ISPsystem выпустила обновление безопасности DCImanager 6: кого это касается

ISPsystem выпустила обновление безопасности для DCImanager 6. По сообщению вендора, апдейт закрывает уязвимость и повышает надёжность работы платформы, а установить его рекомендуется в ближайшее время.

Что сообщил вендор

Формулировки у ISPsystem сдержанные: обновление безопасности, закрывает уязвимость, повышает надёжность. Деталей — какая именно уязвимость, какие версии затронуты, возможна ли эксплуатация без авторизации — в сообщении нет.

Отдельное указание: после установки рекомендуется проверить систему на наличие подозрительной активности. Это стандартная рекомендация для security-релизов, но она подразумевает, что до патча система могла быть в уязвимом состоянии. Если что-то вызывает вопросы, вендор предлагает обращаться в техническую поддержку.

Кому это важно

DCImanager — платформа для управления серверным оборудованием и виртуальными машинами; такие панели обычно стоят у хостингов, дата-центров и компаний с собственным парком железа. Обновление касается именно администраторов, а не конечных клиентов: пользователю VPS достаточно знать, что его провайдер обновил панель управления, и при случае уточнить это в поддержке.

Практический минимум для тех, кто обновляется: поставить патч, затем просмотреть журналы входов и действий администраторов за последние дни, проверить список учётных записей и API-токенов на лишние, убедиться, что панель управления не выставлена в интернет без ограничений по адресам.

Что это значит

Новость выглядит рутинной, но она попала в один день с сообщением FirstVDS об атаке через уязвимость в ПО виртуализации. Связаны ли эти события, ниоткуда не следует — и делать выводы об общей дыре в отрасли нельзя. Общий вывод другой: безопасность инфраструктуры держится на скорости установки патчей, а не на том, что «панель у нас внутренняя». Для владельца сервиса это повод проверить, как у его провайдера устроены обновления: кто и в какие сроки ставит security-релизы, есть ли у клиента уведомления об инцидентах и понятный регламент ротации доступов. Если ответа нет — это такой же риск, как отсутствие бэкапов. Актуальные тарифы площадок смотрите в каталоге VPS, а карточка FirstVDS — на отдельной странице.