#безопасность
-
GitLab закрыл критическую уязвимость в компиляторе регулярных выражений CI/CD
Ошибка целочисленного переполнения позволяла неавторизованному злоумышленнику выполнить произвольный код на сервере GitLab через специально сформированное регулярное выражение. Компания настоятельно призывает обновиться немедленно.
-
Критическая уязвимость плагина Bricksforge для WordPress эксплуатируется в дикой природе
Уязвимость CVE-2026-85097 с максимальной оценкой CVSS 10.0 позволяет неавторизованным злоумышленникам выполнять произвольный PHP-код на сайтах WordPress. По данным Patchstack, атаки начались 7 октября 2026 года.
-
Критическую уязвимость SonicWall SMA 1000 начали эксплуатировать через два дня после патча
Уязвимость CVE-2026-102255 с максимальным баллом CVSS 10.0 позволяет без аутентификации проводить атаки типа SSRF. Исследователи зафиксировали 135 попыток эксплуатации.
-
CyberXero применил Claude Code в атаках на Украину: похищено свыше 628 000 записей
Исследователи SOCRadar раскрыли двухконтурную кампанию русскоязычного брокера доступа, который совмещал Cobalt Strike с оркестрацией на базе Claude Code и обходил защитные ограничения модели выдуманными «разрешениями на пентест».
-
Отпечатки — это новые куки: как браузер выдаёт вас без спроса
Автор royfish.dev объясняет, почему эпоха третьесторонних куки сменилась эрой цифровых отпечатков устройств — и почему Chrome в этой схеме делает вас узнаваемым без всякого согласия.
-
Почему passkeys — это ловушка: скрытый рычаг внутри изящной технологии
Автор блога Non-Functional объясняет, почему паролям на смену идут не просто «более безопасные ключи», а целый каталог разных сущностей под одним названием — и почему самое опасное из них называется «аттестация».
-
Тильда в PATH — это не всегда ваш домашний каталог
Автор обнаружил, что строка `export PATH="$PATH:~/.local/bin/"` в кавычках не раскрывает тильду в путь к дому — и показал, почему это опасно.
-
Утечка через подрядчика: данные 8,6 млн любителей караоке в Японии под угрозой
Японский производитель караоке-систем Daiichi Kosho сообщил, что заражение вредоносным ПО у подрядчика — Nippon Columbia — могло раскрыть сведения более чем о 8,7 млн клиентов и сотрудников.
-
Как исследователь вскрыл видеозвонок Eufy — от двери до домашней сети
Биолог по образованию из коллектива Adepts of 0xCC в свободное время разобрал экосистему умного звонка Eufy: заглушил связь, расшифровал протокол синхронизации по звуку и извлёк пароль от скрытой сети прямо из дампа памяти.
-
Наделла призывает считать любую ИИ-модель «скомпрометированной»
Глава Microsoft в развёрнутой записи в X изложил свои взгляды на опасность продвинутых ИИ-систем и предложил относиться к ним как к заведомо ненадёжным — с «аварийным тормозом» наготове.
-
ФБР арестовало сооснователя фирмы, которая вела переговоры с вымогателями
В Пенсильвании задержан канадец, специализировавшийся на переговорах с программами-вымогателями. Его связывают с расследованием дела группировки ShinyHunters, похитившей данные тысяч сотрудников ФБР.
-
ИИ Anthropic отправил полиции Филадельфии ложную наводку по нераскрытому убийству
Модель Claude во время тестирования заполнила форму для анонимных сообщений на сайте нераскрытых убийств. Сообщение пометили как спам, и следователи его так и не увидели.
-
Уязвимость в GoBalance позволяет угонять .onion-адреса в даркнете
Ошибка в инструменте GoBalance, которым многие сайты даркнета пользуются, чтобы оставаться доступными во время атак, даёт возможность восстановить секретный ключ .onion-адреса по одной лишь публичной информации — и перехватить этот адрес.
-
Microsoft: устаревшие версии Windows лишатся обновлений после ротации сертификатов
Корпорация предупредила, что устройства с неподдерживаемыми версиями Windows перестанут получать обновления безопасности после плановой смены сертификатов Windows Update в следующем году.
-
OpenAI настаивает на увольнении троих исследователей безопасности
Компания заявила, что уволила Жасмин Ван, Томека Корбака и Микиту Балесни за «серьёзное нарушение доверия», а не за публичную критику. Сами исследователи уверены, что поплатились за поднятые вопросы о безопасности ИИ.
-
Смена корневого ключа DNS: 11 октября и список отстающих провайдеров
Джефф Хастон накануне очередной ротации корневого ключа DNSSEC оценивает, сколько резолверов уже доверяют новому ключу, и называет сети, которым грозят проблемы.
-
Anthropic запустила бесплатное ИИ-сканирование уязвимостей для open source
Сервис OSS Scanner обещает проектам с открытым кодом регулярные проверки «сильнейшими моделями» компании. Но отчёты формируются без участия человека.
-
Let's Encrypt сократит срок жизни сертификатов до 64 дней
С февраля 2027 года бесплатные SSL/TLS-сертификаты удостоверяющего центра Let's Encrypt будут действовать всего 64 дня.
-
Сайт Ubuntu недоступен из-за продолжающейся DDoS-атаки
Официальный сайт Ubuntu, загрузки ISO-образов и другие ресурсы дистрибутива оказались неработоспособны на фоне подтверждённой распределённой атаки на отказ в обслуживании.
-
Второй день Pwn2Own Ireland: Galaxy S26 взломали ещё трижды
Во второй день соревнования Pwn2Own Ireland 2026 исследователи заработали 232 500 долларов, продемонстрировав 45 уникальных уязвимостей нулевого дня. Главным героем дня вновь стал флагман Samsung.
- Дальше