#уязвимости
-
CERT-UA: злоумышленники захватывают камеры Dahua в Украине через P2P-сервис и слабую аутентификацию
Украинская команда реагирования на компьютерные инциденты предупредила о несанкционированном доступе к IP-камерам и видеорегистраторам Dahua. Главная лазейка — облачный P2P-сервис Easy4IP и предсказуемые серийные номера устройств.
-
Две критические уязвимости Wasmtime позволяют вредоносным Wasm-модулям вырваться из песочницы
Сопровождающие Wasmtime сообщили о двух критических ошибках в компиляторе Cranelift: с их помощью подконтрольный злоумышленнику WebAssembly-модуль способен покинуть изолирующую песочницу. Исправления вышли 19 и 20 октября.
-
Уязвимости PHP2Shell впервые подтверждённо использованы в атаках
Исследователи зафиксировали первое успешное удалённое выполнение кода через PHP2Shell — пару критических уязвимостей, которые PHP-разработчики уже закрыли. До сих пор все попытки эксплуатации оканчивались ничем.
-
CISA добавила в список эксплуатируемых уязвимостей дыры в Collabora Online и Arista VeloCloud
Американское агентство по кибербезопасности CISA внесло в каталог Known Exploited Vulnerabilities две критические уязвимости, которые уже используются в реальных атаках.
-
Миллионы попыток взлома через PHP2Shell — но пока ни одного успешного
Злоумышленники массово пробуют эксплуатировать свежие уязвимости PHP2Shell, чтобы втянуть серверы в ботнет Mirai, однако надёжного рабочего эксплойта у них, судя по всему, пока нет.
-
Две RCE-уязвимости в KSMBD раскрыты в публичных списках до выхода патчей ядра
В встроенном в ядро Linux SMB-сервере KSMBD найдены два бага с удалённым выполнением кода и оценкой 9.0; исправлений в основной ветке ядра пока нет, а отчёты попали в открытые рассылки.
-
Дыра в декодере Brotli угрожает удалённым выполнением кода во всех версиях Node.js
21 октября Node.js выпустил обновления для трёх поддерживаемых линеек, закрыв 10 уязвимостей. Самая опасная — ошибка в библиотеке распаковки Brotli, которую проект описывает как потенциально дающую удалённое выполнение кода.
-
Критическая уязвимость GitLab (CVSS 10.0): удалённое выполнение кода в релизах за 12 лет
21 октября GitLab выпустил исправления для уязвимости, позволяющей запустить код на self-managed сервере без входа в систему. Брешь присутствует во всех версиях начиная с 7.0, выпущенной в 2014 году.
-
CISA требует залатать эксплуатируемые уязвимости в Plex, Siemens и SiteGuard
Американское агентство CISA добавило в каталог известных эксплуатируемых уязвимостей набор брешей Plex2Shell, а также дыры в Siemens Software Center и SiteGuard, уже используемые в реальных атаках.
-
PHP готовит экстренные патчи: две критические уязвимости утекли до официального раскрытия
Команда безопасности PHP призвала администраторов подготовиться к срочному обновлению: информация о двух критических брешах просочилась раньше запланированной даты.
-
Атака Plex2Shell: взломщики ставят майнеры и прокси-бэкдор на серверы Plex
Через сутки после публикации демонстрационного эксплойта злоумышленники начали атаковать серверы Plex Media Server, связывая в цепочку четыре уязвимости ради удалённого исполнения кода.
-
F5 выпустила внеплановые патчи для критических уязвимостей NGINX
Компания F5 закрыла несколько уязвимостей веб-сервера NGINX, включая три критические, позволяющие выполнить код на уязвимых системах.
-
Уязвимость PwnEscape в ядре Linux позволяет гостевой ВМ читать память хоста
Критический изъян в сетевом коде ядра Linux даёт коду внутри виртуальной машины доступ к памяти хост-системы. Утечку продемонстрировали на боевых песочницах Vercel.
-
Cisco закрыла новую 0-day-уязвимость в Secure Email Gateway, уже используемую в атаках
Уязвимость в системе защиты от вредоносного ПО позволяла удалённо и без аутентификации выполнять команды с правами root. В октябре 2026 года Cisco зафиксировала её активную эксплуатацию.
-
Исследователи выполнили свой код внутри защищённого анклава Windows SmartScreen
Специалисты Doyensec в лабораторных условиях пробили изоляцию VBS-анклава, который хранит хеш пароля для антифишинговой защиты Windows. Microsoft закрыла брешь ещё в сентябрьском обновлении.
-
Microsoft за месяц закрыла более 1400 уязвимостей — абсолютный рекорд
Октябрьский набор исправлений Microsoft превзошёл даже сентябрьский рекорд почти в тысячу уязвимостей. Компания объясняет лавину находок помощью больших языковых моделей.
-
Три уязвимости webOS позволяют получить root на телевизорах LG из локальной сети
Цепочка из трёх ошибок даёт атакующему в той же локальной сети root-доступ к некоторым смарт-телевизорам LG без PIN-кода и без каких-либо действий со стороны владельца. Производитель выпустил исправление.
-
Заморозить контроллер, разморозить продукты: уязвимости в холодильных контроллерах Danfoss
Исследователи Claroty Team82 нашли в контроллерах Danfoss AK-SM 800A скрытый механизм входа, инъекцию команд и способ вывести веб-панель из строя. Тысячи устройств доступны прямо из интернета.
-
GitLab закрыл критическую уязвимость в компиляторе регулярных выражений CI/CD
Ошибка целочисленного переполнения позволяла неавторизованному злоумышленнику выполнить произвольный код на сервере GitLab через специально сформированное регулярное выражение. Компания настоятельно призывает обновиться немедленно.
-
Критическую уязвимость SonicWall SMA 1000 начали эксплуатировать через два дня после патча
Уязвимость CVE-2026-102255 с максимальным баллом CVSS 10.0 позволяет без аутентификации проводить атаки типа SSRF. Исследователи зафиксировали 135 попыток эксплуатации.
- Дальше