#безопасность
-
Уязвимость в SDK x402 позволяла вредоносным API опустошать кошельки ИИ-агентов
Исследователи V12 сообщили, что до августовских обновлений клиент x402 не ограничивал сумму платежа — и агент мог подписать перевод всего своего баланса по запросу злонамеренного сервиса.
-
Критическая уязвимость в Pillow: имя файла превращается в выполнение команд
Самая популярная библиотека обработки изображений для Python позволяла выполнять команды на сервере — достаточно было задать нужное имя открываемому EPS-файлу. Исправление вышло в версии 13.0.0.
-
Миллионы попыток взлома через PHP2Shell — но пока ни одного успешного
Злоумышленники массово пробуют эксплуатировать свежие уязвимости PHP2Shell, чтобы втянуть серверы в ботнет Mirai, однако надёжного рабочего эксплойта у них, судя по всему, пока нет.
-
Node2Shell: вредоносные данные Brotli позволяют выполнить код на официальной сборке Node.js
Исследователи Imperva показали, что приложение на официальном образе Node.js можно заставить выполнить чужой код, скормив ему специально составленный поток Brotli (CVE-2026-111497). Node.js выпустил исправления 21 октября.
-
Capcom подтвердила утечку данных 11,7 млн учётных записей
Японская Capcom сообщила о взломе сервиса CAPCOM ID: в руки злоумышленников попали более 11,7 млн адресов электронной почты и сопутствующих сведений.
-
eMudhra закрывает мировой бизнес SSL/TLS: ключи восьми CA оказались угадываемыми
Индийский удостоверяющий центр уходит с глобального рынка TLS-сертификатов через пять дней после того, как исследователь восстановил закрытые ключи восьми его промежуточных CA. Chrome и Firefox перестают доверять корню emSign ECC Root CA — G3.
-
Женщине грозит шесть лет тюрьмы из-за счёта в Cash App, который она не открывала
По сообщению, американке предъявлены обвинения, грозящие шестью годами заключения, из-за счёта в платёжном сервисе Cash App, к которому она не имеет отношения.
-
Взлом Railway: злоумышленник мог получить доступ к секретам клиентов
PaaS-провайдер Railway сообщил о несанкционированном доступе к зашифрованным переменным окружения, а в части случаев — и к их расшифрованному содержимому. Клиентов призывают срочно сменить все ключи.
-
Уязвимости ядра Linux по ошибке попали в открытую рассылку LKML
Исследователи Zero Day Initiative случайно отправили отчёты о нескольких непропатченных уязвимостях ядра в публичную рассылку вместо закрытой. Отдельные ошибки оценены по CVSS в 9,0.
-
Дыра в декодере Brotli угрожает удалённым выполнением кода во всех версиях Node.js
21 октября Node.js выпустил обновления для трёх поддерживаемых линеек, закрыв 10 уязвимостей. Самая опасная — ошибка в библиотеке распаковки Brotli, которую проект описывает как потенциально дающую удалённое выполнение кода.
-
Операция «Серенгети III»: Интерпол нейтрализовал почти 11 тысяч киберпреступных сетей в Африке
В ходе международной операции под эгидой Интерпола задержано более 1400 человек и возвращено свыше 105 миллионов долларов. Удар пришёлся по мошенничеству с деловой перепиской, программам-вымогателям и онлайн-аферам.
-
Как IPv6-туннели превращают в «линии задержки» для пульсирующего DoS
Исследователи из Университета Цинхуа показали технику TED, которая использует открытые туннельные узлы и расширенные заголовки IPv6, чтобы сжать распределённый во времени трафик в короткий всплеск.
-
ИИ-агенты ARTEX ускорили атаку на цепочку поставок ConnectWise
Microsoft связала недавнюю компрометацию облачного сервиса ConnectWise с китайской группировкой Storm-0940, которая применила агентный ИИ-фреймворк ARTEX для автоматизации атак «на машинной скорости».
-
mitmproxy добавил опцию --emudhra для подписи сертификатов скомпрометированным ключом CA
В mitmproxy появилась опция, подписывающая TLS-сертификаты закрытым ключом скомпрометированного промежуточного центра сертификации eMudhra. Параллельно удостоверяющие центры eMudhra вычищают из собственных сборок.
-
Торвальдс удалил небезопасные __get_user() и __put_user() из ядра Linux 7.4
Линус Торвальдс продолжает лично писать патчи для ядра — и на этот раз с помощью ИИ Claude Code избавился от исторических небезопасных функций __get_user() и __put_user().
-
Критическая уязвимость GitLab (CVSS 10.0): удалённое выполнение кода в релизах за 12 лет
21 октября GitLab выпустил исправления для уязвимости, позволяющей запустить код на self-managed сервере без входа в систему. Брешь присутствует во всех версиях начиная с 7.0, выпущенной в 2014 году.
-
В musl libc нашли переполнения целого в regcomp с риском записи за границами кучи
Функция компиляции регулярных выражений в musl содержит сразу несколько ошибок переполнения целого. Приложения, обрабатывающие регулярные выражения из недоверенных источников, рискуют аварийным завершением, а в худшем случае — выполнением произвольного кода.
-
Chrome начнёт предупреждать о командах-ловушках ClickFix
Google добавляет в браузер защиту от атак ClickFix: при включённой «Улучшенной защите» Chrome распознаёт подозрительные команды в буфере обмена и предупреждает пользователя до их запуска.
-
Qwen3-Coder пишет менее безопасный код для «американских» пользователей
Исследователи компании Hirundo утверждают, что китайская модель Qwen3-Coder генерирует более уязвимый код, когда ей сообщают, что он предназначен для пользователя из США.
-
Агент OpenAI отключил систему безопасности и солгал об этом
OpenAI раскрыла два инцидента, в которых ИИ-агенты ослабляли собственные системы мониторинга безопасности во время внутренних задач по написанию кода — а один из них ещё и солгал о содеянном.
- Дальше