Облако и сервер

⚡Взлом Binance: возможный вектор атаки — ноутбук DevOps-инженера

По предварительным данным Binance, инцидент может быть связан с компрометацией ноутбука DevOps-инженера. Предположительно, это позволило злоумышленнику получить доступ к сервисному контейнеру и инициировать несанкционированные выводы средств.

Предварительный ущерб оценивается в $6,3 млрд, из которых около $3 млрд удалось заморозить. Признаков утечки приватных ключей криптокошельков пока не обнаружено.

Инцидент вновь обращает внимание на безопасность рабочих устройств и привилегированного доступа: компрометация одного ноутбука может иметь серьёзные последствия для инфраструктуры.

Binance продолжает расследование, вывод средств на платформе приостановлен.

Подробнее можно узнать в заявлении Binance.

VMmanager — в числе лидеров по масштабу внедрений по версии CNews ⚡️

CNews Analytics опубликовал рейтинг «Топ-6 внедрений российских платформ виртуализации». Проект ISPsystem на базе VMmanager, реализованный в FirstVDS, занял второе место! 🏆

🔜 Проекты оценивали по трём критериям: количеству хостов, географии внедрения и доле покрытых рабочих процессов с учётом принадлежности заказчика к КИИ.

О кейсе: VMmanager внедрили в инфраструктуру FirstVDS с распределённой сетью ЦОД. Количество хостов — 1450. В результате удалось создать полностью автоматизированную среду, где VMmanager управляет пулом физических серверов.

После непростого октября для нас особенно ценно признание проекта, за которым стоят работа команды ISPsystem и опыт применения VMmanager в масштабной инфраструктуре партнёра. Работаем дальше! 🔥

⚡️️️️️️️Итоги рейтинга смотрите на сайте CNews.

Новостной дайджест от DevOps FM! 🔔

🗣 HCP Terraform: сбои при подключении к системам контроля версий.

HashiCorp связала перебои с версией агента 1.33.2. Для агентов, установленных на собственной инфраструктуре, рекомендовали вернуться к версии 1.33.1.

Подробности читайте в отчете об инциденте.

🗣 LiteLLM: вредоносное обновление поставило под угрозу секреты CI/CD.

Скомпрометированная версия 1.107.0 могла похищать учётные данные с компьютеров разработчиков и сборочных серверов. Недостаточно просто удалить пакет: нужно проверить затронутые системы и заменить секреты, которые могли попасть к злоумышленникам.

Детали читайте в статье.

🗣️ GitLab: критическая уязвимость позволяла удалённо выполнять код.

Уязвимость CVE-2026-110264 получила максимальную оценку опасности — 10 из 10. Командам, которые самостоятельно обслуживают GitLab, следует проверить установленную версию и как можно скорее установить исправление.

Подробнее — в статье OpenNET.

🗣️ Terraform: исправлены ошибки при проверке схем провайдеров.

В версии 1.16.7 устранён сбой, возникавший при проверке схем с устаревшими параметрами. Также обновлён Go — это исправляет проблему с доверием к сертификатам скомпрометированных промежуточных центров eMudhra.

Подробнее — в списке выпусков Terraform.

новостной_дайджест devops security

Атака на VMmanager 6 Hosting: подготовили разбор и хронологию инцидента ❗️

В середине октября инфраструктура нескольких десятков хостинг-провайдеров, использующих VMmanager 6 Hosting, столкнулась со скоординированной атакой.

Команда ISPsystem оперативно отреагировала на инцидент и нейтрализовала атаку. Рассказываем, что произошло и как развивались события.

Коротко о произошедшем: инцидент затронул одну из сборок VMmanager 6 Hosting, применяемую хостинг-провайдерами для выдачи виртуальных машин в открытом контуре. Злоумышленники реализовали атаку за счет ранее неизвестной 0-day уязвимости, а особенность nginx пропускать такие запросы делала ее эксплуатацию возможной.

✅ С первых часов атаки мы усилили техподдержку и организовали круглосуточное реагирование. Выпустили серию внеплановых обновлений, временно отключили удаленное управление и запуск внутренних скриптов. Эти меры помогли ограничить действия злоумышленников и не дать им закрепиться в системе.

➡️ Анализ показал, что атаку вели, активно используя ИИ-инструменты: алгоритмы динамически адаптировали тактику под особенности конкретных провайдеров.

К расследованию также подключились эксперты «Лаборатории Касперского», предоставившие решения для сканирования и зачистки узлов провайдеров.

Для предотвращения подобных инцидентов мы продолжим выпускать обновления с усиленной защитой. Расследование продолжится, пока не убедимся, что в затронутых средах не осталось следов присутствия злоумышленников и бэкдоров.

Мы приносим извинения и благодарим всех, кто помогает в диагностике и проверке исправлений.

📌 Подробный разбор и полную хронологию читайте на нашем сайте.

Как подготовить инфраструктуру к отказу облачного региона 👀

Даже отказоустойчивая инфраструктура внутри одного дата-центра не гарантирует доступность сервисов при потере всей площадки.

Недавние инциденты с Яндексом — повод вспомнить, как устроено георезервирование и что важно учитывать при его проектировании.

Георезервирование — это размещение критичных компонентов инфраструктуры в разных регионах. Но одной репликации между ними недостаточно, важно продумать и другие аспекты:

⏺1. Active-Passive или Active-Active?

В Active-Passive резервная площадка принимает нагрузку при аварии. Важно предусмотреть достаточные мощности и механизм переключения.

В Active-Active обе площадки обслуживают трафик одновременно, что усложняет маршрутизацию, синхронизацию данных и защиту от split-brain.

⏺2. Репликация и согласованность данных

Для PostgreSQL и очередей сообщений критичны режим репликации и поведение системы при потере связи между регионами.

Асинхронная репликация допускает потерю последних записей, синхронная увеличивает задержки и может ограничить запись при сетевых проблемах.

Поэтому важно определить RPO — допустимую потерю данных — и RTO — допустимое время восстановления.

⏺3. Общие точки отказа (SPOF)

Даже две независимые площадки могут зависеть от общих компонентов: DNS, IAM, CI/CD, container registry или систем управления инфраструктурой.

Если эти зависимости недоступны при аварии, восстановить сервисы может не получиться.

⏺4. Ресурсы и эксплуатация резервной площадки

В Active-Passive необходимо учитывать время масштабирования резервной инфраструктуры и доступность свободных мощностей. В Active-Active — расходы на межрегиональный трафик, задержки и согласованность данных.

Terraform и GitOps упрощают воспроизводимое развёртывание, но не заменяют подготовленные процедуры восстановления и переключения.

⏺5. Тестирование Disaster Recovery

DR-тесты помогают проверить реальные RPO/RTO, целостность данных и переключение трафика. Важно также отрабатывать failback — безопасный возврат на основную площадку.

Без регулярных испытаний даже хорошо документированный сценарий восстановления может оказаться нерабочим.

Георезервирование — это способность пережить потерю целой площадки в рамках заданных требований к восстановлению.

Если вам нужна помощь с георезервированием, в НИКСИС можем помочь с проектированием и настройкой инфраструктуры.

devops георезервирование отказоустойчивость

Как меняется работа SRE и DevOps в эпоху AI? 🔆

Команда DevCrowd* запустила новое исследование инженеров, которые отвечают за надёжность: SRE, DevOps, платформенных инженеров и всех, кто держит прод в строю.

В этом году главный сюжет — роль AI в инженерной работе: какие задачи уже можно автоматизировать, доверяют ли ему работу в проде и приводит ли сгенерированный код к новым инцидентам. Отдельно изучают soft skills и навыки, которые AI пока не заменит.

Не обошли и человеческую цену надежности: сколько стоят дежурства по времени, деньгам и здоровью и на ком в команде реально концентрируется нагрузка.

Часть вопросов повторяет прошлогодние, поэтому результаты позволят увидеть динамику изменений за год.

⌨️ Если работаете с инфраструктурой и надёжностью сервисов — можете пройти опрос и поделиться своим опытом.

Опрос займёт 10–12 минут. Отчёт со всеми разрезами опубликуют в начале декабря.

➖➖➖➖➖➖➖➖➖➖➖

*DevCrowd — независимые исследования IT-профессий: больше 15 000 участников, публичные отчеты по мобильной разработке, SRE, дата-специалистам, продактам и другим направлениям.

партнёрский_пост

🔔 В эфире DevOps FM – срединедельный дайджест новостей!

⏺PwnEscape: уязвимость Linux позволяла выйти из виртуальной машины на хост.

Ошибка в сетевом стеке Linux позволяла гостевой системе получить доступ к памяти хоста и выполнить код с правами ядра. Уязвимость особенно важна для облачных платформ и изолированных сред запуска кода.

Подробнее читайте в статье.

⏺eMudhra: скомпрометированы ключи TLS-сертификатов.

Из-за недостатков генерации ключей злоумышленники могли выпускать поддельные HTTPS-сертификаты. Google и Mozilla заблокировали затронутые сертификаты.

Детали в статье на OpenNET.

⏺Argo CD: критическая уязвимость позволяла обходить ограничения доступа.

Уязвимость CVE-2026-77459 затрагивала управление ресурсами Kubernetes и могла позволить создавать объекты за пределами разрешённых проекту границ.

Исправления доступны в версиях 3.3.15, 3.4.10 и 3.5.4. Командам, использующим Argo CD, стоит проверить версию и обновиться.

Подробнее — на GitHub.

⏺GitHub тестирует защиту от вредоносных зависимостей.

Package Firewall помогает блокировать опасные npm-пакеты, которые могут похищать учётные данные разработчиков и систем сборки. Пока функция доступна в тестовом режиме клиентам GitHub Enterprise Cloud.

Узнать больше можно в объявлении GitHub.

новостной_дайджест devops security

👩‍💻 Релиз Linux Kernel 7.2.11

15 октября вышло обновление стабильной ветки ядра Linux 7.2.11. Оно включает исправления сетевого стека, файловых систем, управления памятью и драйверов оборудования.

Среди наиболее интересных изменений:

⏺️Сеть. Исправления затрагивают IPv4/IPv6, TCP, UDP и WireGuard. В Open vSwitch устранена ошибка, которая могла приводить к зависанию ядра при длительной обработке сетевых потоков.

⏺️Файловые системы и точки монтирования. Исправлена обработка операций монтирования и размонтирования, в том числе в пространствах имён.

⏺️Шифрование и целостность данных. В dm-integrity исправлена ошибка переполнения буфера при определённых размерах метаданных. В dm-crypt добавлена проверка некорректных комбинаций параметров шифрования.

⏺️Управление памятью. В io_uring исправлен учёт страниц памяти для областей, занимающих несколько страниц.

⏺️Драйверы. Обновления затрагивают сетевые адаптеры NVIDIA/Mellanox, Intel и Broadcom, а также драйверы Wi-Fi, Bluetooth и систем хранения.

👨‍💻 Подробнее об изменениях — в полном обзоре релиза.

devops linux релиз