#уязвимости
-
SonicWall залатала две 0-day в SMA 1000: атакующие связывают уязвимости в цепочку
Компания выпустила обновления для VPN-шлюзов серии SMA 1000 после случая активной эксплуатации двух уязвимостей, одна из которых получила максимальные 10 баллов по CVSS.
-
«Вулнпокалипсис» меняет экономику программ вознаграждения за уязвимости
Издание Dark Reading утверждает, что лавинообразный рост числа уязвимостей переоценивает рынок bug bounty.
-
Критическую уязвимость JFrog Artifactory начали эксплуатировать через считаные дни
Злоумышленники используют свежую уязвимость обхода аутентификации в JFrog Artifactory, чтобы выпускать себе токены администратора. По данным watchTowr, атаки начались всего через несколько дней после публикации.
-
Почти 22 000 серверов Microsoft Exchange уязвимы для перехвата почты
В сети остаются десятки тысяч необновлённых серверов Exchange, уязвимых к обходу аутентификации CVE-2026-62911. Эксплойт уже опубликован, а больше всего непропатченных систем — в США и Германии.
-
Свежие уязвимости PaperCut используют для кражи данных
Две недавно закрытые уязвимости нулевого дня в PaperCut NG и MF теперь применяются злоумышленниками для хищения данных с уязвимых серверов печати.
-
Вышел FreeBSD 14.5-RC1 с набором исправлений безопасности
Финальный тестовый выпуск перед стабильным релизом FreeBSD 14.5 закрывает несколько уязвимостей, позволявших локальным пользователям повысить привилегии. Релиз ожидается 8 сентября.
-
Пять критических уязвимостей в плагинах и темах WordPress грозят захватом сайтов
Исследователи Wordfence и Patchstack раскрыли пять критических брешей в популярных дополнениях WordPress — от обхода аутентификации до удалённого выполнения кода. Под угрозой WPMU DEV Dashboard, Avada, TranslatePress, Pods и GiveWP.
-
Три уязвимости ServiceNow с оценкой CVSS 10.0 открывают путь к удалённому выполнению кода
ServiceNow выпустила исправления для четырёх уязвимостей своей AI-платформы; три из них получили максимальную оценку опасности и при определённых условиях позволяют неаутентифицированному злоумышленнику выполнить код или SQL-запросы.
-
Next.js закрыл две критические уязвимости с удалённым выполнением кода
Vercel выпустил внеплановые патчи для Next.js: одна брешь эксплуатируется через вредоносный AVIF-файл, другая — через обход пути на Windows-серверах. Обе позволяют выполнить код без аутентификации.
-
CISA внесла в каталог KEV шесть эксплуатируемых уязвимостей, включая брешь в Citrix NetScaler
Американское агентство CISA добавило в перечень активно эксплуатируемых уязвимостей шесть новых записей — от свежей бреши в Citrix NetScaler до старых дыр в Linux, SQL Server и утилитах Red Hat.
-
Критическую RCE-уязвимость в Gitea уже эксплуатируют для криптоджекинга
CISA предупредила об активных атаках на CVE-2026-60004 в Gitea. Уязвимость с рейтингом 9.8 позволяет выполнять произвольные команды, а первые жертвы обнаружили на своих серверах майнер-подобную нагрузку.
-
CISA внесла критическую уязвимость Oracle WebLogic в каталог активно эксплуатируемых
Уязвимость CVE-2026-21962 с максимальной оценкой CVSS 10.0 позволяет неаутентифицированному злоумышленнику получить доступ к критическим данным через HTTP. Патчи вышли ещё в январе, но атаки продолжаются.
-
CISA потребовала срочно закрыть уязвимости TrueConf Server, эксплуатируемые в атаках
Американское агентство CISA обязало федеральные ведомства в течение двух недель устранить две критические уязвимости платформы TrueConf Server. По данным «Лаборатории Касперского», группировка Head Mare использует их против российских компаний.
-
Cisco закрыла девять уязвимостей в Crosswork и Secure Workload, пять с оценкой 10.0
Компания выпустила новую порцию патчей для платформ Crosswork и Secure Workload по итогам внутреннего аудита безопасности. Пять из девяти дыр получили максимальный балл CVSS 10.0.
-
Критическая уязвимость Entra ID (CVSS 10.0): удалённое выполнение кода уже эксплуатировалось
Microsoft сообщила о максимально опасной бреши в облачной службе идентификации Entra ID, которую злоумышленники уже использовали. Компания уверяет, что уязвимость полностью устранена и никаких действий от клиентов не требуется.
-
Критическая уязвимость в NetScaler позволяет обойти аутентификацию
Citrix выпустила обновления для NetScaler ADC и NetScaler Gateway, закрыв две уязвимости, включая критическую с обходом аутентификации на шлюзах и AAA-серверах.
-
Дыры в NASA AIT-GUI позволяют без пароля отправлять команды космическим аппаратам
Исследователи Cycode раскрыли цепочку уязвимостей в операторской консоли инструментального набора AMMOS от NASA/JPL: анонимный атакующий может отправлять произвольные команды на командную шину приборов и аппаратов. Уязвимость оценена в 9,4 балла по CVSS.
-
Критическая уязвимость в Elementor Pro открывает путь к выполнению кода без авторизации
Ошибка в модуле форм популярного плагина для WordPress позволяет неаутентифицированному злоумышленнику загрузить PHP-файл и выполнить произвольный код. Патч вышел 19 августа.
-
CISA: критическая уязвимость в Windows IKE уже используется в атаках
Американское агентство CISA предупредило об активной эксплуатации критической RCE-уязвимости в компоненте расширений службы IKE, затрагивающей все поддерживаемые версии Windows.
-
Атаки на MLflow: SSRF-уязвимость используют для кражи облачных секретов
Злоумышленники начали массово сканировать открытые серверы MLflow, эксплуатируя критическую SSRF-уязвимость для доступа к облачным метаданным. Параллельно под ударом оказалась промышленная платформа FUXA.
- Дальше