Безопасность 20 октября 2026, 10:50 МСК

Битрикс24 перевыпустил ключи сторонних приложений после атаки на хостера FirstVDS

После взлома инфраструктуры FirstVDS через уязвимость в VMmanager 6 Битрикс24 перевыпустил OAuth-секреты приложений Маркета 10 разработчиков и дал клиентам рекомендации.

FirstVDS сообщил 18 октября об атаке 17 октября: злоумышленники через уязвимость в VMmanager 6 получили доступ к части инфраструктуры. По данным провайдера, вредоносная программа подключала диски клиентских виртуальных машин в режиме «только чтение» и копировала файлы, пароли, ключи, токены и конфигурации, не изменяя данные. Расследование продолжается; на 19 октября 17:46 МСК технические детали и перечень затронутых версий не раскрыты.

Битрикс24 заявляет, что уязвимость не в его системе, но косвенный риск есть, если серверные части сторонних приложений работали на затронутых серверах. Поэтому 18 октября компания проактивно перевыпустила client_secret для потенциально затронутых приложений Маркета; это не значит, что конкретное приложение скомпрометировано. Из-за обновления секретов часть приложений могла перестать работать 18–19 октября, возможны дополнительные отзывы ключей. Локальные приложения и вебхуки мера не затрагивает.

Компания советует составить список сторонних приложений и спросить у разработчиков, где размещена серверная часть, используется ли VMmanager 6 и какие данные портала хранились на сервере. Отзыв секрета не удаляет уже сохранённые копии данных на внешних серверах, поэтому такой сценарий возможен и без новых запросов к Битрикс24.

• Атака на FirstVDS — 17 октября, через уязвимость в VMmanager 6
• Затронуты секреты приложений 10 разработчиков
• Использование VMmanager 6 само по себе не доказывает компрометацию