Экстренно перезагрузили узлы: закрыли уязвимость ядра PwnEscape

Узлы снова в строю: щит с галочкой и перезагрузка · Nodes back online: a shield with a checkmark and a restart

17 октября с 14:07 до 14:28 UTC (17:07–17:28 по Москве) мы по очереди перезагрузили все узлы хостинга — два в Нидерландах и один в Германии. Виртуальные машины останавливались штатно и запускались сразу после перезагрузки своего узла: каждая была недоступна около пяти–шести минут. Предупредить заранее не успели, за это приносим извинения.

Что случилось

В сетевом стеке ядра Linux нашли критическую уязвимость — PwnEscape, CVE-2026-99999, 9,3 из 10 по шкале CVSS. Из виртуальной машины она позволяла прочитать память физического узла, уронить его вместе со всеми соседними машинами или выполнить свой код на стороне узла. Ошибка не в гипервизоре и не в панели управления, а в самом ядре: она пролежала в коде около восемнадцати лет, затронуты все актуальные версии.

Почему сразу, а не ночью

Обходных путей нет: уязвимость закрывает только новое ядро, а оно начинает работать после перезагрузки. AlmaLinux выпустил исправленное ядро вечером 16 октября, мы поставили его и перезагрузили узлы на следующий день. Ждать ночного окна значило оставить все серверы под угрозой ещё на сутки.

Сейчас

Все узлы работают на исправленном ядре, все виртуальные машины снова запущены.

Если ваш сервер не поднялся или ведёт себя странно — напишите в поддержку, разберём в первую очередь.

По SLA работы без предупреждения считаются простоем. Пять–шесть минут укладываются в обещанные 99,8 % доступности за месяц; если вместе с другими сбоями доступность вашего сервера за октябрь окажется ниже, вы получите компенсацию.

Подробнее об уязвимости: бюллетень AlmaLinux, разбор исследователей, страница Red Hat.