru/services/server_support
my.firstvds.ru/billmgr

Мы запустили бесплатное дополнение к услуге «Объектное хранилище S3». Теперь управлять файлами в хранилище стало проще — загружайте, копируйте и скачивайте файлы через интуитивно понятный веб-интерфейс.

А что ещё можно делать в файловом менеджере:

• Создавать бакеты в один клик.
• Загружать папки целиком (включая вложенные файлы).
• Копировать файлы между бакетами.
• Создавать ссылки на скачивание.

Работать с хранилищем можно даже с телефона, на выбор русский или английский язык интерфейса. Новый S3 Manager доступен в личном кабинете для всех пользователей, подключивших услугу «Объектное хранилище S3».
firstvds.ru/services/s3

Если у вас есть замечания или пожелания по улучшению сервиса, будем рады их услышать. Сервис находится в стадии MVP, и ваша обратная связь поможет нам сделать продукт лучше.

До 28.05.2025 включительно предлагаем вам поискать баги (как вы любите) и написать нам о них в специальной группе в телеграм t.me/+XQw5y_EL1WY0NjMy

Впереди майские, но если радостного настроения хочется прямо сейчас, скорее открывайте новый выпуск нашего дайджеста. Так вышло, что в этот раз мы собрали в него не только самое интересное, но и самое праздничное.



Далее расскажем о том, как мы отметили День космонавтики, и подведём итоги нашей фантастической акции. А ещё погрузим в торжественную атмосферу награждения на Национальной премии ЦОДы.РФ и вместе порадуемся за проект CLO, которому в апреле исполнилось 5 лет.

Начнем, пожалуй, традиционно с подборки свежих инструкций и полезных статей.

Статьи и инструкции
Циклы в bash
При составлении скриптов часто требуется повторять последовательность действий с объектами, которые имеют общие признаки (расположение, имя, размер). Либо выполнять такие действия, пока истинно конкретное условие. В языке bash, как и в большинстве языков программирования, для этих целей существует управляющая конструкция — цикл.
В статье рассмотрим три типа циклов bash: for, while и until, а также команды для управления ходом цикла — break и continue.
firstvds.ru/technology/cikly-v-bash

Переменные окружения в Linux
Гибкий инструмент, который используется для настройки поведения системы и приложений. Также он применяется для хранения информации, необходимой для работы программ и доступа к ресурсам. По сути, переменные окружения — это пары «ключ-значение», которые могут прописываться в конфигах, задаваться вручную или автоматически. В статье подробнее разберём, что это такое и как с ними работать.
firstvds.ru/technology/peremennye-okruzheniya-v-linux

Аккредитация IT-компаний в 2025 году: что изменится, кого и как это коснётся
Сотрудники IT-компаний знают, что работать в аккредитованной компании, значит, иметь право на определённые льготы от государства. Однако в 2025 году процедуру продления аккредитации ждут изменения. Разбираемся, какие нововведения ожидаются, как и на кого это повлияет.
firstvds.ru/blog/akkreditaciya-it-kompaniy-v-2025-godu-chto-izmenitsya-kogo-i-kak-eto-kosnyotsya

Habr: самое интересное за апрель
Когда человек в одиночку предотвращает глобальную угрозу, открытия переживают свои эпохи, а маленькие игроки бросают вызов корпорациям, чтобы отстоять идеалы, — это ли не повод для праздника? Ведь технологический прогресс пишется не только громкими победами, но и тихими подвигами, которые меняют правила игры. И об этом наша сегодняшняя подборка статей из блога на Хабре.

• Как один разработчик предотвратил крупнейшую кибератаку: история взлома XZ Utils
• Сияние светодиодов и лазеров
• Гений Марьям Мирзахани и её математическое наследие
• Firefox против гигантов: битва за интернет

Ищем авторов для блога на Хабр
Подготовьте статью на одну из специальных тем или отправьте материал на тему месяца. И если ваша статья подойдёт для блога, получите повышенный гонорар. Тема мая: законодательство в IT.
firstvds.ru/blog/vremya-pisat-stati-ischem-avtorov-dlya-blogov-i-bz

Новости апреля
Space Day: подводим итоги космической акции

Если мы отмечаем праздники, то обычно делаем это с размахом. Почти половину месяца длилась акция, которую мы запустили в честь Дня космонавтики. До 28 апреля каждый желающий мог приобрести эксклюзивный VDS Восток 3.0 и попытать счастья в космической игре, преодолевая самые разнообразные преграды по пути с Марса на Землю.
За успешное завершение миссии каждый путешественник мог получить классные призы — скидку на заказ новых VDS, сертификат на пополнение баланса, мерч с уникальным дизайном и крутой набор LEGO. Последний подарок — только за сбор поинтов, иначе говоря, достижений. И сегодня мы наконец определили тех, кому достанутся 5 крутых марсоходов из серии LEGO Technic.
firstvds.ru/blog/itogi-akcii-space-adventure-put-domoy

Национальная премия «ЦОДы.РФ 2024/2025»: победа в номинации «Золотое перо года»

7 апреля в банкетном зале Loft Hall прошла церемония награждения номинантов ежегодной Национальной премии ЦОДы.РФ — уже девятой по счёту.
Мы оказались в числе тех, кто не только дошел до финала, но и одержал победу — в номинации «Золотое перо года». Спасибо всем, кто голосовал за нас и поддерживал во время онлайн-трансляции. Вы лучшие!
firstvds.ru/blog/rdca-win-2025

День рождения проекта CLO: объявляем победителей розыгрыша

В апреле облачный проект CLO отметил своё 5-летие, запустив в честь праздника розыгрыш среди своих клиентов. Чтобы получить шанс выиграть приз, участник должен был иметь любую активную услугу от CLO на время проведения акции.
И сегодня пришло время подводить итоги и объявлять победителей, которые получат подарки:

• гранты на пополнение баланса,
• крутой фирменный мерч.

Великий рандом скоро определит счастливчиков — заглядывайте на страницу акции CLO после 15:00 по мск, чтобы узнать, кому же достанутся призы.
clo.ru/happy-birthday-2025

Топ новостей из мира технологий и безопасности


Уязвимости в ingress-nginx: выполнение кода и захват кластеров Kubernetes
В популярном ingress-контроллере ingress-nginx обнаружены критические уязвимости (CVSS 9.8/10), позволяющие злоумышленникам выполнять произвольный код и получать полный контроль над кластером Kubernetes. Проблемы, получившие название IngressNightmare, затрагивают около 43% облачных сред. Исправления выпущены в версиях 1.11.5 и 1.12.1.
Ingress-nginx служит шлюзом для доступа к сервисам Kubernetes извне. Уязвимости позволяют атакующему без аутентификации выполнить код в контексте контроллера, если доступен веб-обработчик Admission. В сети обнаружено более 6500 уязвимых кластеров Kubernetes, которые используют уязвимые контроллеры с обработчиком Admission.
Как происходит атака. Через специально сформированный ingress-объект злоумышленник может внедрить произвольные настройки в конфигурацию NGINX, используя параметры:

• mirror-target, mirror-host (CVE-2025-1098),
• auth-tls-match-cn (CVE-2025-1097),
• auth-url (CVE-2025-24514).

Например, через auth-url можно передать вредоносные команды, которые попадут в конфигурационный файл. Также при проверке конфигурации (nginx -t) загружаются вредоносные библиотеки с модулями, включая SSL-движки. Атакующий может отправить большой запрос, чтобы NGINX создал временный файл (который остаётся доступным через /proc) и указать путь к этому файлу в директиве ssl_engine, заставив NGINX загрузить вредоносный код. Сложностью может стать необходимость угадать PID и дескриптор файла, но в контейнере это возможно за несколько попыток простого подбора.
Специалисты рекомендуют, обновить ingress-nginx до 1.11.5 или 1.12.1. или отключить функцию Validating Admission Controller, если обновление невозможно.
www.opennet.ru/opennews/art.shtml?num=62946

Выпущен Exim 4.98.2 с исправлением уязвимости
Опубликовано обновление почтового сервера Exim 4.98.2, устраняющее уязвимость CVE-2025-30232, которая потенциально позволяет повысить привилегии. Возможность удалённой эксплуатации не подтверждена.
Уязвимость затрагивает версии начиная с Exim 4.96, включая Debian 12, Ubuntu 24.04/24.10, openSUSE 15.6, Arch Linux, Fedora и FreeBSD. RHEL и производные дистрибутивы не уязвимы, так как Exim отсутствует в их стандартных репозиториях (в EPEL обновление пока не доступно).
Причиной уязвимости стала ошибка типа use-after-free в pretrigger-обработчике. После освобождения памяти под буфер отладочных данных (debug_pretrigger_buf) указатель не обнулялся, что могло приводить к обращению к уже освобождённой памяти.
Чтобы избежать проблем с безопасностью, советуем установить обновление Exim 4.98.2.
www.opennet.ru/opennews/art.shtml?num=62960

Уязвимость EntrySign: затронуты даже Zen 5
AMD признала, что недавно обнаруженная уязвимость EntrySign оказалась гораздо масштабнее, чем предполагалось. Изначально считалось, что баг затрагивает только первые четыре поколения архитектуры Zen, но теперь выяснилось, что уязвимыми оказались и самые свежие процессоры Zen 5 — включая десктопные Ryzen 9000, серверные EPYC 9005 (Turin), мобильные чипы серии Ryzen AI 300, а также Ryzen 9000HX для игровых ноутбуков.
Уязвимость позволяет загружать неподписанные (вредоносные) обновления микрокода в процессор, обходя встроенный механизм проверки цифровой подписи. Проблема кроется в использовании алгоритма CMAC вместо криптостойкой хэш-функции, что позволяет подобрать коллизии и внедрить вредоносный код. Для атаки злоумышленнику требуется доступ к уровню ядра (Ring 0), что делает EntrySign особенно опасной в среде серверов и дата-центров.
AMD уже выпустила микрокодовые патчи в составе обновления ComboAM5PI 1.2.0.3c AGESA, направленные партнёрам и производителям плат. Однако финальные версии BIOS могут появиться у пользователей только через недели или месяцы. Также AMD предложила патч для ядра Linux, запрещающий загрузку неофициальных микрокодов. Владельцам систем с AMD SEV-SNP рекомендовано обновить прошивку.
3dnews.ru/1121112/amd-priznala-chto-vprotsessorah-zen-5-imeetsya-opasnaya-uyazvimost-entrysign/#67f81942742eec13c88b4572

WhatsApp для Windows: спуфинг-файл с исполняемым кодом
В мессенджере WhatsApp (версия для Windows) была устранена критическая уязвимость CVE-2025-30401, позволяющая выполнить произвольный код при открытии вложения с подделанными расширениями. Проблема заключалась в несоответствии между MIME-типом файла и расширением, что могло привести к выполнению скриптов и программ без ведома пользователя. Пользователям рекомендовано обновиться минимум до версии 2.2450.6.
xakep.ru/2025/04/08/whatsapp-code-execution/

WordPress-плагин OttoKit: массовая атака на 100 000 сайтов
Популярный плагин OttoKit (ранее SureTriggers), используемый более чем на 100 000 сайтов WordPress, оказался уязвим к обходу аутентификации (CVE-2025-3102). Баг позволяет атакующим без авторизации создавать новые учётные записи с правами администратора — достаточно отправить специальный HTTP-запрос с пустым полем st_authorization.
Атаки начались в течение нескольких часов после публикации PoC-эксплойта, и эксперты уже фиксируют попытки массового автоматизированного взлома. Всем пользователям OttoKit настоятельно рекомендуется обновиться до версии 1.0.79.
xakep.ru/2025/04/14/ottokit-auth-bypass/

Срок действия SSL-сертификатов сократят до 47 дней
CA/Browser Forum принял решение о поэтапном сокращении срока действия SSL/TLS-сертификатов. К 2029 году их срок службы сократится до 47 дней (а проверка домена — до 10). Это изменение поддержали крупнейшие браузеры и удостоверяющие центры (Google, Apple, Mozilla, Sectigo и др.).
Новая политика направлена на снижение рисков, связанных с устаревшими ключами и скомпрометированными сертификатами. Ожидается, что это вынудит компании внедрять автоматизированную ротацию сертификатов, сделав инфраструктуру интернета в целом надёжнее.
xakep.ru/2025/04/15/ca-browser-forum-voted/

SSH-уязвимость в Erlang/OTP: произвольный код на устройствах
В системе Erlang/OTP была найдена уязвимость CVE-2025-32433, которая позволяет злоумышленникам запускать произвольный код на устройствах с установленным SSH-демоном без авторизации. Эта проблема затрагивает все системы, использующие версии OTP ниже 27.3.3, 26.2.5.11 и 25.3.2.20. Уязвимость связана с неправильной обработкой сообщений протокола предварительной аутентификации в SSH-демоне.
Злоумышленники могут выполнять команды с правами суперпользователя, что может привести к компрометации системы.
Команда Horizon сообщает о том, что ей удалось воссоздать уязвимость и найти «поразительно лёгкий» метод её использования.
Эксперты рекомендуют обновить систему до исправленной версии или ограничить доступ к SSH до доверенных IP-адресов, а при невозможности установки патчей — временно отключить SSH.
xakep.ru/2025/04/18/cve-2025-32433/

Windows NTLM: выполнение произвольного кода на уязвимых устройствах
Уязвимость позволяет злоумышленникам осуществлять спуфинг-атаки, раскрывая NTLM-хеш, при распаковке вредоносного ZIP-архива. Для успешной эксплуатации достаточно выбрать или кликнуть на файл.
Уязвимость была использована в кампаниях, направленных на государственные и частные учреждения Польши и Румынии, с использованием вредоносных .library-файлов для сбора NTLMv2-хешей и повышения привилегий. Microsoft выпустила обновление 11 марта, но менее чем через две недели уязвимость уже применялась.
Организации должны немедленно устранить уязвимости NTLM, так как минимальное взаимодействие с пользователем делает эту угрозу серьёзной.
research.checkpoint.com/2025/cve-2025-24054-ntlm-exploit-in-the-wild/

WordPress: мошеннические плагины создают 1,4 млрд рекламных запросов в день
Human выявили серьёзную мошенническую схему Scallywag, которая позволяет пиратским веб-сайтам и ресурсам с короткими URL-адресами получать прибыль с помощью специальных плагинов для WordPress. Они создают огромное количество мошеннических запросов — пике активность достигала 1,4 миллиарда запросов в день.
Схема включает четыре плагина: Soralink, Yu Idea, WPSafeLink и Droplink. Злоумышленники перенаправляют пользователей через множество промежуточных страниц с рекламой на пиратский контент.
Многие сайты используют Scallywag через партнёрские соглашения, а не напрямую. Исследователи выявили схему через анализ трафика WordPress-блогов и заблокировали её, что привело к прекращению доходов Scallywag. В ответ операторы схемы пытались скрыться, но были обнаружены.
Сейчас трафик Scallywag практически нулевой, а её клиенты перешли к другим нелегальным методам монетизации.
xakep.ru/2025/04/22/scallywag/

Удостоверяющий центр SSL.com: уязвимость, позволяющая получить сертификат для чужого домена
В системе проверки владения доменом SSL.com была обнаружена брешь в безопасности, позволяющая злоумышленникам получать сертификаты TLS для любых доменов, зная адрес электронной почты владельца. Это происходит из-за ошибки в процессе подтверждения владения через DNS-запись.
Исследователь успешно получил сертификат для домена aliyun.com, используя домен d2b4eee07de5efcb8598f0586cbf2690.test.dcv-inspector.com и адрес электронной почты myusername@aliyun.com.
SSL.com временно заблокировал уязвимый режим и отозвал 11 сертификатов, выданных с его использованием, включая домены medinet.ca, help.gurusoft.com.sg и другие
Был отозван только сертификат для aliyun.com. SSL.com планирует опубликовать отчёт об инциденте до 2 мая.
www.opennet.ru/opennews/art.shtml?num=63116

Прослезилась, пока читала в тг-чате все поздравления с победой на ЦОДах — Алёна Морозова

17 апреля в банкетном зале Loft Hall прошла церемония награждения номинантов ежегодной премии ЦОДы.РФ — уже девятой по счёту. В этот раз местом проведения организаторы выбрали Санкт-Петербург вместо привычной Москвы. Мы тоже нарушили сложившуюся за последние годы традицию и рискнули участвовать в новой для нас номинации «Золотое перо года».

Номинация «Золотое перо года» помогает определить специалистов, чьи статьи, книги, или материалы помогли развитию отрасли ЦОД: изменили подходы к работе, сохранили и передали ценные знания или способствовали созданию отраслевых стандартов.

Борьба за награды была напряжённой, а голосование шло в два этапа — открытый до 17 марта и закрытый до 7 апреля. До финала дошли не все, а статуэтки получили лишь 12 избранных — по количеству номинаций. И мы оказались в их числе. На сцену за статуэткой поднялась Алёна Морозова, редактор FirstVDS.



Церемония награждения проходила в торжественной атмосфере: роскошные наряды, яркие выступления и тёплые поздравления. Каждый раз перед тем, как открывался новый конверт с именем победителя, весь зал замирал. Так что без волнительных моментов дело не обошлось. Впрочем, как и без сюрпризов от организаторов. Так, например, в качестве одного из ведущих в этот раз выступал искусственный интеллект.

Несмотря на то, что на саму церемонию можно было попасть только по приглашению, все желающие могли следить за происходящим в прямом эфире — на сайте премии шла онлайн-трансляция официальной части награждения.

От всей души благодарим всех, кто голосовал за нас и поддерживал во время трансляции! Ваша вера в нас вдохновляет на новые достижения, помогая нам становится лучше с каждым годом.

В апреле только и разговоров, что о космосе…

Сразиться с пиратами, починить пищевой 3D-принтер и преодолеть область «космической тени» — малая часть того, что вы можете сделать на пути к Земле до 28 апреля 23:59 по мск. Для этого надевайте оранжевый скафандр и стартуйте!

Ну а чтобы этот день космонавтики запомнился максимально, предлагаем вам приобрести лимитированный тариф Восток 3.0. Стоимость VDS не изменится на протяжении всего времени аренды сервера, и через пару лет вы оцените это вложение.

Лимитированные спецтарифы «Восток 3.0»
Гибкие диски от 100 до 240 Гб SSD или NVMe, до 128 IPv4 + бесплатная панель ispmanager 6 lite на первый месяц.
Локация — Москва или Амстердам.


Крутые призы за прохождение игры
На финише путешествия вас ждут — cкидка до 30% на заказ VDS, сертификат на баланс до 500 ₽
и возможность побороться
за LEGO Technic.


firstvds.ru/spaceday2025

Обсуждаем количество концовок, проводим расследование кто же рисовал картинки и написал музыку в игре в нашем телеграм-чате. Присоединяйтесь :) t.me/TakeFirst_chat

В честь Дня космонавтики запускаем акцию со скидками на виртуальные серверы, уникальными тарифами и…продолжением прошлогодней игры! В этот раз после долгой жизни на Марсе вам предстоит вернуться домой, на Землю.

Виртуальный помощник уже проложил курс, двигатели прогреты. Никаких гарантий, что это будет легко, но призы того стоят. Забирайте до 28 апреля:

Лимитированные спецтарифы «Восток 3.0»

• 6 CPU
• 10 Гб RAM
• от 100 до 240 Гб SSD или NVMe-накопителя
• Москва или Амстердам

Продолжение игры «Space adventure» с крутыми призами:

• скидка до 30% на покупку нового VDS
• до 500 ₽ на баланс
• крутецкий мерч
• LEGO Technic

firstvds.ru/spaceday2025

Кто в детстве не мечтал отправиться в настоящее космическое путешествие? В честь Дня космонавтики подарим вам такую возможность! 14 апреля 2025 года отправляйтесь вместе с нами

в увлекательное приключение и забирайте бонусы:

• лимитированный тариф Восток 3.0 от 1199 ₽/мес,
• до — 30% на заказ VDS,
• до 500 ₽ на баланс,
• эксклюзивный мерч,
• наборы Lego Technic.

Отправление состоится с космодрома FirstVDS 14 апреля 2025 года. Напомним о старте «ракеты» в нашем тг-канале, подписывайтесь!
t.me/TakeFirstNews

Месяц подходит к концу, а значит, пришло время очередного дайджеста. Март был слегка непредсказуемым — и по погоде, и по апдейтам, но вполне интересным для прохождения. И пусть порой хотелось «сохраниться» и начать всё сначала, считаем, что это было не зря. Мы набрались нового опыта и теперь готовы почти что ко всему. По крайней мере, к апрельским сюрпризам точно.

Спойлер, они на подходе.


А пока вы строите прогнозы, что ждёт в недалёком будущем, поделимся с вами свежими статьями и инструкциями, новостями компании и полезными лайфхаками — кто знает, может, они станут вашими чит-кодами на пути к следующему уровню, то есть месяцу.

Статьи и инструкции
Как установить Docker на Ubuntu
Кратко напомним, GitLab — веб-платформа управления репозиториями Git с широким набором инструментов. В ней есть встроенные возможности для непрерывной интеграции и развертывания кода (CI/CD), а также мониторинга и организации DevOps-процессов. Чтобы полностью контролировать ситуацию и настроить работу с репозиториями под себя, можно установить GitLab на сервер. В статье расскажем, как это сделать на примере с ОС Linux Ubuntu.
firstvds.ru/technology/ustanovka-gitlab-na-ubuntu

Примеры использования tcpdump в Linux
Утилита tcpdump — один из популярных инструментов командной строки для мониторинга сети в Linux. Помогает отладить сетевой трафик и провести его аудит, что может быть весьма полезным для устранения и профилактики потенциальных угроз безопасности. Подробнее о том, что умеет утилита и чем она может быть вам помочь, рассказали в статье.
firstvds.ru/technology/primery-ispolzovaniya-tcpdump-v-linux

Habr: самое интересное за февраль
Если вам нравятся неоднозначные материалы, обзоры «железа» или циклы статей на разные темы, то эта подборка точно для вас. Собрали всё самое любопытное — от фундаментальных открытий в информатике до практических гайдов по 3D и базовым концепциям реактивности.

• Студент опроверг 40-летнюю гипотезу в информатике
• 3D для каждого: Оптимизация модели. Часть 1, объяснительная
• Понимая реактивные системы: Производные, эффекты и оптимизация
• Подборка видеокарт для работы с несколькими мониторами: от бюджетных моделей до профессиональных устройств

Ищем авторов для блога на Хабр
Подготовьте статью на одну из специальных тем или отправьте материал на тему месяца. И если ваша статья подойдёт для блога, получите повышенный гонорар.
Тема апреля: лайфхаки для гиков.
firstvds.ru/blog/vremya-pisat-stati-ischem-avtorov-dlya-blogov-i-bz

Новости марта
Запустили услугу «Объектное хранилище S3»
 
Буквально на днях у нас появилась новая услуга «Объектное хранилище S3». Теперь можно надёжно хранить десятки гигабайтов данных и при этом иметь к ним быстрый доступ. Места хватит и для медиафайлов с простыми веб-сайтами, и для критически важных резервных копий.
Масштабирование происходит без перерывов в работе хранилища. А сама услуга удобна тем, что позволяет легко интегрировать хранилище в существующие инфраструктуру по API.
firstvds.ru/services/s3

Национальная премия «ЦОДы.РФ 2024/2025»: стартовал второй этап голосования

Если вы следите за нашими новостями, то уже знаете, что в этом году мы участвуем в Национальной премии «ЦОДы.РФ», которая ежегодно собирает профи, работающих в российской отрасли ЦОД. Два наших номинанта успешно прошли первый этап голосования и перешли во второй, который продлится до 7 апреля.
Хотим сказать огромное спасибо всем, кто уже проголосовал за нас. И просим проверить, учтён ли ваш голос за наших номинантов. А если не голосовали, но хотели бы поддержать нас, ещё не поздно принять участие. Чтобы облегчить процесс, мы подготовили подробную инструкцию, как это сделать.
Напоминаем, что проголосовать можно сразу за двух кандидатов:

• Алёна Морозова — «Золотое перо года»
• Евгений Остапенко — «Хостер года»

Будем рады вашей поддержке!
firstvds.ru/rdca24-25

Топ новостей из мира безопасности

В марте было много всего интересного — начиная с прорыва Amazon в квантовых вычислениях с процессором Ocelot и релиза FreeBSD 13.5, видимо, последнего в этой ветке, и заканчивая повышенной активностью ИИ-ботов, которые вызвали сбои в работе популярных опенсорсных проектов KDE, GNOME, Fedora. Всё это не считая уязвимостей в трёх известных библиотеках или таких системах, как Pagure и OBS. Об этом и не только рассказали в новостях:

Amazon представила квантовый процессор Ocelot
Ocelot решает одну из ключевых проблем квантовых вычислений — снижение аппаратных затрат. Процессор использует гибридную архитектуру, объединяющую два типа кубитов: кошачьи кубиты и трансмоны. Кошачьи кубиты устойчивы к ошибкам переворота бита, а трансмоны корректируют ошибки, связанные с фазовым сдвигом. Такая комбинация обеспечивает стабильность вычислений и снижает количество ошибок.
Процессор Ocelot состоит из двух кристаллов площадью 1 см2 каждый, на которых размещены сверхпроводящие материалы, формирующие квантовые схемы. Чип включает 14 компонентов: пять кошачьих кубитов, пять буферных схем и четыре трансмона для обнаружения ошибок. Осцилляторы, используемые для хранения квантовых состояний, изготовлены из сверхпроводящего тантала, что повышает их производительность.
Компания уверена, что Ocelot ускорит создание практичного квантового компьютера, устойчивого к ошибкам, на пять лет.
3dnews.ru/1119000/amazon-predstavila-kvantoviy-protsessor-ocelot-v-kotorom-reshila-odnu-iz-glavnih-problem-kvantovih-vichisleniy/#67c15acb742eece25e8b456f

Уязвимость в Python-библиотеке, насчитывающей 40 млн загрузок в месяц
В популярной Python-библиотеке JSON Logger, ежемесячно загружаемой более 40 млн раз, обнаружена уязвимость CVE-2025-27607. Она позволяла злоумышленникам подменять зависимость при установке через PyPI, что могло привести к выполнению произвольного кода на системах, использующих этот пакет. Проблема устранена в версии 3.3.0, выпущенной 7 марта 2025 года.
Уязвимость возникла из-за наличия в списке необязательных зависимостей библиотеки msgspec-python313-pre, которая была удалена её авторами из PyPI в декабре 2024 года без предупреждения. Это позволило злоумышленникам загрузить в каталог PyPI пакет с тем же именем, который автоматически подключался при установке JSON Logger с опцией разработки (pip install python-json-logger[dev]). Исследователь, обнаруживший проблему, подтвердил возможность выполнения стороннего кода, зарегистрировав поддельный пакет.
Ранее администраторов PyPI неоднократно предупреждали о рисках, связанных с удалением проектов, чтобы избежать инцидентов, подобных left-pad, и предотвратить атаки через цепочку поставок (supply chain). Однако предложения о запрете удаления пакетов не были реализованы, что оставило возможность для повторной регистрации и эксплуатации уязвимостей.
www.opennet.ru/opennews/art.shtml?num=62856

Релиз FreeBSD 13.5
После шести месяцев разработки выпущен финальный релиз FreeBSD 13.5, завершающий ветку 13.x. Поддержка этой версии продлится до 30 апреля 2026 года. Параллельно развиваются ветки FreeBSD 14 (следующий релиз 14.3 запланирован на 3 июня 2025 года) и FreeBSD 15, первый выпуск которой ожидается в декабре 2025 года.
Основные изменения:

• Jail-окружения: Добавлена возможность запуска утилит sysctl и ip6addrctl в контексте изолированных Jail, что упрощает управление параметрами ядра и сетевых настроек для контейнеров.
• ZFS: В инсталляторе bsdinstall появилась возможность редактирования параметров создания ZFS-пулов, включая выбор алгоритма сжатия.
• LLVM: Компиляторы и инструменты LLVM обновлены до версии 19.1.7.
• UFS1: Решена проблема 2038 года, теперь файловая система поддерживает даты до 2106 года.
• Сетевые драйверы: Добавлена поддержка алгоритма AIM (Adaptive Interrupt Moderation) для драйверов igc и e1000, что улучшает производительность UDP и снижает нагрузку на CPU.
• Облачные платформы: Улучшена поддержка Oracle Cloud Infrastructure (OCI), Amazon EC2 и Vagrant, включая увеличение размера виртуальной памяти до 8 ГБ.
• Обновления ПО: Версии OpenSSH, Unbound, SQLite, libarchive и других компонентов обновлены до последних стабильных выпусков.

Устаревшие функции:

• В FreeBSD 15 прекратится поддержка 32-разрядных платформ (кроме armv7), драйвера AGP и инструментария gvinum.
• Утилита shar для создания самораспаковывающихся архивов признана устаревшей из-за потенциальных рисков безопасности.
• Среда рабочего стола KDE удалена из установочных образов из-за проблем совместимости с OpenSSL 1.1.1.
• Архитектуры и образы

FreeBSD 13.5 поддерживает архитектуры amd64, i386, armv6, armv7, aarch64, riscv64 и другие. Также доступны образы для виртуализации (QCOW2, VHD, VMDK) и облачных платформ.
Этот релиз завершает эпоху FreeBSD 13.x, открывая путь к новым возможностям в ветках 14 и 15.
www.opennet.ru/opennews/art.shtml?num=62857

В библиотеке FreeType обнаружена критическая уязвимость
Специалисты Facebook сообщили о 0-day уязвимости (CVE-2025-27363) в библиотеке FreeType, используемой для рендеринга шрифтов (применяется в Linux, Android, игровых движках, GUI-фреймворках и онлайн-платформах). Проблема, оцененная в 8,1 балла по шкале CVSS, позволяет злоумышленникам выполнять произвольный код удаленно. Уязвимость затрагивает все версии FreeType до 2.13.0.
Ошибка связана с некорректной обработкой подглифовых структур в шрифтах TrueType GX и переменных файлах. Это приводит к переполнению буфера и возможности записи данных за его пределами, что может быть использовано для выполнения произвольного кода.
Проблема была устранена в версии FreeType 2.13.0, выпущенной в феврале 2023 года. Однако исследователи предупреждают, что уязвимость уже эксплуатировалась в атаках. Рекомендуется обновить библиотеку до актуальной версии 2.13.3.
xakep.ru/2025/03/14/freetype-0day/

GitLab устранил опасные уязвимости в библиотеке ruby-saml
Команда GitLab выпустила обновления для своих версий Community Edition (CE) и Enterprise Edition (EE), чтобы устранить критические уязвимости в библиотеке ruby-saml. Проблемы (CVE-2025-25291 и CVE-2025-25292) могли позволить злоумышленникам обходить механизмы аутентификации, использующие SAML Single Sign-On (SSO).
Причиной уязвимостей стали различия в обработке XML-документов парсерами REXML и Nokogiri. Это создавало условия для атаки типа XML Signature Wrapping (XSW), при которой злоумышленник мог подделать SAML-ответ и выдать себя за другого пользователя. Для успешной эксплуатации уязвимости атакующему требовался доступ к одной из действующих учетных записей, что могло привести к компрометации данных или несанкционированному повышению привилегий.
Исправления включены в версии ruby-saml 1.12.4 и 1.18.0, а также в GitLab CE/EE 17.7.7, 17.8.5 и 17.9.2. Пользователям, которые управляют своими инсталляциями (self-managed), рекомендуется не откладывать установку обновлений вручную. Для клиентов GitLab.com и GitLab Dedicated обновления применены автоматически.
GitHub, обнаруживший уязвимости, подчеркнул, что его платформа не пострадала, так как библиотека ruby-saml не используется с 2014 года. Тем не менее проблема актуальна для других проектов, где применяется эта библиотека. Помимо этого, GitLab устранил еще одну серьезную уязвимость (CVE-2025-27407), связанную с возможностью удаленного выполнения кода через функцию Direct Transfer, которая по умолчанию отключена.
xakep.ru/2025/03/14/ruby-saml-bugs/

Перегрузка инфраструктуры открытых проектов из-за ИИ-скраперов
Крупные open-source проекты, включая KDE, GNOME, Fedora, Codeberg и SourceHut, столкнулись с перебоями в работе из-за агрессивного сканирования ИИ-индексаторами (скраперов). Эти боты собирают данные для обучения нейросетей (например, Claude 3.7 от Anthropic с веб-поиском), игнорируя правила robots.txt и создавая чрезмерную нагрузку.
Среди основных проблем выделяют:

• Массовые запросы: ИИ-скраперы работают в многопоточном режиме, не соблюдая ограничения.
• Обход блокировок: боты маскируются под обычные браузеры (подменяя User-Agent) и используют распределённые сети IP-адресов.
• Угроза безопасности инфраструктуры: особенно страдают Git-хостинги, форумы и Wiki, не рассчитанные на высокую нагрузку.

Ситуация усугубляется тем, что каждая компания использует свой скрапер, что приводит к созданию общей нагрузки на элементы инфраструктуры и разнообразным последствиям для открытых проектов. Например, у GNOME только 3% запросов прошли проверку, остальные — боты, у Fedora наблюдаются сбои в Pagure из-за атак, а также заблокированы целые подсети, включая IP Бразилии, у KDE перегружен GitLab из-за ботов Alibaba, маскирующихся под MS Edge. И это только часть подобных последствий. Проблемы возникли и у платформы совместной разработки SourceHut, развиваемой Дрю ДеВолтом (Drew DeVault), автором пользовательского окружения Sway. Вместо того, чтобы развивать свои проекты, специалистам приходится тратить время на поиск решений для возникших проблем. Так можно отметить «AI Labyrinth» — ловушку для ботов от Cloudflare", выдающую фейковый контент ботам и запускающую повторную обработку данных.
www.opennet.ru/opennews/art.shtml?num=62925

Уязвимости в Pagure и OBS угрожают безопасности Fedora и openSUSE
Исследователи из Fenrisk обнаружили критические уязвимости в системах Pagure (используется Fedora) и Open Build Service (OBS, применяется в openSUSE), которые позволяли злоумышленникам модифицировать пакеты в официальных репозиториях.
Выявлено 4 уязвимости в Fedora, все они требуют наличия учётной записи в Pagure, которую довольно легко получить. Три проблемы позволяют прочитать файлы в системе, а одна — выполнить свой код на сервере:

• CVE-2024-4981, CVE-2024-47515 – чтение произвольных файлов через символьные ссылки (например, конфигурации администратора).
• CVE-2024-4982 – обход ограничений каталога (/../../) для доступа к системным файлам (например, /etc/passwd).
• CVE-2024-47516 – выполнение произвольного кода через инъекцию в параметры Git.
• Злоумышленник мог перезаписать .bashrc пользователя git, выполнив код с его правами, что давало контроль над репозиториями пакетов Fedora. Уязвимости были оперативно устранены (в течение 3 часов после уведомления).

Что касается уязвимости в OBS (openSUSE), то она (CVE-2024-22033) предполагает CVE-2024-22033 инъекцию команд в сервис obs-service-download_url через параметры wget. Через подмену URL в конфигурации пакета злоумышленник мог читать/записывать файлы (--output-document, --post-file) и запускать произвольный код, используя .wgetrc и prove. Это позволяло получить доступ к ключам подписи пакетов.
Команда безопасности openSUSE считает угрозу преувеличенной, так как сборка происходит в изолированных контейнерах. Уязвимость актуальна только для локальных установок OBS.
Обе уязвимости устранены, но инцидент подчеркивает риски, связанные с инфраструктурой сборки дистрибутивов.
www.opennet.ru/opennews/art.shtml?num=62928

Опасная уязвимость в Apache Tomcat активно эксплуатируется злоумышленниками
На прошлой неделе в Apache Tomcat обнаружили опасную уязвимость (CVE-2025-24813). Она позволяет выполнять произвольный код на сервере (RCE) через простой PUT-запрос. Уже через 30 часов после публикации информации в сети появились первые эксплойты, и начались активные атаки. Проблема затрагивает версии 11.0.0-M1 – 11.0.2, 10.1.0-M1 – 10.1.34 и 9.0.0.M1 – 9.0.98. Она стала причиной масштабных кибератак по всему миру. Эксперты предупреждают о необходимости срочного обновления систем.
Как это работает. Злоумышленники используют простую, но эффективную схему. Отправляют на сервер специально сформированный PUT-запрос с вредоносным Java-кодом (в base64). Код сохраняется в файловом хранилище сессий Tomcat под видом легитимных данных. Последующий GET-запрос с поддельным JSESSIONID приводит к выполнению кода.
Разработчики Apache выпустили обновлённые версии, устраняющие проблему: 11.0.3 и выше, 10.1.35 и выше, 9.0.99 и выше. Администраторам также рекомендуется:

• как можно скорее установить обновления,
• отключить поддержку partial PUT,
• проверить настройки безопасности.

Специалисты считают, что это только первая волна атак. По их мнению, возможно появление новых вариантов атак, включая установку скрытых бэкдоров.
xakep.ru/2025/03/18/apache-tomcat-rce-attacks/

В 2024 году в экосистеме WordPress выявлено около 8000 уязвимостей
Согласно отчету компании Patchstack, специализирующейся на безопасности WordPress, в 2024 году исследователи обнаружили 7966 уязвимостей в экосистеме этой популярной CMS. Подавляющее большинство проблем (96%) касались плагинов, тогда как на темы приходилось лишь 4% от общего числа.
Краткая статистика:
Ядро WordPress: затронуто всего 7 уязвимостей
Популярные плагины:

• 1018 уязвимостей в плагинах с более 100 000 установок
• 115 проблем в плагинах, установленных более 1 млн раз
• 7 критических уязвимостей в плагинах с 10 млн+ установок

Уровень опасности:

• 69,6% уязвимостей – низкий риск эксплуатации
• 18,8% – могли использоваться в целевых атаках
• 11,6% – активно эксплуатировались или представляли высокую угрозу
• Только треть проблем получила высокие или критические оценки по шкале CVSS.

Типы уязвимостей:

• XSS (межсайтовый скриптинг): 47,7% случаев
• Нарушения контроля доступа: 14,19%
• CSRF (межсайтовая подделка запроса): 11,35%

Требования для эксплуатации:

• 43% уязвимостей – не требовали аутентификации,
• 43% – нужны были низкие привилегии (например, роль подписчика),
• 12% – требовали прав администратора или редактора.

Проблемы с исправлениями:
33% обнаруженных уязвимостей оставались неисправленными даже после публичного раскрытия информации. Аналитики Patchstack призвали разработчиков плагинов оперативнее выпускать обновления для защиты пользователей.
Несмотря на большое количество уязвимостей, большинство из них не представляли серьезной угрозы. Однако риск атак остается высоким из-за медленного внедрения исправлений в популярных плагинах.
xakep.ru/2025/03/19/wordpress-bugs-2024/