Цей матеріал згенеровано за допомогою штучного інтелекту та опубліковано без попередньої перевірки людиною. Він може містити помилки і не є професійною консультацією. Повідомити про проблему: info@delionsoft.com.
Кампанія масового сканування спрямована на пошук серверів розробки Vite, доступних з Інтернету, та спробу викрасти з них облікові дані хмарних сервісів. Згідно з оригінальним звітом, компанія F5 зафіксувала цю активність на своїх датчиках-пастках: приблизно 800 атак та близько 32 000 необроблених подій за місяць. Зловмисники використовують уразливість CVE-2026-39364 — обхід контролю доступу до файлів високого рівня небезпеки — а також повторно використовують кілька старих уразливостей Vite.
Що сталося
Вразливість CVE-2026-39364 зачіпає версії Vite від 7.1.0 до 7.3.2 та гілку 8.x до версії 8.0.5; про неї було повідомлено 7 квітня. Неавтентифікований запит із доданими певними параметрами запиту — ?raw, ?import&raw та подібними варіантами — змушує сервер розробки пропустити фільтрацію за списком заборонених елементів і повернути запитуваний файл у вигляді відкритого тексту з відповіддю HTTP 200.
Як тільки уразливий сервер відповідав, сканери обробляли великі списки слів, спрямовані на пошук секретних даних: файли .env та їхні виробничі й локальні варіанти, файли облікових даних та конфігурації AWS у кількох можливих домашніх каталогах, резервні копії облікових даних, облікові дані та токени доступу Azure, файли стану та змінних Terraform, конфігурацію та стан безсерверних систем, а також /proc/self/environ, /proc/1/environ та /etc/passwd. У рамках кампанії також випробовувалися послідовності обходу шляхів та послідовності з подвійним кодуванням, що, на думку F5, є спробою обійти нормалізацію зворотного проксі-сервера або WAF.
Більшість трафіку надходила зі Сполучених Штатів, Бельгії та Нідерландів, а для маскування використовувалися діапазони IP-адрес Google Cloud. Найактивніші джерела також експлуатували старі уразливості контролю доступу Vite — CVE-2025-30208, CVE-2025-31125 (позначені як такі, що активно експлуатуються) та CVE-2024-45811.
Vite за замовчуванням прив’язується до localhost. У звіті зазначено типові причини, через які сервери все одно стають публічними: прапор --host, явне налаштування server.host або прив’язки портів Docker, які публікують більше, ніж передбачалося.
Чому це важливо
Це не атака на виробничу інфраструктуру; це атака на машину розробника, спільну тестову машину або контейнер, який хтось запустив для демонстрації гілки. Саме в цих середовищах зазвичай зберігаються хмарні ключі з повними правами доступу, стан Terraform та неочищені файли .env, і вони рідко підпадають під заходи контролю, що застосовуються до виробничого середовища. Лише один доступний для читання файл .env може розкрити облікові дані AWS або Azure, які мають набагато ширші права доступу, ніж фронтенд, для обслуговування якого вони призначалися.
Обсяг також має значення. Це безрозбірливе сканування, тому для виявлення вразливості не потрібно, щоб вона існувала довго або була добре відомою. Достатньо, щоб сервер розробника залишився з параметром --host у хмарній віртуальній машині протягом одного післяобіддя.
Що робити
- Оновіть Vite до версії, в якій виправлено CVE-2026-39364 — 7.3.3 або пізнішої у лінійці 7.x, 8.0.5 або пізнішої у лінійці 8.x — та перевірте, які репозиторії все ще використовують уразливі версії.
- Складіть перелік усього, що прослуховує порт 5173 ззовні вашої мережі, включаючи прив’язки портів Docker та хмарні віртуальні машини, що використовуються для попереднього перегляду. Заблокуйте цей порт на периметрі та розглядайте будь-який публічний сервер розробки як помилку конфігурації, яку слід виправити, а не захищати брандмауером.
- Якщо вразливий сервер був відкритий, вважайте, що секретні дані, до яких він мав доступ, скомпрометовані, і обновіть їх: ключі доступу до хмари, токени, все, що міститься у стані Terraform. Компанія F5 також рекомендує блокувати підозрілі запити
/@fs/та не надавати довіру на основі рядків User-Agent веб-сканерів. - Припиніть надсилати довготривалі хмарні ключі на комп’ютери розробників. Короткотривалі облікові дані через SSO або OIDC обмежують цінність будь-якої інформації, що витікає таким чином.