Наши тарифы «Форсаж» (в Москве и Амстердаме, c NVMe) и «Атлант» (в Москве) стали еще производительнее. Теперь серверы будут открываться не только на AMD EPYC 9654, но и на новом серверном процессоре AMD EPYC 9655.

AMD EPYC 9655 – мощный серверный процессор с 96 ядрами на архитектуре Zen 5, обеспечивает до 25% прироста производительности по сравнению с предыдущим поколением и отлично подходит для ресурсоемких задач. Подробные характеристики процессора здесь.

firstvds.ru/products/vds_vps_cloud

В течение месяца все новые заказы будут запускаться на EPYC 9655. В дальнейшем процессоры будут распределяться в произвольном порядке, так что не упустите момент!

Пока термометры бьют рекорды, мы устанавливаем новые планки по выгодным условиям! Только до конца лета действуют скидки на заказ лицензии 1С-Битрикс:

• 20% на лицензии «1С-Битрикс: Управление сайтом». Старт, Стандарт, Малый бизнес, Бизнес;
• 15% на коробочную версию «1С-Битрикс24». Интернет-магазин + CRM и «1С-Битрикс24». Корпоративный портал на 50, 100, 250 и 500 пользователей.

Акция действует до 31.08.2025 и распространяется на покупку любой лицензии «1С-Битрикс».
firstvds.ru/services/bitrix-license

Ещё один приятный бонус: при покупке лицензии Битрикс вы также получите скидку 30% на 3 месяца аренды сервера CPU.Турбо 2.0. VDS на базе мощных процессоров AMD Ryzen 9 7950X и 9950Х с частотой до 5,7 ГГц, оперативной памятью DDR5 и NVMe-накопителями.

К Дню системного администратора вы заслужили аптайм, уважение и выгодный сервер. Акция в самом разгаре — получите скидку 25% по промокоду на заказ любого количества VDS

Промокод можно применить при покупке любого количества новых VDS. Скидка будет действовать на сроки аренды сервера: 1, 3, 6 или 12 месяцев.
firstvds.ru/actions/sysadmin_day_25-spirit_of_uptime

В последнюю пятницу июля весь IT-мир чествует самых стойких и незаменимых. Тех, кто знает, где искать, даже когда «ничего не понятно, но очень интересно» — системных администраторов.

FirstVDS поздравляет всех сисадминов с профессиональным праздником и благодарит за труд!

В честь праздника мы запускаем акцию, где дарим подарки:

Промокод со скидкой 25% на заказ новых VDS для всех.
Сертификаты на пополнение баланса номиналом 150 ₽ для тех, кто с нами в одной сети больше года.

День сисадмина 2025: -25% на заказ VDS
Действует на все тарифы, кроме тарифов «VDS-Прогрев», «VDS-LXD-ARM» и тарифы реселлеров.

UPTIME100%

firstvds.ru

Да-да, уже завтра, день тех, кто умеет приручить любой сервер или PC, кому утром пишут «всё легло!!», вместо «доброе утро» и для кого бубен — это не шутка, а инструмент.

Праздник уже завтра, значит будут сертификаты на баланс и скидки на VDS.

Старт акции 25 июля в 10:00 по мск, подписывайтесь на наш телеграм канал, чтобы точно не пропустить это и другие наши события.
t.me/TakeFirstNews

Лето в разгаре, а значит, самое время отдыхать!
Но пока вы наслаждаетесь морем, солнцем или просто спокойным уик-эндом, ваши серверы требуют внимания. Чтобы ни один сбой не нарушил ваш отдых, предлагаем техническое сопровождение проектов от нашей команды.

Что мы делаем?

• Следим за стабильной работой серверов 24/7.
• Оперативно реагируем на инциденты.
• Контролируем нагрузку и ресурсы.
• Решаем проблемы до того, как они станут критичными.

Для вашего удобства и оперативной коммуникации мы создадим Telegram-чат, где вы сможете напрямую общаться с нашей командой и при необходимости добавлять своих специалистов: разработчиков, системных администраторов и других участников проекта.

Базовый тариф начинается от 5000 ₽/месяц. Окончательная стоимость рассчитывается персонально, после изучения особенностей вашего проекта. Объём работ зависит от количества сайтов, используемых технологий и масштабов системы: чем больше инфраструктура, тем больше ресурсов для её поддержки.

Хотите спокойный отпуск?
Оставить заявку можно в форме на сайте или в Личном кабинете в разделе Администрирование. Мы свяжемся с вами в течение двух рабочих дней после заполнения заявки.

firstvds.ru/services/server_support

Лето в разгаре, и если вы уже сменили офисное кресло на шезлонг, а клавиатуру — на поднос с фруктами, то проектам и серверам приходится работать без выходных.



Чтобы вы могли спокойно отдыхать, мы следим за обновлениями, уязвимостями и новыми фишками: тестируем удобные инструменты, мониторим изменения в законах и разбираемся, как сделать вашу инфраструктуру надёжнее. А ещё — собираем для вас полезные статьи и новости, чтобы вы могли после отпуска легко вернуться в курс дела. Обо всём этом рассказали в июньском дайджесте.

Статьи и инструкции
Типы данных в MySQL
MySQL — одна из самых популярных систем управления реляционной базой данных с открытым исходным кодом. Она использует язык SQL и хранит записи в таблицах. При проектировании её архитектуры важно оптимально задать тип полей. В статье рассмотрели основные типы данных, доступные в MySQL.
firstvds.ru/technology/tipy-dannykh-v-mysql

8 лучших почтовых сервисов для работы и общения в 2025 году
Несмотря на популярность мессенджеров, email по-прежнему остается одним из универсальных инструментов для деловых переговоров, маркетинга и личного общения. Чтобы вам было легче выбрать подходящий, составили подборку из 8 лучших почтовых клиентов 2025 года.
firstvds.ru/blog/8-luchshikh-pochtovykh-servisov-dlya-raboty-i-obscheniya

Штрафы для хостеров и реселлеров в 2025 году: что изменится и как избежать миллионных санкций
В последнее время государство всё серьёзнее регулирует сферу хостинг-услуг. В статье рассказываем о недавнем законопроекте, который вводит новые штрафы для хостинг-провайдеров, а также разбираем вопрос, нужно ли реселлерам регистрироваться в госреестре, выполняя все требования для хостеров.
firstvds.ru/blog/shtrafy-dlya-khosterov-i-resellerov-v-2025

Habr: самое интересное за июнь
Этот месяц мы посвятили исследованию границ науки и технологии. Удивлялись тому, что мир теоретически может находится внутри чёрной дыры, и изучали новое доказательство для анализа математических поверхностей. Спойлер — там тоже про сингулярность. А ещё продолжили серию про DIY-роботов на FastAPI и вспомнили, почему даже гениальные идеи иногда терпят крах.

• Наша Вселенная находится внутри сверхмассивной черной дыры — исследование
• Новое доказательство позволило учёным без проблем анализировать эволюцию математических поверхностей
• Веб-камера — глаза робота: пишу веб-приложение на FastApi для управления DIY-проектом. Часть 2
• Карманный монстр Пола Аллена: как мини-компьютер за $2000 потерпел крах

Новости июня
Объектное хранилище S3: завершили тестирование файлового менеджера
Немного предыстории. В конце марта мы запустили услугу «Объектное хранилище S3», а в мае к ней вышло дополнение — файловый менеджер, который примерно до середины июня находился в режиме тестирования. Мы приглашали всех желающих поискать баги в работе S3 Manager и дарили сертификаты на пополнение баланса за конструктивную обратную связь.

Теперь, когда тестирование завершено, мы хотим поблагодарить всех участников за помощь и сказать, что всё это было не напрасно — ваши замечания уже помогли нам исправить часть багов. А сам файловый менеджер стал работать быстрее за счёт оптимизации различных процессов.
И ещё одна приятная новость. Мы не закрываем группу тестировщиков в телеграме. Она становится сообществом с замечаниями и пожеланиями к хранилищу S3 и менеджеру — будем на связи.
 https://firstvds.ru/services/s3

Отпуск без забот: чек-лист по проверке сервера.
На отдыхе совсем не хочется думать о работе и о том, что с ней связано. Поэтому перед уходом в отпуск рекомендуем провести небольшую подготовку — наш чек-лист поможет проверить, что вы ничего не забыли, а статья про телеграм-бота расскажет о том, как настроить быстрые уведомления и легко пополнять баланс, если вы из тех, кто любит держать под контролем ситуацию даже на пляже.

Топ новостей из мира технологий и безопасности
Июнь такой июнь. Принёс огромный букет… критических уязвимостей — от опасных дыр в популярных сервисах вроде Kea DHCP и cyrus-imapd, позволяющих нарушителям получать root-доступ, до масштабных угроз для WordPress и vBulletin, ставящих под удар сотни тысяч сайтов. Параллельно был разоблачен фейковый ИИ Natasha, а в Linux-экосистеме обнаружились критические баги в libblockdev, PAM и XML-обработчике.
На фоне этих событий становится ясно: лето — не время расслабляться, когда речь идет о кибербезопасности. Вот тут рассказали подробнее:

Уязвимости в libblockdev и PAM: получение прав root
Специалисты Qualys обнаружили две критические уязвимости:

• в библиотеке libblockdev (CVE-2025-6019) — позволяет повысить привилегии до root через udisks,
• в PAM (CVE-2025-6018) — даёт аналогичные возможности в openSUSE и SUSE Linux Enterprise.

Как это работает. Утилита udisks, которая используется в большинстве дистрибутивов Linux, по умолчанию разрешает операции с накопителями только пользователям с доступом allow_active (локальные сеансы). Однако злоумышленник может обойти это ограничение двумя путями:
Через systemctl, создав пользовательский сервис, который polkitd воспримет как локальный сеанс (требуется активный локальный пользователь).
Через уязвимость в PAM (актуально для openSUSE и SUSE), которую обнаружили в ходе анализа уязвимости в libblockdev. В этом случае локальный доступ имитирует подмена переменных XDG_SEAT и XDG_VTNR в ~/.pam_environment. То есть уязвимость позволяет любому пользователю, в том числе подключившемуся по SSH, выполнять операции в контексте «allow_active».
Создается loop-устройство с XFS-образом, содержащим SUID-файл. При изменении размера ФС libblockdev временно монтирует её без nosuid/nodev, позволяя выполнить вредоносный код. Обновления пока выпущены не для всех дистрибутивов — проверить статус можно на страницах Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo и Arch (1, 2).
Временное решение: изменить правило polkit, заменив allow_active=yes на auth_admin в файле /usr/share/polkit-1/actions/org.freedesktop.UDisks2.policy.
www.opennet.ru/opennews/art.shtml?num=63424

Критические уязвимости в libxml2: угроза выполнения произвольного кода
В популярной библиотеке libxml2, используемой для обработки XML-данных в проектах GNOME и сотнях Linux-пакетов (например, в 800+ компонентах Ubuntu), обнаружено пять уязвимостей, две из которых позволяют выполнить произвольный код.
Ключевые уязвимости:
CVE-2025-6170 — вызвана переполнением буфера в утилите xmllint, которое возникает за счет использования небезопасной функции strcpy() без проверки длины входных данных. Атакующий должен контролировать аргументы, передаваемые в xmllint. Патч пока не выпущен.
CVE-2025-6021 — вызывается целочисленным переполнением в функции xmlBuildQName(), записывая, как следствие, данные за пределами выделенного буфера. Исправления включены в выпуск libxml2 2.14.4.
К дополнительным уязвимостям относятся:

• CVE-2025-49794: аварийное завершение из-за обращения к уже освобождённой области памяти в функции xmlSchematronGetNode,
• CVE-2025-49795: разыменование NULL-указателя в xmlXPathCompiledEval,
• CVE-2025-49796: неправильная обработка типов (Type Confusion) в функции xmlSchematronFormatReport.

Для их устранения оценивается возможность полного удаления поддержки Schematron из библиотеки.
Кроме этого, в libxslt (не поддерживаемой библиотеке) обнаружены три неисправленные уязвимости, детали которых обещают раскрыть 9, 13 июля и 6 августа 2025 года. Рекомендуем, следить за обновлениями libxml2 в нужном дистрибутиве и ограничить использование xmllint для обработки ненадёжных данных.
www.opennet.ru/opennews/art.shtml?num=63431

Уязвимости в DHCP-сервере Kea и IMAP-сервере Cyrus
В DHCP-сервере Kea (разрабатываемом ISC) обнаружены критические уязвимости:

• CVE-2025-32801 – позволяет локальному пользователю выполнить произвольный код с правами root через REST API (kea-ctrl-agent), отправляя команду set-config для загрузки вредоносной библиотеки.
• CVE-2025-32802 – даёт возможность перезаписать любой файл в системе через команду config-write в REST API.
• CVE-2025-32803 – логи и файлы аренды IP-адресов доступны для чтения всем пользователям.

Kea по умолчанию запускается от root в Arch Linux, Gentoo, openSUSE Tumbleweed (до 23 мая), FreeBSD и NetBSD. В Debian, Ubuntu и Fedora используется непривилегированный пользователь.
Дополнительно: В openSUSE обнаружена уязвимость (CVE-2025-23394) в IMAP-сервере Cyrus, позволяющая пользователю cyrus повысить привилегии до root через скрипт daily-backup.sh. Проблема устранена в версии cyrus-imapd 3.8.4-2.1.
Обновления уже выпущены для большинства дистрибутивов.
www.opennet.ru/opennews/art.shtml?num=63324

ИИ “Natasha” оказался обычными индийскими программистами, а его создатели — банкротами
В конце мая британская компания Builder.ai, имеющая крупные филиалы в пяти государствах, объявила об обращении в суд, чтобы защитить себя от банкротства.
Эта компания привлекла внимание общественности своим уникальным подходом к разработке программного обеспечения с помощью искусственного интеллекта Natasha AI, который был создан для написания кода по запросам клиентов, освобождая заказчиков от необходимости писать код самостоятельно. Однако позже стало известно, что код писали реальные программисты, а искусственный интеллект был лишь прикрытием сомнительного ведения бизнеса.
Несмотря на разоблачение The Wall Street Journal в 2019 году, инвесторы продолжали вкладывать в компанию миллионы. В 2023 году Microsoft даже рассматривала интеграцию стартапа Builder.ai в свои сервисы.
В феврале 2025 новое руководство заявило, что проблемы компании вызваны не ИИ, а плохим финансовым управлением. А в мае кредитор Viola Credit заморозил значительную часть средств на счетах Builder.ai. Это обрушило работу компании в пяти странах (Великобритания, США, ОАЭ, Сингапур, Индия), вынудив уволить большую часть сотрудников и подать на защиту от банкротства.
3dnews.ru/1123614/ii-natasha-na-dele-okazalsya-sotnyami-programmistovindusov-ego-razrabotchik-promotal-dengi-microsoft-i-obankrotilsya/#68380e7b742eec5f738b4572

Уязвимость в cURL/libcurl
Разработчики curl выпустили обновление для устранения уязвимости средней степени опасности CVE-2025-5025. Проблема возникает при использовании TLS-библиотеки wolfSSL в сочетании с протоколом HTTP/3 и включенной функцией certificate pinning. В этих условиях злоумышленник может провести MITM-атаку, подменив сертификат сервера.
Уязвимость затрагивает только специальные сборки curl с wolfSSL, что редко встречается в стандартных дистрибутивах Linux. Основные пакеты обычно используют OpenSSL или GnuTLS и не подвержены этой проблеме. Для защиты рекомендуется обновить curl до версии 8.14.0 или новее. Пользователи могут проверить используемую TLS-библиотеку командой curl -V.
Риск эксплуатации низкий, так как атака требует выполнения нескольких специфических условий: наличие wolfSSL, использование HTTP/3 и ручное включение certificate pinning. Кроме того, злоумышленнику необходимо перехватить трафик и получить действительный сертификат. Сейчас не зафиксировано случаев реального использования этой уязвимости, поэтому для большинства пользователей угроза минимальна, но обновиться всё же рекомендуется.
www.linux.org.ru/news/security/17983178

Угроза для 100 000 сайтов на WordPress
Исследователи Patchstack обнаружили критическую уязвимость (CVE-2025-47577, 10/10 по CVSS) в плагине TI WooCommerce Wishlist, который установлен более чем на 100 000 сайтов. Проблема позволяет загружать произвольные файлы без авторизации.
Функция tinvwl_upload_file_wc_fields_factory некорректно проверяет загружаемые файлы из-за отключенных параметров test_form и test_type. Это позволяет загружать файлы любого типа, включая вредоносные PHP-скрипты. Для этого должен быть активен плагин WC Fields Factory и включена интеграция с TI WooCommerce Wishlist.
Плагин предназначен для создания списков желаний и их публикации в соцсетях, что делает его популярным среди WooCommerce-сайтов.
Поскольку обновления пока нет, единственный способ защиты — полное отключение уязвимого плагина. Владельцам интернет-магазинов следует предпринять меры немедленно.
xakep.ru/2025/05/30/ti-woocommerce-wishlist/

Критические уязвимости в vBulletin
В популярном движке форумов vBulletin обнаружены две опасные уязвимости (CVE-2025-48827 и CVE-2025-48828, оценка 9/10). Одна из них уже активно используется злоумышленниками. Баги затрагивают версии 5.0.0-5.7.5 и 6.0.0-6.0.3 на PHP 8.1+.
Суть угрозы в том, что через API можно вызывать защищённые методы, а ошибки в обработке шаблонов позволяют выполнить произвольный код. Исследователь EgiX показал, как это работает: уязвимость в replaceAdTemplate обходит фильтры, давая хакерам шелл-доступ.
Фактически эти уязвимости были закрыты в прошлогодних обновлениях: PL1 для ветки 6.* и PL3 для версии 5.7.5. Однако из-за того, что многие владельцы сайтов не обновили свои системы, угроза остается актуальной.
xakep.ru/2025/06/02/vbulletin-flaws/

Мы в поиске авторов для одного из наших блогов или базы знаний. Неважно, есть ли у вас опыт в подготовке статей, или хотите попробовать силы впервые — платим за качество!

Два пути к гонорару:

• Есть готовая статья? Отправьте нам, и если она подойдёт для одной из наших площадок, выплатим вам гонорар после публикации.
• Хотите написать новую? Согласуем тему, дадим детальный фидбэк и поможем довести текст до идеала.

Что ценим в статьях:

• уникальность >75% (text.ru),
• практическую пользу (проверенные инструкции, кейсы, аналитика),
• нейтральность подачи (без политики и скандалов),
• чёткую структуру и объём.

Преимущества для вас:

• Гибкость: одна статья или постоянное сотрудничество.
• Публикация на Хабре под своим аккаунтом (по желанию).
• Поддержка редактора на разных этапах + иллюстрация от нашего дизайнера.
• Оплата от 8 000 до 17 000 ₽ за статью.

Свобода: сами выбираете тему и график.
Отправить готовый материал можно на почту: content@firstvds.ru с темой «Хочу стать вашим автором», обязательно указав для какой площадки (или площадок) вы хотите писать, или откликнуться на нашем сайте.

P. S. До 5 июля за статьи в блог Хабра на тему «Высокая производительность» платим повышенный гонорар.

Деревенская мудрость гласит: «Был бы у меня такой сервер, я, может, и не женился бы никогда...»

Летняя акция продлится до 18 июня. Успейте забрать сервер со скидкой 25%, время ещё есть. Скидка действует на любой срок заказа сервера (1, 3, 6 или 12 месяцев).
firstvds.ru/actions/leto_v_derevne

Деревенская акция от FirstVDS уже стартовала!

В лукошке:
Промокод со скидкой 25% на заказ новых VDS — скидка сработает на любой срок заказа VDS (1, 3, 6 или 12 месяцев).

Сертификаты на пополнение баланса номиналом 150 рублей для наших постоянных клиентов. Количество сертификатов ограничено.

Акция продлится до 18 июня, но зачем ждать, когда петух клюнет?
firstvds.ru/actions/leto_v_derevne

P.S. Да, в письме допущены опечатки. Да, намеренно. Ищите ошибки в паре предыдущих писем, а последний кусочек сертификата перед вами. Собирайте, используйте, но помните: сертификатов на пополнение баланса всего 50, и разлетятся они как горячие пирожки.
P.P.S. Активировать п̶и̶р̶о̶ж̶к̶и̶ сертификат нужно до конца июня, иначе сгорит.