Компания ISPsystem сообщила об инциденте безопасности в платформе виртуализации VMmanager 6, начавшемся 14 октября 2026 года. Расследование выявило использование 0-day уязвимости, связанной с контрабандой HTTP-запросов (HTTP Request Smuggling) через особенности работы NGINX. Атака создала угрозу утечки SSH-ключей, паролей, токенов доступа и других конфиденциальных данных пользователей.
В период с 14 по 23 октября 2026 года разработчик выпустил серию экстренных хотфиксов для VMmanager 6 и DCImanager 6, ограничивающих запуск скриптов и другие функции. Эффективность исправлений была протестирована на ханипотах, которые отразили более 10 000 попыток взлома. После установки патча от 19 октября новых случаев компрометации инфраструктур зафиксировано не было.
К расследованию и очистке систем от вредоносного ПО была привлечена «Лаборатория Касперского». Совместно с партнером компания провела аудит инфраструктур клиентов и предоставила инструмент Kaspersky Virus Removal Tool для выявления остаточных следов атакующих. На текущий момент уязвимости закрыты, однако работа по анализу скомпрометированных сред продолжается.
