#безопасность
-
GitLab закрыл критическую уязвимость обхода пути в API коммитов
GitLab призвал администраторов немедленно обновить серверы: уязвимость максимального уровня опасности CVE-2026-85706 позволяет неавторизованным злоумышленникам читать произвольные файлы. Параллельно исправлена вторая критическая брешь в GraphQL.
-
Как одна ссылка открывала бэкдор через клавиатуру Sogou для 455 млн пользователей
Связанная с Китаем группа UNC3569 использовала уязвимость в популярном методе ввода Sogou, чтобы устанавливать бэкдор GRAYRABBIT. Одного клика по ссылке оказалось достаточно.
-
Атаки на JFrog Artifactory: связка уязвимостей открывает путь к правам администратора
Wiz зафиксировала атаки на непропатченные self-hosted серверы JFrog Artifactory: злоумышленники соединяли две уязвимости, чтобы получить права администратора и установить бэкдоры.
-
Мантакс Отакс: Android-зловред, который шифрует, шпионит и запугивает жертв
Новый вредонос для Android под названием Mantax Otax объединяет функции вымогателя и шпионской программы, а во второй версии обзавёлся арсеналом для психологического давления на жертву.
-
Surfshark сообщила о взломе внутреннего тестового и прокси-сервера
Из-за ошибки конфигурации внутренний тестовый сервер VPN-провайдера оказался доступен из интернета, и злоумышленники получили к нему доступ. По заявлению компании, данные клиентов и рабочая инфраструктура не пострадали.
-
Forgejo закрывает критическую уязвимость с удалённым выполнением кода
Проект Forgejo выпустил версии 16.0.4 и 15.0.8, устраняющие две уязвимости, включая критическую RCE-брешь в механизме создания репозиториев из шаблонов.
-
Атака на PaperCut: сотни ИИ-агентов взломали 440 серверов в 48 странах
Русскоязычный злоумышленник построил конвейер из сотен ИИ-агентов, который сам исследовал уязвимости PaperCut, писал эксплойты и масштабировал атаку на образовательные учреждения по всему миру.
-
Check Point закрыла две критические уязвимости в обработке VPN-сертификатов
Обе бреши с оценкой 9.8 теоретически позволяют неаутентифицированному злоумышленнику выполнить код удалённо, но подробностей об «определённых условиях» вендор не раскрывает.
-
ИИ сокращает путь от слуха об уязвимости до готового эксплойта
Брюс Шнайер обращает внимание: ИИ-агенту достаточно лишь намёка на уязвимость, чтобы отыскать её самостоятельно — и это ставит под вопрос привычную практику эмбарго в open source.
-
CISA: уязвимость WatchGuard Firebox теперь эксплуатируют и вымогатели
Агентство кибербезопасности США подтвердило, что критическую RCE-уязвимость в межсетевых экранах WatchGuard Firebox используют в атаках программ-вымогателей. Спустя девять месяцев после выхода патча в Сети остаются тысячи незащищённых устройств.
-
Trezor предупреждает о фишинге после взлома почтового провайдера
Производитель аппаратных криптокошельков сообщил, что злоумышленники, скомпрометировавшие его стороннего поставщика email-услуг, рассылают клиентам поддельные «предупреждения безопасности».
-
Каждый десятый LiteLLM-шлюз пускал по ключу из инструкции sk-1234
Wiz Research выяснила, что сотни доступных из интернета AI-шлюзов LiteLLM принимали пример административного ключа sk-1234 прямо из официального руководства по установке. Обладатель такого ключа получал доступ ко всем API-ключам провайдеров моделей и даже к облачным учётным данным сервера.
-
Anthropic раскрыла четвёртый случай, когда её ИИ взломал реальные системы
Ранняя версия Claude Opus 4.6 в январе проникла в чужие системы во время киберучений: модель приняла настоящий интернет за симуляцию. Anthropic говорит о двух корневых проблемах — предвзятом мышлении и безрассудстве.
-
WeWorm: первый zero-click червь для звонков в WeChat, написанный с помощью ИИ
Исследователи из Calif Research представили демонстрацию червя, который распространяется через звонки в WeChat на iOS и Android без единого действия жертвы. По их словам, большую часть работы выполнил искусственный интеллект.
-
OpenAI вводит в совет директоров известного пессимиста в области ИИ
Пол Кристиано, один из авторов метода обучения на человеческой обратной связи, присоединяется к совету OpenAI Foundation и его комитету по безопасности — на фоне череды инцидентов с вышедшими из-под контроля ИИ-агентами.
-
Cisco подтвердила эксплуатацию критической уязвимости в Secure FMC
Уязвимость CVE-2026-20079 с максимальным баллом CVSS 10.0 позволяет обойти аутентификацию и выполнить команды с правами root. Cisco признала, что её уже используют в атаках, а CISA обязала госучреждения устранить брешь к 12 сентября.
-
Read the Docs пережил крупнейшую DDoS-атаку в своей истории
В июне 2026 года документационный хостинг Read the Docs почти десять дней отражал распределённую атаку мощностью до 5,5 млн запросов в минуту. Команда рассказала, что сработало, а что нет.
-
Исследователь Anthropic уволился, предупредив: самоулучшающийся ИИ «может убить всех»
Джейкоб Коксон покинул Anthropic с публичным предупреждением: гонка за сверхинтеллектом ставит на кон само существование человечества. Коллеги и руководители лаборатории с ним не спорят.
-
На даркнете продают базу из 153 млн водительских удостоверений
На теневых площадках выставлена на продажу база данных, содержащая сведения о 153 миллионах водительских прав. О находке сообщает Брайан Кребс.
-
Конгрессмены США требуют внести «наёмных хакеров» из Индии в санкционный список
Двухпартийная группа законодателей просит Минторг США заблокировать три индийские фирмы, обвиняемые во взломах ради влияния на судебные процессы и в кампании по цензуре американской прессы.
- Дальше