Несколько раз в год мы запускаем их… эксклюзивные тарифы.

И в этот раз мы подготовили VDS First John 2.0. Тарифы являются лимитированными, их можно приобрести только в период акции «В поисках заветного желания: 22 года FirstVDS!» до 16 декабря 23:59 по мск.

• Виртуализация KVM.
• Запускаются на базе процессоров Xeon Scalable (до 3.2 ГГц) и AMD EPYC (до 3.4 ГГц).
• Локация на выбор — Москва или Амстердам.
• Панель ispmanager 6 lite бесплатна в первый месяц.

firstvds.ru/actions/birthday-wish-2024#tariff-first-john

firstvds.ru/actions/birthday-wish-2024

Готовы отправиться в путешествие, полное тайн и сюрпризов?

6 декабря нашей компании исполняется 22 года, и мы приглашаем вас принять участие в этой экспедиции!

Когда и где

• Место отправления: сайт FirstVDS.
• Дата начала экспедиции: 6 декабря 2024 года.
• Время сбора: после 10:00 по мск.

Подписывайтесь на наш телеграм-канал, чтобы не пропустить старт!

Спецтарифы Восток 2.0
Настоящее путешествие сквозь эпохи.

Спецтарифы Восток 2.0
Розыгрыш легендарного масштаба — на кону исполнение желания на полмиллиона рублей.

Спецтарифы Восток 2.0
Ну и, конечно, ценные сокровища для тех, кто готов проявить дух настоящего искателя (сертификаты на баланс, промокоды и фирменный мерч)!

Важное предупреждение:
Дресс-код в стиле великих археологов приветствуется! (Шляпы, жилеты и дух неистового поиска приключений – это именно то, что нужно!)

Благодаря дайджесту мы заметили, что пролетел ещё один месяц. Уже одиннадцатый в этом году. После этой новости резко запахло мандаринами и сразу захотелось произнести волшебное «господа, а давайте уже после январских».



Но ещё рано растекаться в предпраздничном блаженстве. Впереди важный забег — целый месяц доделывания дел и закрытия хвостов.

Что-то мы начали уже в ноябре, об этом и рассказываем в дайджесте.

Статьи и инструкции


Запрет на использование и рекламу VPN: миф или реальность?
В интернете периодически появляются статьи, утверждающие, что использование и реклама VPN-сервисов запрещены. Причина кроется в некоторых изменениях законодательства, касающихся VPN.
Мы обратились к нашим юристам, чтобы разобраться в этом вопросе. Возможно, не всё так однозначно, и использование этих сервисов остаётся законным, следовательно, нет причин для волнения?
Что такое VPN, какие изменения произошли в законах, кого они касаются, и действительно ли запрещены реклама и использование VPN-сервисов, читайте в нашей новой статье.
firstvds.ru/blog/zapret-na-ispolzovanie-i-reklamu-vpn-mif-ili-realnost

Установка ПО в ispmanager
При установке панели ispmanager пользователю сразу доступен некий базовый набор ПО — стандартная сборка «из коробки», функциональности которой может не хватить для решения задач конкретного проекта. Поэтому в панели предусмотрена возможность установки альтернативного или дополнительного ПО.
В статье на примере VDS с Ubuntu 22 мы рассмотрим, какие варианты изменения базового набора доступны в панели версии 6 в редакциях Lite, Host и Pro. Материал будет полезен и тем, кто использует другую ОС, так как отличия небольшие и не влияют на логику работы с ПО.
firstvds.ru/technology/ustanovka-po-v-ispmanager

Habr: самое интересное за ноябрь
Когда дело касается выпуска материалов в блог на Хабре, нашим авторам неведомы никакие преграды. Кажется, даже в новогоднюю ночь они одной рукой будут держать бокал с шампанским бенгальский огонь, а второй — писать статьи. Такие вот увлечённые люди.
Но до этого ещё целый месяц, пока можно посмотреть, какие статьи были самыми рейтинговыми в ноябре. Остальные тоже можно почитать, хоть в дайджест они и не попали.
habr.com/ru/companies/first/articles/

Новости ноября

Тариф «CPU.Турбо 2.0» теперь и на AMD Ryzen 9 9950X
Теперь тариф «CPU.Турбо 2.0 запускается не только на базе AMD Ryzen 9 7950X, но и на флагманских процессорах AMD Ryzen 9 9950X с архитектурой Zen 5.
Кратко о VDS на базе новых AMD Ryzen 9 9950X:

• 16 ядер,
• частота до 5,7 ГГц,
• быстрые NVMe-накопители,
• водяное охлаждение.

Тариф «CPU.Турбо 2.0» отлично подходит для проектов с высокими требованиями к производительности, а также для работы с продуктами 1С-Битрикс.

Кибер Бэкап: новые условия предоставления услуги
С 1 декабря 2024 года изменятся условия остановки и удаления услуги «Кибер Бэкап».
Списание за «Кибер Бэкап» будет всё так же производиться 1 числа месяца за предыдущий месяц использования услуги. Если на 1 число баланс счёта уйдёт в минус, то пользователю поступит уведомление о том, что через 7 календарных дней услуга будет приостановлена.
Если по истечении периода приостановки баланс счёта так и не будет пополнен, то услуга удалится вместе со всеми данными. После удаления восстановить данные будет уже нельзя.
Пожалуйста, учитывайте это при планировании расходов и пополнении баланса.

Новости от проекта CLO: подключение хранилища S3 как виртуального диска в ОС Windows
Теперь на проекте CLO хранилище S3 можно подключить в ОС Windows как виртуальный диск. Работа с файлами в таком хранилище не будет отличаться от работы с обычным логическим диском.
Виртуальный диск можно использовать для синхронизации данных между двумя компьютерами, для облачного бэкапа файлов и для других задач, где требуется сетевое хранение информации.
clo.ru/help/setup-guides/s3-disk-windows

Топ новостей ноября из мира безопасности
Ну и раз месяц подходит к концу, пора рассказать о том, какие новые критические уязвимости были обнаружены, какие патчи выпущены, а главное — какие последствия могут быть, если вовремя не принять меры и не обновиться. Хотя в свете последних событий, как оказалось, не все обновления могут быть полезны, особенно, если они автоматические.

Опасная уязвимость нулевого дня в ОС Windows исправлена сторонним разработчиком
Уязвимость затрагивает учётные данные NTLM, используемые для сетевой аутентификации.
В январе 2024 года Microsoft устранила связанный с этой проблемой недостаток CVE-2024-21320, однако эксперт по кибербезопасности из Akamai обнаружил, что патч можно обойти, если отправить пользователю файл темы Windows и убедить провести над ним некоторые действия. Всё это может привести к утечке данных даже без открытия файла.
Как следствие, регистрация новой уязвимости CVE-2024-38030 (была устранена в июле). Далее специалисты Acros Security проанализировали ситуацию и выявили ещё одну опасную уязвимость, касающуюся всех актуальных версий Windows, включая 24H2. Чтобы злоумышленник мог ей воспользоваться, пользователю требуется выполнить определённые действия, например, переместить файл темы или посетить вредоносный сайт, откуда файл может скачаться автоматически.
Специалисты Acros Security уведомили Microsoft и выпустили собственный микропатч, устраняющий проблему. Представители Microsoft пообещали принять необходимые меры для защиты пользователей.
3dnews.ru/1113310/v-windows-ntlm-obnarugena-uyazvimost-nulevogo-dnya-kotoruyu-zakril-storonniy-razrabotchik

Автообновление Windows Server может привести к серьезным проблемам
Неожиданное автоматическое обновление с Windows Server 2022 до версии 2025 может привести к значительным проблемам для компаний и системных администраторов. В начале ноября на платформе Reddit пользователи оставляли сообщения о том, что их серверы обновились без возможности возврата к предыдущей версии.
Хотя такая миграция может показаться положительной на первый взгляд, для IT-отделов это создает множество сложностей, так как обновленную ОС следует тщательно проверять на совместимость с уже установленным ПО. Один из системных администраторов, известный под ником Fatboy40, утверждает, что все его серверы были обновлены до Windows Server 2025, для использования которой требуется новая лицензия.
Согласно свежим данным от Heimdal, существует вероятность ошибки на стороне Microsoft. Обновление с идентификатором KB5044284 связано с Windows 11, а не с Server 2025. Более того, переход на новую версию не имеет официальной поддержки, и администраторы не могут вернуться к предыдущей версии ОС без применения сторонних инструментов для восстановления данных из резервных копий.
servernews.ru/1113795/

Уязвимость в плагине WordPress угрожает миллионам сайтов
В плагине Really Simple Security (ранее Really Simple SSL) для WordPress обнаружен критический баг, которая угрожает безопасности 4 млн сайтов, предоставляя злоумышленникам возможность полностью компрометировать систему. Эксперты компании Defiant обозначили уязвимость как одну из наиболее значительных за 12 лет своей работы.
Уязвимость (CVE-2024-10924) с баллом 9,8 по шкале CVSS позволяет обойти процесс аутентификации из-за неправильной обработки пользовательских данных и уязвимости в REST API. Проблема затрагивает версии плагина от 9.0.0 до 9.1.1.1, включая бесплатные и платные версии, такие как Pro и Pro Multisite.
Разработчики были оповещены о данной угрозе 6 ноября, и в последующие дни, 12 и 14 ноября, были выпущены патчи. В связи с рисками команда WordPress.org приняла меры для принудительного обновления плагина до безопасной версии 9.1.2. Администраторам сайтов настоятельно рекомендуется проверить наличие обновлений, так как около 3,5 миллиона сайтов могут оставаться под угрозой атаки.
xakep.ru/2024/11/18/really-simple-security-auth-bypass/

Уязвимость в needrestart позволяет получить root-права в Ubuntu Server
В утилите needrestart, которая применяется в Ubuntu начиная с версии 21.04 и существует свыше 10 лет, были обнаружены пять уязвимостей (CVE-2024-48990, CVE-2024-48991, CVE-2024-48992, CVE-2024-10224 и CVE-2024-11003). Они позволяют злоумышленникам получить права root без участия пользователя.
Уязвимости сохранялись с версии 0.8, выпущенной в апреле 2014 года, и были устранены лишь на этой неделе в новой версии 3.8. Каждая из уязвимостей позволяет запускать произвольный код с правами root при наличии предварительного локального доступа. Эти атаки могут происходить через манипуляцию переменными среды (такими как PYTHONPATH и RUBYLIB), использование состояния гонки или чрезмерно щадящую обработку имен файлов в используемых библиотеках.
Исследователи подчеркивают повышенный риск эксплуатации этих недостатков в системах, где needrestart широко применяется. Рекомендуется обновить утилиту до версии 3.8 или новее, а также изменить настройки в файле needrestart.conf, отключив функцию сканирования интерпретаторов, чтобы избежать возможных угроз.
xakep.ru/2024/11/21/needrestart-lpe/

У нас классные новости: теперь тариф «CPU.Турбо 2.0» запускается не только на базе AMD Ryzen 9 7950X, но и на флагманских процессорах AMD Ryzen 9 9950X с архитектурой Zen 5.

Кратко о VDS на базе новых AMD Ryzen 9 9950X:

• 16 ядер,
• частота до 5,7 ГГц,
• быстрые NVMe-накопители,
• водяное охлаждение.

Всё это делает тариф «CPU.Турбо 2.0» максимально подходящим для проектов с высокими требованиями к производительности, а также для работы с продуктами 1С-Битрикс.

firstvds.ru/hosting/bitrix

Мы переработали и обновили «Соглашение об уровне сервиса» и «Публичную договор-оферту».
Что изменилось:
1. Добавлено понятие «Минимального периода», на который может быть заказана услуга.
2. Уточнены условия о порядке расчётов и оплаты услуг.
3. По каждой оказываемой услуге уточнены условия:

• метод оплаты (авансовый, по факту потребления и т.д.);
• минимальный период, на который может быть заказана услуга;
• расчётный период;
• период приостановки услуги.

Изменения вступят в силу 21 ноября 2024 года, но вы уже можете ознакомиться с обновлёнными документами в разделе «Документы». Пожалуйста, сделайте это.
firstvds.ru/company/documents

Хэллоуин уже закончился, но Великий Древний не торопится погружаться в сон. Он похитил тыквы, летучих мышей и призраков, и теперь ему по вкусу пришлись наши промокоды!

Успейте заказать VDS со скидкой 25% по промокоду (на 1, 3, 6 или 12 месяцев), пока Ктулху не унёс его в чертоги Р’льеха. Забрать и активировать промокод можно до 13 ноября 2024 года.

Скидка 25% на заказ нового VDS

• Скидка действует только при заказе нового сервера в дата-центрах на территории Москвы в готовой конфигурации как «Старт», «Разгон», «Отрыв» и «Улёт», тарифов «CPU.Турбо 2.0», «Форсаж 4.0», «Атлант 3.0» и «Storage 2.0», а также нового сервера с NVMe-накопителями в дата-центре на территории Амстердама в готовой конфигурации как «Старт», «Разгон», «Отрыв» и «Улёт», а также тарифа «Форсаж 4.0».
• Промокод не распространяется на заказ VDS Прогрев, VDS-LXD-ARM и тарифы реселлеров.
• Оплата определенного периода автоматически не фиксирует стоимость услуг на этот период, фиксируется срок скидки.
• Использовать скидочный промокод можно для заказа любого количества новых серверов.
• Срок активации промокода — с 31.10.2024 10:00 по мск до 13.11.2024 23:59 по мск.
• Сервер со скидкой нужно оплатить до 13.11.2024 включительно.
• Скидка распространяется только на ресурсы: CPU, RAM, HDD, SSD или NVMe-накопители.
• При отказе от сервера по акции скидка не переносится на другие услуги.
• Предложение не действует одновременно с другими скидками на виртуальные серверы.
• Скидка не распространяется на дополнительные услуги: канал, защиту от DDoS-атак, адреса IPv4 и IPv6, автобэкапы, панель ISPmanager и другие дополнительные услуги.

Как активировать промокод

CTHULHUFHTAGN

firstvds.ru/#vds-tariffs

Если вам нужно настроить корпоративную почту на своём домене, то такая возможность есть в панели ispmanager.

В чём преимущества такой почты и как её создать — можно почитать в нашем блоге. Материал будет полезен не только тем, кто планирует создавать почту на своём домене с нуля, но и в случае, если у вас уже есть корпоративная почта на других сервисах, таких как «Яндекс 360» или Mail.ru, поскольку мы покажем, как перенести её на свой VDS.

И напоминаем, что сейчас проходит совместная акция с ispmanager: при аренде нового VDS на панель управления ispmanager 6 lite в первый месяц будет действовать скидка 100%. В акции участвуют все тарифные планы, кроме VDS ARM, Storage и серверов для Windows.
firstvds.ru/actions/ispmanager_lite_v_podarok

Специально для этого Хэллоуина провели не одну сотню оккультных обрядов по призыву скидок. И что-то однозначно получилось.

Уже завтра, 31 октября в 10:00 по мск, призовём в этот мир:

• Промокоды со скидкой 25% на заказ новых VDS.
• Сертификаты на баланс номиналом 150 рублей.

 
Количество сертификатов — 2000 штук. Чтобы не пропустить старт акции и успеть забрать 150 рублей на баланс, заводите будильники или включайте уведомления в нашем тг-канале.
t.me/TakeFirstNews

В октябре было столько дел, столько дел: попытаться смириться с нехваткой витамина D, повздыхать о наступающих холодах, поработать, ещё поработать и… опять поработать.



В промежутках между всеми делами октября мы читали Лавкрафта — по работе, конечно же! Ведь скоро Хэллоуин, но об этом расскажем отдельно ;) А пока посмотрите, что мы успели за этот месяц.

Статьи и инструкции
Как создать и настроить свой VPN на сервере
В современном цифровом мире защита информации стала критически важной. Пользователи сталкиваются с угрозами, кибератаками и утечками данных. В этом контексте VPN-сервисы играют ключевую роль в обеспечении безопасности и конфиденциальности личной информации.
В статье рассказываем, как создать и настроить свой VPN на сервере: что такое Xray и 3-XU, как подобрать домен для обеспечения конфиденциальности, как настроить панель 3X-UI и т. д.
Если тема для вас актуальна, то заходите в нашу Базу знаний — собрали все материалы в раздел «VPN».
firstvds.ru/technology/kak-sozdat-i-nastroit-svoy-vpn-na-servere
firstvds.ru/technology?&utm_term=all-active#vpn

Гайды по Bash
Bash — одна из наиболее популярных командных оболочек в операционных системах семейства *nix: Linux, Unix и других.
Мы решили добавить в Базу знаний целый раздел с гайдами по Bash. На данный момент готово уже 5 материалов, ещё пара выйдет в ближайшее время.
firstvds.ru/technology?&utm_term=all-active#gaydy_po_bash
Если пойдёте читать, то начинать советуем с этой статьи — в ней рассказываем, что такое Bash, об областях применения bash-скриптов и показываем, как написать и запустить простой bash-скрипт.
firstvds.ru/technology/bash-skripty-linux

Habr: самое интересное за октябрь
В дайджест попадают самые-самые статьи из нашего Хабра. Чтобы посмотреть все материалы, подписывайтесь на блог FirstVDS.

• Часы Уоррена: устройство, которое совершило революцию в электросетях
• Почему троичные вычисления лучше двоичных
• Почему не взлетели дискеты 3M?
• Подборка механических клавиатур: 5 беспроводных моделей для работы и творчества

Новости октября


Увеличение диска в VMmanager 6 без перезагрузки сервера
Чтобы наши пользователи могли оперативно решать проблему нехватки места и при этом не прерывались на перезагрузку сервера — мы добавили новую функцию. Теперь для виртуальных серверов в кластере с VMmanager 6 доступна опция увеличения дискового пространства без необходимости перезагрузки.
Чтобы увеличить диск, достаточно перейти в Личный кабинет, выбрать нужный сервер, нажать «Изменить» и указать необходимый объём. Подробнее рассказываем в инструкции.
firstvds.ru/technology/kak-uvelichit-razmer-diskovogo-prostranstva-na-virtualnom-servere-firstvds-s-os

Обновлённый рецепт для TeamSpeak
Из-за новостей о блокировке Discord мы обновили рецепт для TeamSpeak. Теперь он доступен для большинства других операционных систем: Alma Linux 8/9, Debian 11/12, Rocky Linux 8/9, Ubuntu 22.04/24.04, Oracle 8/9 и CentOS 9 Stream.
Выбрать рецепт можно при заказе VDS на сайте или при изменении настроек работающего сервера в Личном кабинете. Рецепт автоматически развернет на VDS нужное вам ПО, останется только скачать клиент с сайта TeamSpeak и приступить к работе.
Важный момент: установить TeamSpeak с помощью рецепта можно только на чистый сервер. Если на вашем сервере установлено какое-то ПО, например, панель ispmanager — воспользуйтесь нашей инструкцией по ручной установке сервера TeamSpeak.
firstvds.ru/technology/recipes/teamspeak

Топ новостей октября из мира безопасности

Октябрь начался с новостей, мимо которых не смогли пройти — об удалённых уязвимостях в CUPS, уязвимости в libnv во FreeBSD и в Netfilter в Linux.
firstvds.ru/blog/svezhee-iz-mira-bezopasnosti-uyazvimosti-v-cups-libnv-i-netfilter
Но это не всё. Месяц продолжился новостями, которые вызывали наш интерес не только со стороны «как защититься», но и со стороны — «это интересно!».

Вирус Perfctl эксплуатирует закрытые уязвимости и заражает тысячи Linux-серверов
Вирус Perfctl начал скрытно майнить криптовалюту в 2021 году. Он заразил уже тысячи Linux- серверов, используя более 20 тысяч ошибок конфигурации. Опасность заключается в сложно обнаруживаемых механизмах его работы и большом наборе действий, который он может выполнять. Так, например, он может эксплуатировать закрытую уязвимость Apache RocketMQ (CVE-2023-33246) с уровнем угрозы 10 из 10. Безопасники считают, что потенциально вирус может негативно повлиять на миллионы устройств.
Perfctl маскируется, работает в фоновом режиме и делает многое другое, чтобы избежать обнаружения пользователем. Он контролирует зараженные машины, изменяя имена файлов и используя уязвимость Gpac мультимедийного фреймворка. Для передачи информации на сервер атакующей стороны, Perfctl шифрует и удаляет все двоичные файлы. Он также создает сокет Unix и сохраняет каталоги с данными о процессах, журналах и местоположении копий. Признаки заражения включают всплески загрузки процессора и замедление работы системы. Чтобы предотвратить заражение, необходимо исправить уязвимость CVE-2023-33246 и проверить конфигурации на ошибки.
3dnews.ru/1112046/opasniy-virus-perfctl-zarazil-s-2021-goda-tisyachi-sistem-pod-linux-i-eshchyo-millioni-pod-ugrozoy

Уязвимость в pam_oath, дающая возможность получить права root в системе
В PAM-модуле pam_oath, который входит в состав пакета oath-toolkit, была обнаружена уязвимость (CVE-2024-47191), позволяющая обычным пользователям получить права root. Этот модуль функционирует с правами root и использует файл /etc/users.oath для хранения OATH-ключей, доступных исключительно для пользователя root. С версии 2.6.7 была добавлена возможность размещать файлы с ключами в домашних каталогах пользователей.
Проблема заключается в том, что pam_oath не сбрасывает привилегии при работе с файлами в пользовательских каталогах. После успешной аутентификации модуль создает lock-файл и новый файл с расширением ".new", но не проверяет существование уже имеющегося файла. Это создает возможность для злоумышленников создать символическую ссылку на важный системный файл, такой как /etc/shadow. В результате успешной аутентификации pam_oath может перезаписать этот файл новыми данными и изменить его владельца на пользователя, который создал ссылку.
Уязвимость была исправлена в версии 2.6.12 и затрагивает лишь конфигурации, где файлы размещены в домашних каталогах. Недавно также была обнаружена другая уязвимость (CVE-2024-9313) в PAM-модуле Authd, которая позволяет пользователям подменять свою идентичность, и она была устранена в версии Authd 0.3.5.
www.opennet.ru/opennews/art.shtml?num=61987

Уязвимость в CUPS может быть использована для усиления трафика при DDoS-атаках
Специалисты Akamai обнаружили уязвимость в компоненте cups-browsed. Она позволяет злоумышленникам усиливать трафик во время DDoS-атак. При отправке запросов на открытый порт 631 злоумышленники способны увеличить объем трафика до 600 раз. В интернете зафиксировано более 198 тысяч уязвимых устройств.
В отличие от остальных подходов, в данном случае не требуется подделка адресов. Процесс cups-browsed загружает PPD-файлы с внешних серверов по неавторизованным запросам, что дает возможность добавлять данные и увеличивать IPP URI до 989 байт.
На 62% из исследованных систем cups-browsed отправлял минимум 10 запросов на целевую систему в ответ на один UDP-запрос, что в среднем приводит к увеличению трафика в 600 раз. Также была зафиксирована рекордная DDoS-атака, достигшая 3.8 терабит в секунду, организованная с использованием скомпрометированных маршрутизаторов и других устройств.

Критическая уязвимость в WordPress-плагине Jetpack угрожает 27 млн сайтов
Разработчики плагина Jetpack выпустили патч для критической уязвимости, позволяющей вошедшим пользователям получать доступ к формам, отправленным другими посетителями. Уязвимость затрагивает все версии Jetpack начиная с 3.9.9, выпущенной в 2016 году.
Automattic подготовила исправления для множества версий Jetpack, включая 13.9.1 и более ранние. Рекомендуется проверить и обновить плагины на сайтах.
Разработчики утверждают, что нет доказательств использования уязвимости, но советуют установить исправления как можно скорее. Технические детали не раскрываются, чтобы пользователи успели обновиться.
www.opennet.ru/opennews/art.shtml?num=62008

Международная академия связи предлагает запретить SpeedTest в РФ
Международная академия связи выдвинула инициативу о запрете использования сервиса SpeedTest от компании Ookla операторами в России. Причиной этого являются опасения по поводу возможной передачи данных в иностранные спецслужбы и увеличения вероятности кибератак. Госдума и ФСБ поддержали эту инициативу. Если данный софт будет удален из сетевых инфраструктур, конечные пользователи лишатся возможности точно измерять скорость интернет-доступа. На его место можно рассмотреть использование как отечественных, так и зарубежных альтернативных сервисов.
xakep.ru/2024/10/16/jetpack-bug/