Безопасно говоря

CVE-2026-116366 — ошибка целочисленного переполнения (CWE-190). Оценка: 9,5 по CVSS 4.0

Уязвимость позволяет злоумышленнику с сетевым доступом к серверу при определённых условиях выполнить на нём произвольный код без аутентификации.

🔖Влияние на сервисы Yandex Cloud Кластеры Yandex Managed Service for ClickHouse® будут автоматически обновлены в ближайшее окно обслуживания.   Продукты Yandex Cloud Marketplace — Langfuse и GMonit Lite включают уязвимую версию. Разработчики уведомлены и готовят обновления.   Самостоятельно развёрнутые сервисы ClickHouse требуют проверки по рекомендациям ниже 🔖Общие рекомендации Проверьте установленную версию ClickHouse.   Проверьте, какие порты слушает сервер и с каких адресов они доступны.   Как можно скорее обновите сервер ClickHouse до исправленной версии вашей ветки и перезапустите его.   Подробные рекомендации ⏩ @yndxcloudsecurity

CVE-2026-111497 — Broccoli2Shell или Node2Shell. Оценка: 9,2 по CVSS 4.0

Что известно об уязвимости Brotli — алгоритм сжатия, который используется в HTTP (Content-Encoding: br), шрифтах WOFF2 и файловых форматах. Эталонная реализация Google на языке C встраивается в Node.js, .NET, пакеты Python Brotli и brotlicffi, Envoy, браузеры и поставляется дистрибутивами Linux как библиотека libbrotlidec. Уязвимость находится в декодере (c/dec/decode.c). При обработке специально сформированного переключения типа блока (block switch) декодер записывает данные злоумышленника за границу внутреннего буфера, что приводит к повреждению состояния декодера и соседней памяти: ⚫️аварийному завершению процесса ⚫️раскрытию содержимого памяти ⚫️потенциально выполнению произвольного кода. Эксплуатация не требует аутентификации— достаточно, чтобы уязвимый процесс распаковал Brotli-поток, подготовленный злоумышленником. 

Влияние на сервисы Yandex Cloud Обновляем до версий с исправлением уязвимости критические сервисы и зависимости Yandex Cloud и продукты Yandex Cloud Marketplace. Получают исправление автоматически функции в сервисе Yandex Cloud Functions с предзагружаемой средой выполнения Node.js 22. 🔔 Если предзагрузка отключена переменными окружения X_YCF_NO_RUNTIME_POOL, LD_PRELOAD, LD_LIBRARY_PATH или задан параметр --tmpfs-size, создайте новую версию функции. Функции на средах выполнения nodejs10–nodejs18 переведите на nodejs22. Требуют проверки со стороны владельцев по разделу Рекомендации по обнаружению уязвимости пользовательские сервисы, самостоятельно развернутые: 🔺на виртуальных машинах 🔺в контейнерах 🔺в Yandex Managed Service for Kubernetes 🔺в собственных образах или из Cloud Marketplace Общие рекомендации ▶️Ограничьте сетевой доступ к сервисам, которые распаковывают Brotli от недоверенных сторон. ▶️Настройте лимиты памяти и автоматический перезапуск процессов, чтобы ограничить последствия отказа в обслуживании. Защита с помощью Yandex Smart Web Security. Для приложений за Yandex Application Load Balancer добавьте в профиль безопасности базовое правило с действием «Запретить» по условию: заголовок Content-Encoding соответствует регулярному выражению .*br.*. Правило защищает только от входящих запросов. Для неподдерживаемых версий запланируйте переход на поддерживаемую ветку. Признаки попыток эксплуатации 🔺Аварийные завершения процессов Node.js, Python, .NET, Envoy при распаковке данных (SIGSEGV, SIGABRT) 🔺Ошибки декодера на исправленных сборках: в Node.js код ошибки ERR__ERROR_FORMAT_BLOCK_SWITCH с двумя подчеркиваниями, в libbrotli код -17 (BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH) 🔺Входящие запросы с Content-Encoding: br на эндпоинты, которые не должны принимать сжатые тела.   Подробные рекомендации ⏩ @yndxcloudsecurity

CVE-2026-99999 — PwnEscape. Оценка: 9,3 по CVSS v.3.1.

Что известно об уязвимости Уязвимость в сетевой подсистеме IPv4 ядра Linux, позволяющая недоверенному отправителю пакета с метаданными отложенной контрольной суммы (csum_start, csum_offset) изменить уже разобранный IPv4-заголовок в памяти ядра. Основной сценарий — гостевая виртуальная машина, передающая пакеты хосту KVM через virtio-net. В этом случае уязвимость позволяет раскрыть память ядра хоста и, при развитии атаки, записать данные в память хоста и выполнить код с правами хоста. Уязвимость не зависит от аппаратной платформы, потому что находится в сетевом стеке ядра, а не в коде KVM.

Влияние на сервисы Yandex Cloud Уязвимость не затрагивает конфиденциальность или целостность пользовательских данных. Сервисы Yandex Cloud обновляются для предотвращения возможности эксплуатации уязвимости. Сервисы Yandex Compute Cloud и Yandex Virtual Private Cloud не подвержены уязвимости. Самостоятельно развернутые на выделенных хостах BareMetal пользовательские сервисы требуют проверки со стороны владельцев . Общие рекомендации Актуальны для пользователей, которые самостоятельно администрируют хосты Linux с недоверенными нагрузками: ▶️KVM-гипервизоры на выделенных хостах BareMetal или во вложенной виртуализации ▶️собственные CI/sandbox-платформы ▶️узлы с контейнерами, имеющими CAP_NET_RAW 1️⃣ Проверьте версию ядра на таких хостах:

$ uname -r

2️⃣ Сравните с безопасными версиями стабильных веток ядра или с версией пакета вашего дистрибутива из раздела Безопасная версия уязвимого продукта или патч.

Ядро младше указанных версий уязвимо. Уязвимый код присутствует в ядре Linux начиная с версии 2.6.27 (2008 год, появление поддержки virtio_net_hdr в драйвере tun) во всех ветках до версий с исправлением. Они приведены в разделе Безопасная версия уязвимого продукта или патч.

🔔Единственная подтвержденная мера — обновление ядра. Конфигурационных митигаций, закрывающих уязвимость, не опубликовано. 3️⃣ До обновления ядра не размещайте недоверенные гостевые ВМ и недоверенные контейнеры с CAP_NET_RAW на непропатченных хостах.   Подробные рекомендации ⏩ @yndxcloudsecurity

CVE-2026-111497 — Broccoli2Shell или Node2Shell. Оценка: 9,2 по CVSS 4.0

Что известно об уязвимости Brotli — алгоритм сжатия, который используется в HTTP (Content-Encoding: br), шрифтах WOFF2 и файловых форматах. Эталонная реализация Google на языке C встраивается в Node.js, .NET, пакеты Python Brotli и brotlicffi, Envoy, браузеры и поставляется дистрибутивами Linux как библиотека libbrotlidec. Уязвимость находится в декодере (c/dec/decode.c). При обработке специально сформированного переключения типа блока (block switch) декодер записывает данные злоумышленника за границу внутреннего буфера, что приводит к повреждению состояния декодера и соседней памяти: ⚫️аварийному завершению процесса ⚫️раскрытию содержимого памяти ⚫️потенциально выполнению произвольного кода. Эксплуатация не требует аутентификации— достаточно, чтобы уязвимый процесс распаковал Brotli-поток, подготовленный злоумышленником. 

Влияние на сервисы Yandex Cloud Обновляем до версий с исправлением уязвимости критические сервисы и зависимости Yandex Cloud и продукты Yandex Cloud Marketplace. Получают исправление автоматически функции в сервисе Yandex Cloud Functions с предзагружаемой средой выполнения Node.js 22. 🔔 Если предзагрузка отключена переменными окружения X_YCF_NO_RUNTIME_POOL, LD_PRELOAD, LD_LIBRARY_PATH или задан параметр --tmpfs-size, создайте новую версию функции. Функции на средах выполнения nodejs10–nodejs18 переведите на nodejs22. Требуют проверки со стороны владельцев по разделу Рекомендации по обнаружению уязвимости пользовательские сервисы, самостоятельно развернутые: 🔺на виртуальных машинах 🔺в контейнерах 🔺в Yandex Managed Service for Kubernetes 🔺в собственных образах или из Cloud Marketplace Общие рекомендации ▶️Ограничьте сетевой доступ к сервисам, которые распаковывают Brotli от недоверенных сторон. ▶️Настройте лимиты памяти и автоматический перезапуск процессов, чтобы ограничить последствия отказа в обслуживании. Защита с помощью Yandex Smart Web Security. Для приложений за Yandex Application Load Balancer добавьте в профиль безопасности базовое правило с действием «Запретить» по условию: заголовок Content-Encoding соответствует регулярному выражению .*br.*. Правило защищает только от входящих запросов. Для неподдерживаемых версий запланируйте переход на поддерживаемую ветку. Признаки попыток эксплуатации 🔺Аварийные завершения процессов Node.js, Python, .NET, Envoy при распаковке данных (SIGSEGV, SIGABRT) 🔺Ошибки декодера на исправленных сборках: в Node.js код ошибки ERR__ERROR_FORMAT_BLOCK_SWITCH с двумя подчеркиваниями, в libbrotli код -17 (BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH) 🔺Входящие запросы с Content-Encoding: br на эндпоинты, которые не должны принимать сжатые тела.   Подробные рекомендации ⏩ @yndxcloudsecurity

Мы продолжаем делать всё, чтобы предоставить вам максимальную доступность инфраструктуры. Делимся подробностями о текущем статусе работе платформы и необходимыми инструкциями. Новая зона доступности Сегодня, 23 октября, открываем новую зону доступности для наших клиентов. В ней можно будет запустить вычислительные ресурсы, которые раньше размещались в зоне ru-central1-a.

Важно: доступ к новой зоне будет открываться поэтапно в ближайшие дни. Узнать о получении доступа можно будет из рассылки.

Зона находится в новой локации, но в вашей консоли она будет отображаться со старым названием ru-central1-a. Это нужно, чтобы оперативно восстановить мощности и сохранить настроенные на вашей стороне автоматизации. Квоты на восстановление в новой зоне пока ограничены, но их уже хватит для переноса критичных нагрузок. Мы будем планомерно расширять их, а для экстренного увеличения можно обратиться в техподдержку. Вычислительные ресурсы в консоли будут отображаться в состоянии Stopped — вы сможете контролируемо запустить их на своей стороне. После получения доступа к новой зоне учитывайте рекомендации ниже. Подробнее о них рассказываем в блоге. Работа сервисов Мы сделали доступными основные возможности нашей платформы, в том числе в новой запущенной зоне. Вы можете создавать виртуальные машины и управляемые базы данных, управлять кластерами в Kubernetes®, пользоваться бизнес-аналитикой и сервисами для защиты от киберугроз, применять инструменты для работы с искусственным интеллектом. Наша команда продолжает налаживать работу других клиентских сервисов и наращивать вычислительные мощности 😍

Скомпрометированы ключи восьми промежуточных сертификатов компании eMudhra Под угрозой могут оказаться приложения, которые доверяют затронутым цепочкам сертификатов. Риск касается не только клиентов eMudhra: поддельный сертификат может быть выпущен для чужого домена и принят приложением, которое продолжает доверять этой цепочке. Проблема затрагивает проверку подлинности сервера — компрометация не позволяет ретроспективно расшифровать ранее переданный трафик, если соединение использовало прямую секретность.

Что известно об инциденте Закрытые ключи восьми промежуточных сертификатов были сгенерированы некорректно: каждый из них можно восстановить перебором не более 256 значений. Шесть сертификатов предназначены для выпуска TLS-сертификатов, два — для подписи кода. Восстановив ключ, злоумышленник может выпустить TLS-сертификат для любого домена и выдать себя за HTTPS-ресурс перед клиентами, которые доверяют соответствующей цепочке.

Для пользователей Yandex Cloud В процессе: 🔺 Отзыв доверия к сертификатам eMudhra в критических сервисах и зависимостях Yandex Cloud. 🔺 Обновление пользовательских образов и образов в Cloud Marketplace. Общие рекомендации ⭐️ Обновление хранилищ сертификатов Установить исправленные версии пакетов доверенных сертификатов для своей ОС. Если исправление пока недоступно — применить временное решение для соответствующей платформы. Важно: временное исключение корневых сертификатов emSign ECC Root CA - G3 и Comodo AAA Services root из доверия может нарушить соединения и с легитимными ресурсами. ⭐️ Проверка приложений. Отдельно проверить приложения с собственными хранилищами сертификатов: Java, Python с certifi, Node.js и другие. Важно: обновления системного хранилища может быть недостаточно. Приложение может продолжать доверять скомпрометированным цепочкам через собственный набор сертификатов. ⭐️ Обновление контейнерных образов. Обновить хранилища сертификатов при сборке и пересобрать контейнерные образы. Хранилища рантаймов внутри образов проверить отдельно. ⭐️ Проверка результата. В бюллетене приведены два тестовых адреса — для цепочки eMudhra и цепочки с кросс-подписью Sectigo. Ожидаемый результат — отклонение обоих соединений из-за ошибки проверки сертификата. Проверку нужно выполнять из того приложения или контейнера, защиту которого вы проверяете. Успешный ответ хотя бы для одного адреса означает, что клиент им доверяет. Ошибки DNS, сетевого соединения или таймауты не подтверждают защиту. Не отключайте проверку сертификатов параметрами -k или --insecure. Подробный бюллетень ⏩⏩

В GitLab обнаружили критическую уязвимость. Оценка CVE-2026-110264 — 10,0 по CVSS 3.1. Специально подготовленный файл может позволить злоумышленнику выполнить код на сервере GitLab без аутентификации. Под угрозой — репозитории, секреты инстанса, переменные CI/CD и токены. Важно: успешная атака не обязательно вызывает сбой процессов. Отсутствие ошибок в журналах не гарантирует, что эксплуатации не было.

Что известно об уязвимости Проблема затрагивает GitLab Community Edition и Enterprise Edition и связана с отображением файлов Org-mode — файлов с расширением .org. При обработке такого файла его содержимое попадает в регулярное выражение без экранирования. Специально сформированная строка может вызвать переполнение и позволить выполнить команды от имени пользователя git. Для эксплуатации без аутентификации нужен публично доступный вредоносный файл .org, который отображает GitLab.

Общие рекомендации Обновить GitLab Как можно скорее установить исправленную версию своей ветки: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 или 18.11.13. Для более ранних версий запланировать переход на исправленный релиз с учётом порядка обновления GitLab. Временные меры — до установки обновления по возможности ограничить публичную видимость проектов. Важно: временные меры ограничат сценарии атаки без аутентификации, но не заменят обновление. Проверить признаки эксплуатации уязвимости ⏩ Серии тайм-аутов при отображении файлов .org от одного клиента; ⏩ Аварийные завершения процессов Puma с упоминанием org-ruby или Onigmo; ⏩ Файлы .org с аномально длинными строками #+TODO:, #+SEQ_TODO: или #+TYP_TODO:. При обнаружении признаков выполнения кода считать инстанс скомпрометированным и выполнить ротацию секретов инстанса, переменных CI/CD, токенов раннеров и токенов доступа. Для пользователей Yandex Cloud Managed Service for GitLab. Мы принудительно установили обновление безопасности, устраняющее уязвимость, независимо от настроек автоматического обновления. Дополнительных действий с вашей стороны не требуется. GitLab на виртуальных машинах. Если вы самостоятельно развернули GitLab на виртуальных машинах Yandex Cloud, обновите его до безопасной версии. Бюллетень с подробностями и командами проверки ⏩⏩

В мире обнаружены две критические уязвимости в PHP — CVE-2026-109618 и CVE-2026-109619⏩ ⏩ Оценка 9,2 по CVSS 4.0 Из-за распространённости PHP под угрозой могут оказаться практически любые веб-приложения — от корпоративных порталов до публичных сервисов. ⚡️ Собрали наши рекомендации: общие и рекомендации для пользователей Smart Web Security (SWS).

Что известно об уязвимостях Обе проблемы относятся к классу Use-After-Free (UAF) и связаны с механизмом session.upload_progress. Суть UAF в том, что приложение продолжает обращаться к области памяти после её освобождения. При определённых условиях атакующий может повлиять на её содержимое и добиться выполнения произвольного кода. В открытом доступе уже появились технические разборы и PoC, позволяющие воспроизводить сценарии эксплуатации.

Общие рекомендации 🔖Обновление PHP Установить исправленную версию сразу после выхода релиза и перезапустить PHP-FPM / веб-сервер. PHP сообщил о выпуске исправленных версий: 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Для пакетов дистрибутива нужно проверить обновления у его поставщика. Временная мера: рассмотреть возможность отключения session.upload_progress.enabled. Важно: это не станет полноценной защитой. Неподдерживаемые версии: запланировать переход на поддерживаемую ветку; до перехода ограничить доступ к ресурсу (Security Groups, VPN, allowlist). 🔖Мониторинг Отслеживать нетипичные дочерние процессы PHP-FPM / веб-сервера и новые файлы в web root. 🔖Закрыть через правило Web Application Firewall Важно: WAF помогает снизить вероятность успешной эксплуатации известных сценариев атак, но не устраняет саму уязвимость. Поэтому установка исправлений остаётся приоритетной задачей. Пользователи SWS 🔖Мы сделали временный виртуальный патч для всех пользователей Smart Web Security, который закрывает данную уязвимость. Также добавили правило в сигнатурный модуль профиля SolidWall WAF (уже доступно в продуктиве) и набор Yandex Ruleset профиля Cloud WAF (будет доступно после релиза 22.10.26) В Cloud WAF: выбрать набор YARS версии 0.1.1 в профиле WAF, группа правил СVE, ID правила id8070048-attack-cve. В SolidWall WAF правило уже включено в активном режиме, дополнительно делать нечего не требуется. Оно применится само, если защита приложения переведена в активный режим. Сигнатура отсекает вредоносные запросы ещё до того, как они дойдут до уязвимого приложения. Правило для модуля сигнатурного анализа ловит типовые варианты атаки по характерным признакам в теле запроса. Это значительно снижает риски успешных атак по распространённым в открытом доступе пейлоадам. В случаях попыток эксплуатации данной уязвимости при помощи PHP Object Injection (Deser) и LFI Yandex Ruleset версии 0.1.1 и SolidWall WAF имеет защиту в виде правил, идущих в стандартной поставке. ⏩ После релиза официального патча добавим новые правила для этих уязвимостей.

Предупреждение: у мошенников появилась новая схема — отправлять письма от Yandex Cloud. Они просят открыть вложение из-за срочной миграции или сообщают, что аккаунт заблокирован. Как отличить письмо из Yandex Cloud от сообщения злоумышленников и что делать, если уже ответили мошенникам, — читайте в карточках. И ещё два совета. Проверяйте статус работы сервисов Yandex Cloud только на статус-борде и в консоли, а если возникнут вопросы — обращайтесь в поддержку. Текущие клиенты Yandex Cloud могут бесплатно пользоваться всеми ресурсами облака в октябре. В счёте за этот месяц будут отражены расходы только на те сервисы, которые вы применяли до 7 октября включительно.

Обновлённый статус сервисов 😃🥸☺️🥰😎 на 13 октября. ⏩ Smart Web Security. Сервис работает с ограничениями: 🔺 Фильтрация трафика продолжается на текущих ресурсах ALB и прокси-серверов. Автоматическое масштабирование временно недоступно. 🔺 Изменение настроек защиты и конфигураций прокси-серверов доступно. 🔺 Создание новых прокси-серверов и ручное масштабирование ресурсов ALB и прокси-серверов временно недоступны. 🔺 Просмотр логов сервиса и данных мониторинга временно недоступен. ⏩ Security Deck. Сервис работает с ограничениями. Рекомендуем скачать и сохранить результаты текущих проверок в следующих модулях: 🔺 Алерты — скачать результаты 🔺 Контроль конфигураций (CSPM) — выгрузить результаты проверок 🔺 Контроль данных (DSPM) — сохранить результаты проверок ⏩ Yandex Audit Trails. Сервис работает с ограничениями, возможна задержка с поставкой событий. 🔺 Доступна поставка событий уровня сервисов в бакеты Object Storage. 🔺 Поставка событий в Cloud Logging и Yandex Data Streams временно недоступна. Для обеспечения сбора и хранения событий аудита рекомендуем создавать трейлы с выгрузкой событий в Object Storage ⏩ Yandex Identity Hub. Для централизованного и безопасного управления доступом к ресурсам сторонних облачных платформ рекомендуем настроить единый вход (SSO) через Yandex Identity Hub. Рекомендации по всем продуктам и сервисам Yandex Cloud на 13 октября

Все сервисы Yandex Cloud будут бесплатными до конца октября Наша платформа по-прежнему работает в ограниченном режиме, а инженеры продолжают восстановительные работы. Мы понимаем, что сейчас ваши команды сосредоточены на восстановлении своих сервисов. Чтобы в этот период вам не приходилось дополнительно беспокоиться о расходах на облако, мы приняли решение сделать использование всех сервисов Yandex Cloud во всех зонах доступности РФ бесплатным для текущих клиентов с 8 по 31 октября включительно. В счете за октябрь будут отражены только расходы на ресурсы, использованные до 7 октября включительно. Начисления за период с 8 октября пока могут отображаться в биллинг-аккаунте, но мы скорректируем их автоматически. Вам ничего делать не нужно. Команда Yandex Cloud 😍

😃🥸☺️🥰😎 🔖Yandex Key Management Service. Доступ к HSM-модулям сервиса KMS может быть затруднён. Рекомендуем не создавать новые HSM KMS-ключи.  🔖Как забрать свои секреты из Lockbox и Certificate Manager: → Выгрузка секретов из Lockbox → Выгрузка сертификатов из Certificate Manager. Для сертификатов, которые поддерживают экспорт, можно скачать и цепочку сертификатов, и приватный ключ. 🔖IAM. Рекомендуем создать сервисный аккаунт (или несколько) в каталоге Yandex Cloud, выдать ему права на управление ресурсами и создать авторизованные ключи (или другие типы ключей при необходимости), чтобы использовать его для управления инфраструктурой через CLI/Terraform. Пример команды: yc resource-manager cloud add-access-binding --cloud-id=<...> --service-account-id=<...> —role=<...> 🔖Smart Web Security. Текущие инстансы обеспечивают защиту в полном объёме. Рекомендуем сохранить их текущую конфигурацию: её изменение может привести к отключению защиты. 🔖Фишинговые атаки от лица Yandex Cloud. Типичные предлоги мошенников: «данные повреждены — войдите для восстановления», «аккаунт заблокирован из-за сбоя», «компенсация за простой — укажите реквизиты», «срочная миграция — откройте вложение». Мы никогда не просим по электронной почте пароли, коды 2FA, API-ключи, реквизиты карт и удалённый доступ. 1️⃣ Как распознать Отправитель: реальный адрес должен быть на домене @yandex.cloud Ссылки: наведите курсор до того, как кликнуть; HTTPS ≠ безопасность; вместо перехода по кнопке в письме откройте сайт вручную. Срочность: фразы по типу «подтвердите за 24 часа» — признак атаки. Вложения: не открывайте .exe, .js, .zip с паролем и .docm.  2️⃣ Что делать Проверяйте статус компонентов платформы только на статус-борде и в консоли. Если сомневаетесь, не кликайте. Проверьте по официальному каналу. Подозрительные письма отмечайте как спам.  Если вы уже ввели данные: 🔺Смените пароль 🔺Завершите все сессии 🔺Проверьте правила пересылки почты 🔺Сообщите в поддержку через консоль ⤴️Рекомендации по всем продуктам и сервисам Yandex Cloud ⤵️

Рекомендации по восстановлению и ответы на самые частые вопросы Актуальны на 12 октября Сейчас наша техническая поддержка разбирает большой поток ваших обращений. Их обработка займёт время. Поэтому мы подготовили для вас ответы на самые частые вопросы и рекомендации по восстановлению работы отдельных сервисов. Пожалуйста, ориентируйтесь на них при работе с ресурсами и резервными копиями. ⭐️ Создание ресурсов. В связи с  ограниченным  режимом работы платформы создание новых ресурсов в облачной инфраструктуре может быть лимитировано. Информацию о работе сервисов мы публикуем на статус-борде. ⭐️ Сроки. На текущий момент мы не можем назвать сроки восстановления сервисов, но прикладываем все усилия для улучшения ситуации.  ⭐️ Удаление ресурсов. Вы можете удалить ресурсы: → одного каталога → всех ресурсов облака Если инфраструктура находится в обесточенной зоне,  операции удаления недоступны. Пожалуйста, следите за статусом.  ⭐️ Тарификация и баланс. Ресурсы, которые стали недоступны, не тарифицируются и не будут учитываться в потреблении. Они могут ошибочно отображаться в детализации биллинг-аккаунта, но списаний по ним не будет. Мы временно приостановили пополнение баланса. Для действующих клиентов достижение нулевого баланса не приведёт к остановке ресурсов. Текущий баланс можно проверить в Yandex Cloud Billing: выберите свой платёжный аккаунт и откройте страницу Аккаунт. Если вы уже пополняли баланс, то можете проверить зачисление средств в разделе «История платежей» на панели слева. В нём отображаются дата, статус и сумма платежа. Подробнее читайте в инструкции. О восстановлении возможности пополнить баланс мы сообщим дополнительно. Мы продолжаем круглосуточно работать над восстановлением работы платформы и делать всё возможное для обеспечения стабильности работы облачных сервисов. Спасибо вам за терпение и понимание!

Инфраструктура наших дата-центров повреждена, поэтому в работе сервисов Яндекса могут быть сбои. Специалисты делают всё возможное, чтобы как можно скорее всё починить. Повреждения также затронули работу службы поддержки. Если не удаётся связаться с нами через приложения, пожалуйста, пишите в официальные аккаунты сервисов Яндекса в соцсетях. Сейчас обращений много, поэтому ответ может занять больше времени, чем обычно. Мы постараемся помочь каждому как можно скорее. Спасибо за терпение и поддержку! Команда Яндекса ❤️

В ночь с 7 на 8 октября дата-центр Яндекса в Сасово был серьезно повреждён из-за атаки БПЛА. Его работа полностью остановлена. Сегодня утром произошла атака на ещё один наш дата-центр, в Калуге. Часть инфраструктуры вышла из строя. Ни в Сасово, ни в Калуге сотрудники не пострадали. Сейчас на месте работают экстренные службы и наши специалисты.  Дата-центры — «железное сердце» Яндекса. Их работоспособность критична для сервисов, которые стали частью повседневной жизни людей. Миллионы пользователей проверяют пробки и строят маршруты, слушают музыку, смотрят кино, заказывают продукты и получают ответы на вопросы. Наши технологии помогают вести бизнес сотням тысяч компаний: принимать заказы, обслуживать клиентов, взаимодействовать с партнёрами. Мы понимаем, что для наших пользователей, клиентов и партнёров каждый сбой — это нарушенные планы и невозможность сделать то, что было частью повседневной жизни или работы. Команды Яндекса ночью и днём делают всё возможное, чтобы обеспечить работу сервисов и помочь тем, кого затронул инцидент. Сейчас это наша самая важная задача, но, к сожалению, она непростая. Спасибо нашим сотрудникам — тем, кто находится на площадках, и тем, кто продолжает работать над восстановлением сервисов. Спасибо партнёрам за терпение и сотрудничество, а пользователям — за понимание. Мы продолжаем оценивать состояние инфраструктуры — пока назвать сроки восстановления работы оборудования в дата-центрах очень сложно. Будем рассказывать о ситуации по мере появления информации. Команда Яндекса ❤️

Если вы уже на Айдентити Конф — приходите пообщаться на стенд 😃🥸☺️🥰😎! В финальной секции участвует Андрей Кузнецов, архитектор Yandex Cloud IAM. Там говорим о MFA — почему привычных механизмов многофакторной аутентификации теперь может быть недостаточно. Начало — в 16:30. ⭐️ 7 октября, Москва, Кибердом

Подготовьте инфраструктуру с выгодой до 30%🔖

Четвёртый квартал — время высоких IT‑нагрузок для многих отраслей. Трафик клиентских приложений растёт, увеличивается нагрузка на инфраструктуру, а параллельно нужно закрыть десятки срочных задач до 31 декабря.

1️⃣ Проверьте готовность инфраструктуры по чек-листу. 2️⃣ Подключите сервисы Yandex Cloud на специальных условиях: чем больше сервисов выберете, тем выше скидка — от 15 до 30%. Согласованные условия будут действовать до конца 2026 года. Получить чек-лист и оставить заявку на нашем сайте ⏩

Спасибо всем, кто принял участие в нашем конкурсе «Кастомизируй страницу авторизации»! Вы показали более 40 самых неожиданных страниц авторизации в Yandex Identity Hub ❤️ Ещё мы увидели, что часть участников задизайнила отличные страницы в Брендировании, но по каким-то причинам не опубликовала их для конкурса. Поэтому мы добавили еще одну номинацию «Для тайных дизайнеров». Победителю в ней мы напишем на электронную почту. Он получит внеконкурсный приз. И, если захочет, может поделиться своим дизайном в комментарии к этому посту.

А вот список победителей 🔥

Яндекс Станции Миди с Алисой получают дизайны: ⭐️ Форма входа в виде чипа, автор Max @otmoroj6n1 ⭐️ Страницы авторизации для кофейни SpaceCoffee, автор cikapu`@cikapu_ka ⭐️ Экран входа в панель управления киосками для компании Touchverse, автор Ксения @Happybable Титановые пауэрбанки с беспроводной зарядкой — за эти работы: *️⃣ Безопасный SSO для Совета Джедаев и Имперского бюро (котики прилагаются), автор Иван Чистин @Chistin_I *️⃣Страница входа для «Орбиты» — автор zoia @neskubo *️⃣Форма входа по нетленной классике, автор Андрей Колесинский @Benedixiimus *️⃣Страница входа для вымышленной компании по продаже комплектующих и сборке компьютеров DemClub, автор Роман Макаров @makrosses 🎉 Поздравляем! С каждым из победителей свяжется в личных сообщениях наш официальный аккаунт @YandexCloudAdmin. Зовём ещё раз посмотреть все работы — и поставить лайки тем, что нравятся вам ⏩

Три кейса компаний, которые использовали инструменты Yandex Security для мониторинга, защиты и развития своих IT-систем — в спецпроекте «Ведомостей» ⏩ ⭐️ АстраЗенека: мигрировала в облако и усилила мониторинг и защиту инфраструктуры c YCDR. ⭐️ Naumen: за 1,5 месяца перенес часть сервисов в Yandex Cloud, автоматизировал мониторинг событий безопасности и снизила нагрузку на свою команду ИБ. ⭐️ Циан: защитил высоконагруженную инфраструктуру с помощью Smart Web Security. А какие результаты получили компании — показываем в карточках ⬆️⬆️⬆️ Полностью истории читайте на сайте «Ведомостей»

Кому и как давать доступ и при этом не расширять поверхность атаки? Приходите обсудить на Айдентити Конф 2026! В фокусе программы этого года: ▶️ Как меняется объект защиты — автономные агенты становятся новым классом субъектов инфраструктуры и как это меняет управление доступом. ▶️ Как управлять доступом в организации — реальные сценарии применения IdM, управление доступом в эпоху ИИ и задачи за пределами классического PAM. ▶️ Как Identity Security помогает соблюдать регуляторные требования — практические вопросы на стыке управления доступом и требований ИБ. ▶️ Как меняется аутентификация — почему привычной многофакторной аутентификации может быть недостаточно. Финальная секция посвящена MFA — почему привычных механизмов многофакторной аутентификации теперь может быть недостаточно. В ней участвует Андрей Кузнецов, архитектор Yandex Cloud IAM. А ещё приходите на наш стенд — пообщаться с командой 😃🥸☺️🥰😎. ⭐️ 7 октября, Москва, Кибердом Подробная программа и регистрация ⏩