Что такое VMmanager и чем он отличается от ISPmanager

17 октября 2026 года через уязвимость в VMmanager 6 злоумышленники добрались до узлов виртуализации FirstVDS и скопировали данные с части клиентских серверов. В те же дни о проблемах с панелями VMmanager сообщили ForestsNet Cloud, Senko Digital, Gcore и другие хостеры. VMmanager легко спутать с ISPmanager из-за похожих названий и общего прошлого: оба продукта долго выпускала одна компания.

Редакция free-hosting.ru ведёт каталог VPS-провайдеров и разбирала инцидент по заявлениям вендора и хостеров. Здесь собрано, кто и что выпускает в семействе «manager», чем VMmanager отличается от ISPmanager по сути, у кого из хостеров эта платформа стоит по публичным данным и как клиенту VPS выяснить, на чём работает его сервер. Все цены и версии приведены на 21.10.2026 со ссылками на официальные страницы.

Кто разработчик: ISPsystem, «Группа Астра» и отдельная компания ispmanager

VMmanager выпускает ISPsystem — компания, по её собственным словам, работает на рынке с 2004 года. На главной ispsystem.ru перечислены платформы VMmanager, DCImanager, BILLmanager, Clouden, DNSmanager и IPmanager, а программы компании, по её данным, стоят более чем на 200 000 серверов в 100+ странах. Там же прямо сказано: ISPsystem входит в «Группу Астра».

Сделка прошла в марте 2022 года: «Астра» получила 70% ISPsystem при объёме инвестиций 2,5 млрд рублей, 30% остались у основателя и генерального директора Павла Гуральника. Эти цифры повторяет CNews в материале от 20.10.2026 об инциденте. Более свежих сведений о смене долей мы не нашли.

ISPmanager — уже не продукт ISPsystem. 24 марта 2022 года ispmanager объявил об отделении в самостоятельную компанию, генеральным директором тогда стал Фёдор Богомолов. На странице «О компании» указан разработчик — АО «ИСПменеджер» (ИНН 3810037036, Иркутск). Связи этой компании с «Группой Астра» ни ispmanager.ru, ни ispsystem.ru не упоминают. В меню продуктов ISPsystem панели ISPmanager нет, зато ispmanager фигурирует у ISPsystem как клиент: в разделе кейсов описано, как разработчик панели автоматизирует продажи на BILLmanager.

Отсюда первое практическое различие. Новость об уязвимости в продукте ISPsystem относится к платформам ISPsystem — VMmanager, BILLmanager, DCImanager и другим. ISPmanager выпускает другая компания, и его новости ищут на сайте ispmanager.ru.

Что делает VMmanager и кому он нужен

VMmanager — платформа управления виртуализацией. Хостер ставит её на отдельный сервер, подключает к ней физические машины-узлы и через один интерфейс создаёт, переносит и удаляет виртуальные серверы клиентов. На странице продукта ISPsystem пишет, что платформа развивается более 15 лет и собрана «с минимальным количеством open-source-компонентов» — QEMU-KVM, libvirt и Swagger. Виртуальные машины в VMmanager работают на KVM; как устроен этот гипервизор, мы разбирали в статье про KVM-виртуализацию.

Что платформа умеет по описанию вендора:

• объединяет узлы и хранилища в кластеры: файловое хранилище узла, LVM, Ceph, сетевое LVM (SAN, iSCSI), NAS — последнее только в редакции Infrastructure;
• поддерживает отказоустойчивый HA-кластер, встроенное резервное копирование и бесшовный перенос ВМ с одного узла на другой;
• ведёт IP-адреса через встроенную IPAM-систему и строит частные сети;
• выдаёт VPS автоматически «от 4 секунд» и связывается с биллингом по REST API;
• пробрасывает GPU напрямую в виртуальные машины и поддерживает vGPU;
• по заявлению вендора, одна инсталляция рассчитана на 22 000+ ВМ, 50+ кластеров и 350+ физических серверов.

Продукт продаётся в двух редакциях, и они рассчитаны на разных покупателей.

VMmanager входит в Единый реестр российского ПО, у сертифицированной версии есть сертификат ФСТЭК. Нынешнее поколение — VMmanager 6. Обновления выходят двумя ветками: стабильной (на 21.10.2026 последняя сборка 2026.05.2-10) и регулярной (2026.09.1-6), обе от 20.10.2026, по списку изменений.

Клиент хостера обычно видит VMmanager как «панель VPS». Пример из документации Gcore: клиент заходит в портал Gcore Hosting, выбирает сервер и нажимает «To panel» — открывается VMmanager 6. В нём сервер можно перезагрузить, переустановить ОС из шаблона, загрузить в режим восстановления, подключить ISO-образ и открыть VNC-консоль в браузере. VMmanager не заменяет панель администрирования сайтов, почты и баз данных внутри гостевой ОС: для этого на сервер ставят отдельную панель вроде ISPmanager.

Что делает ISPmanager

ISPmanager — панель управления одним сервером и сайтами на нём. Её ставят внутрь VPS или на выделенный сервер, и она настраивает то, что работает в операционной системе: веб-серверы Apache, nginx и OpenLiteSpeed, PHP, Python и Node.js, базы MySQL, MariaDB, Percona и PostgreSQL, DNS-зоны, почтовые ящики, SSL от Let’s Encrypt, резервные копии, файрвол и Fail2ban. Список функций и тарифов — на странице цен ispmanager.

Цены на 21.10.2026 при оплате за год, за один сервер:

• lite — до 10 сайтов, 6 149 ₽ в год;
• pro — до 50 сайтов, Docker и лимиты CloudLinux, 12 309 ₽ в год;
• host — без ограничения числа сайтов, для провайдеров, 21 989 ₽ в год.

Есть 14-дневная пробная версия без ограничений. Минимальные требования — 1 ядро, 1 ГБ памяти и 10 ГБ диска. Из поддерживаемых ОС: Ubuntu 22.04 и 24.04 (рекомендуется), Debian 12 и 13, AlmaLinux 8–10, Rocky Linux 8, CloudLinux 8–10. По документации, панель по умолчанию открывается по адресу вида https://IP-сервера:1500/ispmgr, а сама живёт в каталоге /usr/local/mgr5. Подробнее о том, когда лицензия окупается и чем её заменить бесплатно, — в нашем разборе «ISPmanager: что это», а общий обзор панелей — в статье о панелях управления хостингом.

BILLmanager и DCImanager: два соседа VMmanager

BILLmanager — биллинг. ISPsystem описывает его как платформу «для автоматизации продаж хостинга, выдачи сервисов» и построения облаков. Через BILLmanager клиент заказывает и оплачивает VPS, а биллинг по API передаёт задачу в VMmanager, который создаёт машину. ISPmanager тоже умеет интегрироваться с BILLmanager и с WHMCS, это указано на странице его цен.

DCImanager — то же, что VMmanager, только для «железа». По описанию вендора, он автоматизирует выдачу выделенных серверов и колокацию: диагностику, разметку дисков, установку ОС и назначение IP. Готовый сервер выдаётся «за 10 минут». В нём же ведут учёт стоек, PDU, ИБП и сетевого оборудования.

Оставшиеся продукты ISPsystem — DNSmanager (серверы доменных имён), IPmanager (учёт IP-адресов) и Clouden (управление инфраструктурой и мультиоблаком) — до клиента VPS обычно не доходят.

VMmanager и ISPmanager: таблица отличий

Если упростить, VMmanager работает этажом ниже: он нарезает физический сервер на виртуальные. ISPmanager работает внутри одной из таких виртуалок и настраивает в ней сайты.

На одном VPS легко встретить обе панели сразу. Хостер управляет виртуалкой через VMmanager, а клиент сам поставил в неё ISPmanager для сайтов. Это два независимых продукта: один не требует другого.

Кто пользуется VMmanager

Полный список клиентов вендор не публикует. На странице VMmanager на 21.10.2026 выложено 37 кейсов: среди них хостинг-провайдеры, вузы, медицинские и промышленные организации. Сам по себе кейс говорит только о том, что компания когда-то работала на платформе, и ничего не говорит о том, затронул ли её инцидент октября 2026 года.

На своих ресурсах затронутость подтвердили FirstVDS, ForestsNet Cloud и Senko Digital. Gcore сообщила о закрытии панелей VMmanager и DCImanager из-за уязвимости стороннего ПО; её статус-страница кражу данных не подтверждает. Подробности и хронология — в нашем разборе инцидента.

Как клиенту VPS понять, на какой панели его хостер

Изнутри виртуальной машины платформу хостера не видно: VMmanager, Proxmox и самописные системы запускают одну и ту же KVM. Выяснять придётся снаружи, а внутри сервера можно проверить только свою сторону.

1. Откройте письмо об активации сервера или личный кабинет и найдите ссылку на панель управления VPS: как она подписана и куда ведёт. Многие хостеры называют панель в инструкциях и базе знаний — так Gcore прямо пишет о VMmanager 6 в документации. Если хостер переименовал интерфейс под свой бренд, этот способ не сработает.
2. Посмотрите новости и статус-страницу хостера за 17–21 октября 2026 года. Провайдеры, которые закрывали панели из-за уязвимости, писали об этом публично: так поступили FirstVDS, Senko Digital и Gcore.
3. Спросите поддержку прямо: «Используете ли вы VMmanager 6? Какая сборка установлена? Закрыт ли доступ к платформе и узлам из интернета?» На 21.10.2026 актуальные сборки — 2026.05.2-10 и 2026.09.1-6. Ответ «используем, но уже на 2026.05.2-10 и панель за файрволом» лучше молчания.
4. Проверьте, не стоит ли ISPmanager на вашем собственном сервере. Это другая панель, но её тоже стоит держать обновлённой и закрытой от посторонних адресов.

Команды для последнего пункта работают на Ubuntu 22.04/24.04 и Debian 12:

# тип виртуализации: для VPS на KVM ожидаемый ответ — kvm
systemd-detect-virt

# есть ли каталог, в который ставится ISPmanager
test -d /usr/local/mgr5 && echo "Найден каталог /usr/local/mgr5; наличие ISPmanager требует дополнительной проверки"

# слушает ли что-то TCP-порт 1500 (проверка слушателя, а не наличия панели)
sudo ss -tlnp 'sport = :1500'

Каталог может остаться после удаления панели, а порт 1500 — занять другая программа. Точный ответ даст столбец с процессом в выводе ss и вход по адресу https://IP-сервера:1500/ispmgr.

Если ISPmanager нашёлся и заходить в панель нужно только вам, доступ к ней можно ограничить своим IP. Пример ниже рассчитан на панель, которая слушает только TCP-порт 1500. Панели можно назначить и другие адреса и порты, поэтому сначала проверьте все адреса доступа в её настройках. В примере 203.0.113.10 — ваш адрес:

# 1. Статус и политика по умолчанию: нужны «Status: active» и «Default: deny (incoming)»
sudo ufw status verbose

# 2. Порядок правил: нет ли выше разрешения 1500/tcp для всех (ALLOW Anywhere)
sudo ufw status numbered
# если есть — удалите его по номеру из списка, например:
# sudo ufw delete 3

# 3. Разрешить порт панели только своему адресу
sudo ufw allow from 203.0.113.10 to any port 1500 proto tcp

# 4. Если ufw был выключен: сначала разрешить SSH (укажите свой порт, если он не 22) и нужные сервисы, затем включить
sudo ufw allow 22/tcp
sudo ufw enable

# 5. Итоговая проверка порядка правил
sudo ufw status numbered

Правила ufw применяются по порядку, и прежнее широкое разрешение перекроет новое ограничение — поэтому шаг 2 обязателен. Включать ufw без правила для своего SSH-порта нельзя: можно потерять доступ к серверу. Подробности в нашем гайде по настройке файрвола.

Безопасность: октябрь 2026 года и уязвимости раньше

Октябрьский инцидент затронул сразу нескольких хостеров. Основные факты из официальных заявлений:

• По заявлению FirstVDS, 17.10 атакующие через уязвимость в VMmanager 6 запустили на части узлов программу, которая подключала диски клиентских ВМ в режиме «только чтение» и копировала с них пароли, SSH- и API-ключи, токены, конфиги, историю команд и криптокошельки. Внутри ВМ программа не запускалась и диски не меняла.
• ForestsNet Cloud описывает второй канал утечки — базу самой панели: список серверов и IP, email, root-пароли, заданные через панель, и пароли VNC-консоли.
• По постмортему Senko Digital, вход шёл через цепочку уязвимостей в API: эндпоинт подключения ISO позволял запустить задачу без авторизации. Вендор этот вектор не подтверждал. Senko оценивает число затронутых провайдеров как «как минимум несколько десятков».
• ISPsystem 20.10.2026 подтвердила инцидент «в одной из сборок VMmanager 6». Перечень затронутых операторов, CVE и способ доступа компания не раскрывает. Всем инсталляциям предписано закрыть платформу и узлы на файрволе для входящих и исходящих соединений, пустить SSH только с доверенных адресов и сменить пароли.

Затронут ли ISPmanager, официально никто не говорил. В заявлениях ISPsystem, «Астры» и хостеров он не упоминается, на новостной странице ispmanager.ru на 21.10.2026 заявления об инциденте нет. Gcore вместе с VMmanager закрыла и панели DCImanager 6, но атакован ли DCImanager через ту же уязвимость, не подтверждено. Хронология и пошаговая инструкция для клиентов — в нашей новости о взломе FirstVDS через VMmanager.

Ранее в продуктах ISPsystem тоже находили уязвимости:

• Сентябрь 2021 года. ISPsystem сообщила, что 10.09.2021 нашла и в тот же день закрыла уязвимость VMmanager 6 в релизе 2021.09.1-1. По словам компании, она проявлялась «в частном случае». Рекомендации совпадали с нынешними: обновиться и пускать SSH к критичным сервисам только по списку адресов.
• Май 2019 года. Check Point Research нашла предсказуемые идентификаторы сессий в общем ядре COREmanager. Через них можно было перехватить чужую сессию и получить доступ к сайтам, виртуальным машинам и биллингу. Ядро тогда было общим для всех продуктов, поэтому уязвимость затрагивала и ISPmanager, и VMmanager, и BILLmanager. Исправили её в COREmanager 5.178.2.

Вывод из всех трёх историй один: панель, которая управляет многими серверами сразу, нельзя держать открытой в интернет. Клиенту VPS от этого правила польза косвенная. Свою часть он закрывает сам: входит по SSH-ключам (как настроить — в гайде по SSH на VPS), не хранит на сервере seed-фразы и ключи без нужды и держит бэкапы отдельно от хостера.

Чем заменить VMmanager: Proxmox VE, OpenNebula и другие

Замену выбирает хостер или ИТ-отдел, а не клиент VPS. Клиенту важнее знать, какие платформы встречаются у провайдеров и чем они отличаются по модели распространения.

Из этого списка ближе всего к VMmanager Hosting стоят Virtualizor и SolusVM: они тоже заточены под продажу VPS и связку с биллингом. Как поставить Proxmox VE на выделенный сервер, мы показывали в гайде по установке Proxmox. Общая картина типов виртуализации — в обзоре «Что такое виртуализация серверов».

Что в сухом остатке

VMmanager — платформа виртуализации от ISPsystem, которая входит в «Группу Астра»: в марте 2022 года «Астра» приобрела 70% компании. Ею пользуются хостеры, чтобы нарезать физические серверы на VPS, и компании, чтобы строить собственные кластеры. ISPmanager — панель для сайтов внутри одного сервера, её с 2022 года выпускает отдельная компания АО «ИСПменеджер». Официальные сообщения об октябрьской уязвимости относятся к VMmanager 6; подтверждений затронутости ISPmanager в проверенных источниках нет.

Клиенту VPS полезно знать, на какой платформе работает его хостер, и спросить об этом поддержку. Ответ про установленную сборку и закрытую от интернета панель говорит о провайдере больше, чем отсутствие писем. Провайдеров с упором на защиту мы собрали в подборке защищённых VPS-хостингов, а полный список провайдеров с тарифами — в каталоге VPS/VDS.