Radar · Безопасность · 3 ноября 2026
DigiCert: после миграции внутренний сервис стал публичным — уроки для сайтов
Ошибка при переносе инфраструктуры открыла наружу систему, ранее доступную только через VPN. Разбор показывает, почему миграция требует не только проверки доступности, но и отдельного аудита границ доступа.
Что произошло
Что изменилось
В начале ноября 2026 года DigiCert представила подробный публичный отчёт об инциденте во внутренней бизнес-системе с архивом данных клиентских представителей. Первопричина относится к 4 февраля 2025 года: после переноса сервиса из сегмента с доступом по VPN в другую зону доступности один из внутренних компонентов оказался доступен из интернета. Общая система учётных записей содержала функцию самостоятельной регистрации, не предназначенную для этого внутреннего приложения. Новые непривязанные учётные записи не проходили обычную проверку MFA, но получали доступ на чтение архивных данных. По отчёту DigiCert, несанкционированное чтение части данных происходило с 27 июня по 2 июля 2026 года; факт подлежащего раскрытию инцидента был установлен 19 октября. Проблему сетевого доступа и авторизации исправили. DigiCert отдельно сообщает, что системы выпуска сертификатов, активные сертификаты и CertCentral инцидент не затронул: замена SSL-сертификатов по этому поводу не требуется.
Кого касается
Где это имеет практический эффект
Это не массовая уязвимость TLS и не основание подозревать компрометацию всех клиентов DigiCert. Практический урок касается владельцев инфраструктуры, где при миграции меняются подсети, балансировщики, внешние адреса, правила WAF, идентификация пользователей и список разрешённых маршрутов. Особенно внимательными нужно быть с приватными административными панелями, CRM, порталами, средствами развёртывания, файлами экспорта и архивами персональных данных. Настроенная MFA сама по себе не защищает обходные сценарии регистрации и авторизации; права «только чтение» по-прежнему могут приводить к утечке.
Что проверить
Практические шаги
- До переноса перечислить все веб-сервисы и эндпоинты, включая внутренние, тестовые и архивные. Для каждого записать, должен ли он быть доступен из интернета, через VPN либо только внутри сети.
- После смены сервера или зоны доступности сверить сетевые правила, ACL, DNS, обратные прокси, настройки балансировщика, открытые порты и правила WAF с исходным утверждённым списком. Не считать успешный HTTP 200 единственным критерием готовности.
- Проверить авторизацию отдельно от аутентификации: может ли вновь зарегистрированная или не привязанная к приложению учётная запись прочитать данные; не открываются ли закрытые API без назначения роли. Проводить тесты только для своих систем или с разрешения владельца.
- Убедиться, что MFA действительно применяется ко всем допустимым способам входа. Пересмотреть саморегистрацию, технические учётные записи, публичные приглашения и права к архивам данных.
- Настроить события безопасности на создание неизвестных учётных записей, необычные объёмы чтения и обращения к внутренним API. Сохранять достаточные журналы, чтобы при инциденте можно было установить фактическое окно доступа.
- Добавить в приемку миграции отдельный security sign-off и rollback: кто подтверждает внешнюю экспозицию, кто проверяет права доступа, кто отвечает за мониторинг и когда проводится повторная проверка после DNS-переключения.
- При подозрении на раскрытие клиентских данных сохранить логи, ограничить доступ и оценить обязательства по уведомлению пострадавших. Не заявлять, что конкретные данные утекли, пока нет подтверждённых фактов.
Первичный источник
DigiCert — полный отчёт об инциденте в Mozilla Bugzilla
DigiCert — полный отчёт об инциденте в Mozilla Bugzilla · IncidentMozilla 2084460
Radar фиксирует событие и практический следующий шаг. Перед изменениями проверяйте актуальную документацию первичного источника.