FAQ: закрытие панели VMmanager, меры защиты от уязвимостей в PHP, проблемы с доступом к серверу

В связи с недавним инцидентом в системе VMmanager и появлением критических уязвимостей в PHP мы наблюдаем беспрецедентный поток обращений, поэтому время ответа поддержки значительно увеличено. Это временная ситуация: мы уже усилили команду и делаем всё возможное, чтобы ускорить обработку тикетов. 

Для тех, кто прямо сейчас испытывает проблемы и ждёт ответа от специалистов, мы подготовили статью с ответами на самые частые вопросы. Прежде чем обращаться в поддержку, пожалуйста, загляните в неё — возможно, здесь уже есть инструкция, которая поможет решить вопрос самостоятельно. 

Мы ведём работы, чтобы клиентам было проще решать свои задачи. Будем регулярно обновлять статью по мере появления новой информации и релиза новых функций. 

Недоступен сервер или сайт

Нет доступа к серверу по SSH. Что делать? 

Причины могут быть разными. Рекомендуем сначала провести базовую диагностику, чтобы определить, в чём дело:

1. Проверьте подключение к серверу через альтернативных провайдеров или виртуальную частную сеть. Если сервер доступен для подключения из зарубежной локации, но недоступен из РФ, то, скорее всего, IP-адрес сервера был заблокирован государственным регулятором. Поскольку ограничения наложены не нами, бесплатная замена основного IP-адреса сервера не предусмотрена.
2. Проверьте доступность сети. Причина недоступности сервера может быть в сетевом пути между вами и сервером — например, если вы изменили сетевые настройки или правила файрвола. 
   
   Для проверки зайдите в консоль VNC в Личном кабинете и авторизуйтесь в ней с данными пользователя root. Если авторизация прошла успешно, значит, сервер работает — проблемы в сетевых настройках. 

Если диагностика не дала результата, то обратитесь в поддержку через Личный кабинет. В запросе:

• Укажите, с каким сервером проблема.
• Укажите время возникновения проблемы по мск.
• Опишите, какая ошибка наблюдается при подключении по SSH, на каком этапе.
• Предоставьте пароль пользователя root — он необходим нам для диагностики по VNC. Для безопасности можно воспользоваться нашим сервисом для передачи паролей. Внесите данные и нажмите Отправить, затем скопируйте ссылку в сообщение.

Сайт внезапно стал недоступен. Что делать? 

Если сайт недоступен, то рекомендуем сначала самостоятельно выполнить первичную диагностику.

Определите уровень проблемы: локальная или глобальная. Попробуйте открыть сайт из разных сетей — по Wi-Fi и через мобильный интернет. Если сайт недоступен только из одной подсети, значит, проблема локальная: на стороне интернет-провайдера или вашего устройства. Зачастую, если сайты недоступны с определенных подсетей или устройств и доступны с других, то причина в ограничениях со стороны государственного регулятора. Что делать в этом случае, рассказали в статье.    

Если сайт недоступен у всех пользователей, рекомендуем проверить:

1. Срок регистрации домена у регистратора. Это можно сделать с помощью WHOIS или сервиса мониторинга сайтов. При истекшем сроке регистрации необходимо продлить домен у регистратора.
2. NS-записи домена и доступность DNS-провайдера. Проверьте, у кого размещены авторитетные DNS-серверы домена. Если провайдера возникли технические проблемы, сайт также может стать недоступным, даже если сервер с сайтом работает нормально.

Чтобы не оказаться в ситуации, когда ваш бизнес зависит от серверов одного регистратора, инженеры рекомендуют использовать DNS от нескольких провайдеров и прописать в gTLD-серверах NS-записи обоих. Если у одного DNS-провайдера возникнет неисправность или он подвергнется атаке, серверы gTLD продолжат выдавать IP-адреса второго. 

3. Оплачен ли сам сервер в личном кабинете. Если статус сервера Остановлен, то все сайты на нем будут недоступны. Для восстановления доступности пополните баланс аккаунта в разделе Финансы → Платежи.
4. Срок действия SSL-сертификата. При истекшем SSL-сертификате сам сайт доступен, но при переходе на него в браузере отображается предупреждение о незащищенном соединении. В данном случае необходимо выпустить новый SSL-сертификат и установить его файлы на сервер.

Если с вышеперечисленным проблем нет, нужно проверить доступность сервера. Диагностировать проблему поможет наша статья.

При возникновении затруднений с диагностикой на сервере создайте запрос в поддержку и укажите в нем следующую информацию:

1. Доменное имя сайта, который недоступен. Даже если недоступны все сайты на сервере, то укажите один или несколько для примера.
2. Код ошибки, возникающий на сайте (500, 502, 504, 503 и т. д.)
3. Дату и время по мск, когда зафиксировали недоступность сайта.

Также предоставьте доступ поддержке на сервер для диагностики.

VMmanager отключен: частые проблемы с управлением сервером

Почему не открывается панель управления VMmanager?

17 октября в системе управления виртуализацией VMmanager 6 обнаружилась уязвимость, через которую злоумышленники получили доступ к части нашей инфраструктуры. В данный момент вендор устранил уязвимость, но работы по повышению уровня безопасности ещё продолжаются. Подробно об этом можно почитать здесь.

Сейчас прямой публичный доступ к VMmanager закрыт. Многие функции управления сервером раньше были доступны только через эту панель. Мы уже перенесли в Личный кабинет функции подключения к серверу с помощью VNC, смены root-пароля, переустановки ОС, а также перезагрузки сервера, в том числе и принудительной. Остальные функции продолжаем переносить — информацию об этом будем постоянно обновлять. 

Как подключиться к серверу без VMmanager?

Теперь подключение к серверу по VNC доступно через Личный кабинет. Для этого нужно перейти в раздел Товары → Виртуальные серверы → Выбрать сервер → Консоль.

При нажатии на кнопку сгенерируется одноразовая ссылка, по которой вы попадете в VNC. Обновлять страницу не нужно, иначе сессия прервётся, и нужно будет заходить в консоль заново. 

Обратите внимание: одноразовая ссылка для доступа к VNC в целях повышения безопасности привязывается к IP-адресу, с которого она была запрошена. Поэтому важно убедиться, что переход в VNC происходил с того же IP, с которого пользователь зашёл в Личный кабинет.  

Также подключиться к серверу вы можете по протоколу SSH.

Как сбросить root-пароль?

Если пароль пользователя root вам известен, вы можете сбросить его самостоятельно. Для этого подключитесь к серверу по SSH и измените пароль с помощью этой инструкции.

Если пароль пользователя root вам неизвестен, то для его сброса перейдите в Личный кабинет в раздел Товары → Виртуальные серверы → Выберите сервер → нажмите кнопку Смена пароля.

Потребуется подтвердить операцию одноразовым кодом. Код можно получить на почту аккаунта. Если включена 2FA, код необходимо скопировать в приложении-аутентификаторе.

Если всё прошло успешно, в Личном кабинете появится окно с уведомлением о смене пароля:

Как переустановить ОС на сервере?

Теперь это можно сделать через Личный кабинет. Функция доступна на всех тарифах, кроме тех, что работают на ARM, OVZ и FreeBSD Jail — клиентам с этими тарифами для этого нужно обратиться в техподдержку. 

Для переустановки ОС перейдите в Личном кабинете в раздел Товары → Виртуальные серверы, выберите сервер и кликните на Переустановка ОС. 

Важно: при переустановке операционной системы, все данные на сервере будут уничтожены. Пожалуйста, убедитесь, что у вас есть резервная копия всех нужных данных.

Выберите нужную операционную систему и предустановленное ПО. Также укажите пароль пользователя root. Подтвердите операцию одноразовым кодом (срок его действия — 30 минут) — его можно получить на почту аккаунта. Если на аккаунте включена 2FA, код необходимо скопировать в приложении-аутентификаторе.

Как изменить DNS-записи домена?

Мы на время открыли доступ в DNSmanager для клиентов. Внести изменения вы можете самостоятельно. Для этого перейдите в Личный кабинет → Товары → Виртуальные серверы, выберите нужный сервер в списке → нажмите кнопку Инструкция — найдите блок DNSmanager / ispmanager и нажмите кнопку Перейти. Что делать дальше подробно рассказали здесь. 

Будут ли компенсации? 

Да: что входит в программу компенсаций, кто и как может их получить, подробно рассказали здесь. 

Как остановить сервер и вернуть деньги? 

Если сервер куплен более месяца назад, удалить его можно самостоятельно. Для этого перейдите в раздел Товары → Виртуальные серверы → выберите сервер → нажмите Удалить. Потребуется подтвердить операцию по проверенному номеру телефона. Чтобы вернуть деньги, необходимо удалить все активные услуги и написать запрос в Личном кабинете. 

Если серверу меньше месяца, удалить его самостоятельно в Личном кабинете нельзя: согласно условиям оферты минимальный срок заказа — 1 месяц. Но в связи с произошедшим инцидентом безопасности, а также временной недоступностью серверов и услуг, мы готовы идти навстречу. Напишите запрос в поддержку — специалисты разберутся в конкретной ситуации и примут решение. 

PHP2Shell (критические уязвимости в PHP): как защититься

Что за уязвимости и насколько они опасны?

20 октября стало известно о двух уязвимостях в PHP (CVE-2026-109618 и CVE-2026-109619): они позволяют без авторизации повредить память процесса или обратиться к освобождённой памяти, а затем выполнить чужой код или вытащить секреты — пароли, ключи и токены. Обе уязвимости получили 9,2 балла по шкале CVSS v4.0. Чуть позже разработчики объявили о выявлении ещё одной уязвимости. Подробнее об этом рассказывали здесь и здесь. 

Уязвимыми оказались практически все версии PHP. Исправления вошли в состав релизов PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, PHP 8.2.35. Также патчи опубликованы для веток PHP 7.4, 8.0 и 8.1. Разработчики ispmanager также собрали патчи для своих альтернативных версий PHP: они доступны для всех версий, начиная с PHP 5.4 и выше. 

Как закрыть уязвимости?

Чтобы закрыть уязвимости, необходимо обновить версию PHP. Если на сервере установлены актуальная ОС и панель ispmanager, вы можете обновить PHP самостоятельно по инструкции. В остальных случаях порядок действий будет зависеть от конфигурации ПО на сервере. 

Если обновить PHP не получается, нужно перенести данные на новый сервер с актуальной версией ОС. В условиях высокой загрузки техподдержки быстрее будет сделать это самостоятельно. Если вы хотите поручить перенос нам, отправьте запрос в техподдержку. 

Что делать, если я не могу обновить PHP сейчас?

Если обновить PHP или перейти на сервер с актуальной ОС прямо сейчас нет возможности, можно использовать временные меры. 

Важно: эти меры не гарантируют полной защиты. После перехода на исправленную версию PHP, например, на сервере с современной ОС, временные изменения нужно убрать или не переносить их на новый сервер.

Первый способ — добавить в php.ini нужной версии PHP параметр:session.upload_progress.enabled = Off и перезапустить PHP-FPM/веб-сервер.
 
Мера блокирует подтверждённые пути эксплуатации через механизм сессий для CVE-2026-109619.  

Второй способ — заблокировать запросы multipart/form-data на уровне веб-сервера. Подходит, если на сайте нет форм загрузки файлов. Это нарушит работу загрузки файлов через формы, но закроет данный вектор атаки до выхода патча. 

Для nginx добавьте в конфигурацию сайта:

if ($http_content_type ~* "multipart") { return 403; }

Для Apache добавьте в файл .htaccess сайта:

RewriteCond %{HTTP:Content-Type} multipart [NC] RewriteRule ^ - [F,L]

Мне нужна помощь с устранением уязвимости. Что делать?

Обновление PHP выполняется в рамках услуги администрирования. Такие работы оплачиваются в соответствии с регламентом службы технической поддержки. 

• Разовая стоимость работ — 750 ₽. Возможность обновлений нужно уточнить у системных администраторов.
• Пакет администрирования (5 обращений) — 900 ₽ в месяц. 

Возможность обновления PHP зависит от операционной системы, установленной на сервере. В таблице указана возможность устранения уязвимости и стоимость обращения. 

Если для вашей ОС устранить уязвимость невозможно — перенесите данные на новый сервер с актуальной ОС (например, Ubuntu 26.04). Если нужна помощь с переносом, создайте запрос на перенос сайтов.

Важно: для альтернативных версий PHP ispmanager не требуется обновлять операционную систему. Обновления устанавливаются из отдельного репозитория ispmanager. Возможность обновления и стоимость работ уточняйте у системных администраторов. 

Как создать запрос на перенос данных?

Ознакомьтесь с условиями и процессом переноса.

С переносом могут помочь наши специалисты. Если новый сервер дороже текущего, перенос выполняется бесплатно. Если дешевле или равен по стоимости — в рамках пакета администрирования или в качестве разового обращение за 500 ₽ с баланса аккаунта. Одно обращение покрывает перенос до 35 сайтов; если сайтов больше, понадобится несколько обращений. 

Для переноса данных нашими силами следуйте этой инструкции:   

1. Закажите новый сервер. Перенос возможен только на сервер с актуальной ОС, панелью ispmanager или с окружением Bitrix. 
2. Создайте запрос на перенос данных. В запросе укажите, какие сайты и базы данных  необходимо перенести, технические особенности или настройки — при их наличии. Также понадобится root-доступ (пароль и порт подключения) на оба сервера. Для передачи этих данных можно воспользоваться нашим сервисом.

Внесите данные и нажмите Отправить, затем скопируйте ссылку в запрос.

Обратите внимание: по умолчанию на новом сервере будет другой IP-адрес, поэтому потребуется переключение DNS-записей. Однако есть возможность сохранить старый IP-адрес: стоимость его переноса — 1000 ₽. 

После переноса и полной проверки проекта на новом сервере вы можете отказаться от предыдущего, иначе за него будут списываться средства. Для этого нужно удалить его из Личного кабинета: перейдите в Товары → Виртуальные серверы.