1. Хронология
  2. Розовый вестник

Выпуск №11
Июнь 2026

Цена: бесплатно
как и всё на host.pink

Розовый вестник

Ежемесячная газета тех, кто держит ноды, панели и нервы · выходит по мере блокировок

Июнь 2026Сообщество Bedolaga Social Clubhost.pink/gazeta

Погода в ТСПУ. По стране CDN-похолодание: Selectel, Timeweb, Beeline и CDNVideo замёрзли, Яндекс пока держится. В Петербурге и Нижнем Новгороде выпали белые списки, в Нидерландах стойки обесточены, а над Remnawave прошёл ливень из дампов через сабпейдж.

Атаки

Сабпейдж открыл дверь: Remnawave поймали на дыре

19–23 июня Remnawave выпустил security notice о критической уязвимости в Subscription Page. Через неё вытягивали данные панелей, дампы начали продавать, а владельцам VPN пришли шантажисты.

Ещё 9 июня в чат утёк отчёт с PoC к 15 уязвимостям панели, автор грозился продавать их на серых форумах. 19 июня вышло официальное уведомление: критическая уязвимость в Subscription Page, обновиться немедленно, детали раскроют в течение трёх месяцев. 20 июня её подтвердили: через неё можно смотреть, удалять и менять любые сущности, включая приватные ключи нод.

Механику быстро разобрали: параметры в пути запроса не кодировались, и через сабпейдж можно было дёргать произвольные эндпоинты панели. В чате писали, что с одного сервиса спарсили 700 тысяч пользователей, с другого 300 тысяч. Дампы продавали за 500 $ в USDT, а в официальном уведомлении отдельно упомянули шантажистов с реальными фрагментами данных.

Реакция была разной: кто-то закрывал сабпейдж в Caddy, один сервис отозвал все подписки, остальные массово обновляли Subscription Page. 24 июня вышла версия 7.2.6 с фиксом подмены IP через X-Forwarded-For. 28 июня тем же эксплойтом через старый nginx-шаблон сабпейджа вскрыли ещё один сервис, который как раз забанил РКН.

Пруфы: 19.06 22.06 23.06

Блокировки

ТСПУ подсовывает настоящий сертификат

5 июня в чате разобрали новую механику: ТСПУ перехватывает TLS-рукопожатие и отдаёт настоящий сертификат маскировочного сайта. Xray видит «REALITY: received real certificate (potential MITM)» и рвёт соединение. Накануне вечером у многих отвалилась половина нод, и смена отпечатка, транспорта и SNI не помогала. 5 июня

Хостеры

nLighten выдернул рубильник у MIRhosting

2 июня датацентр nLighten в Нидерландах обесточил стойки арендатора MIRhosting. Легли VDSina, mchost, MS Host, UFO Hosting, The Hosting, antifilter.network и другие. VDSina объяснила клиентам, что доступ к стойкам ограничили без предупреждения по юридической причине. 2 июня

Блокировки

CDN-кладбище: живым остался Яндекс

К 24 июня по сводке из чата живыми считались Yandex CDN, VK Cloud CDN и частично MWS CDN, а Selectel, Timeweb, Beeline, CDNVideo, Beget и ngenix — мёртвыми. 27 июня ТСПУ начал сворачивать эджи Яндекс CDN в Москве, Самаре, Екатеринбурге, Ростове и Петербурге. 24 июня

Блокировки

Белые списки дошли до Нижнего и Питера

26 июня белые списки включили в Нижнем Новгороде, 29 июня в Санкт-Петербурге. Ещё 18 июня в чате писали, что под белыми списками местами сидит Московская область. 29 июня

Хостеры

Beget сказал VPN «до свидания»

Beget обновил лицензионное соглашение: услуги для VPN и прокси он больше не оказывает, а до переноса проектов режет скорость до 10 Мбит/с. В чате добавили, что Beget банит за VPN, «видимо смотрит процессы». 19 июня

Клиенты

Happ съездил из App Store и вернулся

24–26 июня Happ и Happ Plus исчезли из российского App Store. 29 июня Happ вернули, но в поиске он не проиндексирован, а в выдаче висят поддельные приложения, так что ставить советуют только по прямой ссылке. 29 июня

Платёжки

Platega: менеджера взломали, платежи зависли

6 июня в чате сообщали о взломе менеджера Platega: аккаунт заморожен, вебхуки не приходят, платежи висят в статусе «ожидает оплаты». К концу месяца из API пропала функция вывода, а тарифы в чате называли такие: СБП 8%, крипта 5%, карты РФ 9% плюс около 4% на конвертации. 6 июня

Законы

700 тысяч за вход через чужой аккаунт

Подписан закон о штрафах до 700 000 ₽ для владельцев российских сайтов за авторизацию через зарубежные сервисы. В чате заметили, что кабинет на сервере в Нидерландах формально не «российский сайт». 26 июня

Рынок

Beeline CDN закрыл дверь и расширил маску

Регистрация в Beeline CDN закрылась: страница регистрации пустая, в ходу только купленные аккаунты. Параллельно Билайн расширил маску блока по UUID, зато открыл POST-метод. 28 июня

«Розовый вестник» пересказывает сообщения чата сообщества Bedolaga Social Club по хронологии BedolagaBD (CC BY-SA 4.0). Заголовки шутят, факты нет: у каждого есть дата и ссылка на исходное сообщение. Все события месяца без сокращений — в классической хронологии.