Атака на инфраструктуру хостинг-провайдера FirstVDS могла затронуть данные, которые сторонние приложения для Битрикс24 хранили на своих серверах. Сам сервис Битрикс24 не был целью атаки: уязвимость обнаружили в системе виртуализации VMmanager 6, которую использовал хостер.
Что известно об инциденте
FirstVDS сообщил об атаке 18 октября 2026 года. По данным провайдера, она произошла днем ранее. Вредоносная программа подключала диски отдельных виртуальных машин в режиме «только чтение» и копировала файлы, пароли, ключи, токены и конфигурации. Внутри гостевых систем программа не запускалась, а данные на дисках не изменяла, поэтому явных признаков активности на самих машинах могло не быть.
На 19 октября 2026 года, 17:46 по московскому времени, расследование продолжалось. FirstVDS не раскрыл технические подробности использования уязвимости и полный перечень затронутых версий. Использование VMmanager 6 само по себе не означает, что сервер был скомпрометирован; кроме того, эту систему могут применять и другие хостинг-провайдеры.
Какие меры принял Битрикс24
18 октября Битрикс24 перевыпустил секреты OAuth-доступа для серверной части потенциально затронутых приложений Маркета. Мера была превентивной и не подтверждает компрометацию конкретного приложения или его установки. По данным Хабра, изменения затронули десять разработчиков; обновление секретов могло временно повлиять на работу их приложений.
Если приложение из Маркета перестало работать 18 или 19 октября, пользователям рекомендуют уточнить у разработчика, связана ли проблема с этой мерой и затронута ли конкретная установка. Локальные приложения и входящие вебхуки, созданные администраторами порталов, автоматически под отзыв секретов не попали.
Что проверить клиентам
Администраторам стоит составить список подключенных сторонних приложений и выяснить, какие данные и инструменты портала доступны каждому из них. У разработчиков следует запросить, где размещена серверная часть приложения, использует ли хостер VMmanager 6 и проверялась ли конкретная инфраструктура.
Отзыв секрета не удаляет данные, которые приложение ранее сохранило за пределами Битрикс24. Если такие сведения находились на затронутом сервере, они могли попасть в копию вместе с другими файлами. Это относится и к резервным копиям, журналам и внешним хранилищам.
Для локального приложения, размещенного у хостера, удаление из портала делает сохраненные токены недействительными. Перед этим нужно оценить, какие связанные процессы остановятся и как затем восстановить интеграцию. Если разработчик приложения не отвечает, клиентам следует обратиться в техническую поддержку 1С-Битрикс.
