Сканер безопасности сервера уязвим и затрагивает до 56 миллионов сайтов.

от

Недавно была обнаружена серьезная уязвимость в Imunify360 AV, сканере, который веб-хостинговые компании используют для защиты более 56 миллионов веб-сайтов. По данным компании по кибербезопасности Patchstack, эта уязвимость может позволить хакерам получить полный контроль над сервером и всеми размещенными на нем веб-сайтами.

Купил акции на все деньги, а они упали? А Илон Маск снова написал твит? Знакомо. У нас тут клуб тех, кто пытается понять этот цирк и не сойти с ума.

Купить на падении (нет)

Imunify360 AV

Imunify360 AV, сканер вредоносного ПО, используемый многими хостинг-провайдерами, недавно обнаружил уязвимость в безопасности в двух своих компонентах: файловом сканере AI-Bolit и сканере баз данных. Это означает, что злоумышленники потенциально могли получить полный контроль над серверами через одну из этих точек входа, подвергая опасности большое количество веб-сайтов – возможно, миллионы.

Patchstack поделился деталями потенциального воздействия:

Хакеры могут незаметно внедрять скрытый PHP-код на веб-сайты, который выглядит как легитимный код, используемый системой безопасности imunify360AV. Когда система безопасности пытается понять этот код, она случайно запускает команды, контролируемые хакером, что потенциально позволяет им захватить веб-сайт или даже весь сервер. Масштаб ущерба зависит от того, как настроен сервер и какие разрешения установлены.

Обнаружить эти угрозы сложно, потому что вредоносный код намеренно скрыт с использованием различных методов, таких как кодирование и сжатие. Код разработан таким образом, чтобы раскрываться только самим инструментом безопасности.

Как SEO-эксперт, я часто сталкиваюсь с вопросами безопасности веб-сайтов, и один из инструментов, который я рекомендую, — это imunify360AV, также известный как Ai-Bolit. Это действительно эффективный сканер вредоносных программ, потому что он фокусируется конкретно на файлах, которые приводят в действие веб-сайты — таких как PHP, JavaScript и HTML. Что здорово, так это то, что он работает как служба в фоновом режиме с полным доступом к системе, что означает, что он может тщательно проверять все без вашего непосредственного вмешательства.

Если на общем хостинге обнаружена уязвимость, злоумышленник может получить полный контроль над сервером. Это связано с тем, что если такое программное обеспечение безопасности, как imunify360AV, работает с высокими разрешениями, успешная атака может позволить им перейти от взломанного веб-сайта к полному контролю над всем сервером.

Patchstack обнаружила недостаток в конструкции самого сканера, непреднамеренно предоставляя злоумышленникам возможность проникновения и средства для осуществления атак. Сканер построен для упрощения сложного кода, но именно эта функция позволяет эксплойтам успешно срабатывать. Декодируя вредоносный код, предоставленный злоумышленниками, сканер затем выполняет его с тем же уровнем доступа, который он обычно имеет.

Если сканер имеет привилегированный доступ, то единый вредоносный фрагмент кода, внедрённый на веб-сайт, потенциально может дать злоумышленникам полный контроль над всем сервером, на котором размещён этот сайт. Это связано с тем, как сканер обрабатывает декодирование кода, его уровнем доступа и тем, как он запускает код, всё это способствует риску, поэтому Patchstack оценивает потенциальное воздействие как полное компрометирование сервера.

Два уязвимых пути: Сканер файлов и Сканер баз данных

Почему уязвимость легко эксплуатировать.

Уязвимость состояла из двух частей. Сканеру файлов требовалось, чтобы злоумышленники загрузили вредоносный файл в местоположение, которое проверял Imunify360. Однако, сканеру баз данных требовалось лишь право записи в базу данных – обычная привилегия во многих средах общего хостинга.

Злоумышленники могут легко добавлять вредоносные данные в базу данных веб-сайта через обычные функции, такие как разделы комментариев, контактные формы, профили пользователей и журналы поиска – и им даже не требуется имя пользователя или пароль для этого. Это серьезная проблема, поскольку это означает, что даже такая простая вещь, как ввод пользователя, может быть использована для удаленного управления веб-сайтом.

Вендор: Сроки молчания и раскрытия информации

Patchstack сообщает, что Imunify360 AV выпустил исправление для уязвимости в системе безопасности, но об этой уязвимости не было объявлено публично и у нее нет номера CVE. CVE — это стандартный идентификатор, используемый для отслеживания уязвимостей программного обеспечения, который помогает людям понимать и управлять рисками. Без CVE пользователи могут даже не знать о проблеме, хотя Imunify360 задокументировал ее в своей системе поддержки.

Эта уязвимость в системе безопасности была впервые обнаружена в конце октября, и клиенты были уведомлены вскоре после этого. Мы рекомендуем хостинг-провайдерам, которые могут быть затронуты, связаться с поставщиком, чтобы узнать больше о потенциальных атаках и любых результатах внутренних расследований.

Imunify360 ещё не опубликовал заявление и не присвоил номер CVE по этому вопросу, хотя о нём было публично сообщено на их платформе поддержки Zendesk с 4 ноября 2025 года.

Основываясь на нашем анализе этой уязвимости, мы считаем, что оценка CVSS составляет: 9.9″

Рекомендуемые действия для администраторов

Patchstack рекомендует администраторам серверов обновить Imunify360 AV (AI-bolit) до версии 32.7.4.0 или более поздней немедленно. Если обновление невозможно, им следует удалить этот инструмент. В качестве альтернативы, администраторы могут ограничить доступ инструмента, запустив его в безопасной, изолированной среде с ограниченными разрешениями. Patchstack также призывает всех администраторов связаться со службой поддержки CloudLinux / Imunify360, чтобы сообщить о любых потенциальных проблемах с безопасностью, проверить, были ли затронуты их системы, и получить помощь с дальнейшими шагами.

Смотрите также

2025-11-17 14:40