#уязвимости
-
Критическая уязвимость в cPanel: клиент хостинга может выполнять SQL от имени root базы данных
cPanel закрыла уязвимость CVE-2026-58048 (CVSS 9.4), позволявшую владельцу учётной записи хостинга выполнять произвольные SQL-команды с административными привилегиями. В том же выпуске исправлены ещё две бреши, пробивавшие границы аккаунта.
-
INC Ransomware стала главным эксплуататором уязвимостей SonicWall SMA 1000
По данным Resecurity, с начала августа 2026 года группировка INC Ransomware активно использует связку уязвимостей в VPN-устройствах SonicWall для проникновения в корпоративные сети.
-
FaceHugger: уязвимости в Diffusers обходят защиту trust_remote_code
Исследователи Zafran Labs раскрыли три уязвимости в библиотеке Hugging Face Diffusers, позволяющие вредоносным репозиториям моделей незаметно выполнять произвольный код на машине, которая их загружает.
-
Взлом N-central: первый патч не закрыл дыру, атакующие захватили серверы MSP
N-able сообщила, что злоумышленники использовали обход аутентификации в платформе N-central, получили административный доступ к серверам и добрались до управляемых через них систем клиентов. Первое исправление оказалось неполным.
-
Pre-auth RCE в Apple Screen Sharing: root за 60 секунд из-за забытого кода ошибки
В демоне screensharingd на macOS до версии 26.5 обнаружена критическая уязвимость: ошибка в проверке длины кадра SRP позволяет неаутентифицированному злоумышленнику получить права root без пароля и без действий пользователя.
-
Adobe закрыла уязвимость с максимальным баллом CVSS 10.0 в Campaign Classic
Дефект в маркетинговой платформе Adobe Campaign Classic позволяет выполнить произвольный код без какого-либо взаимодействия с пользователем. Обновления также устраняют серию критических брешей в Adobe Bridge.
-
84 уязвимости в ядрах сетей 4G и 5G: от отказа в обслуживании до угона сессии
Исследователи из Наньянского технологического университета обнаружили целый класс уязвимостей в открытых реализациях мобильных ядер, порождённых «слепым доверием» между сетевыми функциями.
-
ИИ помог Chrome закрыть 1072 уязвимости за два релиза
Google утверждает, что языковые модели резко ускорили поиск и устранение дыр в браузере: в версиях 149 и 150 исправлено больше багов, чем в предыдущих 23 выпусках вместе взятых.
-
Cisco: встроенные учётные данные в Secure FMC используются в атаках нулевого дня
Компания Cisco предупреждает об активной эксплуатации уязвимости CVE-2026-20316 в Secure Firewall Management Center, вызванной зашитыми в ПО статическими учётными данными. Патчи уже выпущены, обходных путей нет.
-
Broadcom закрыл три критические уязвимости в VMware: обход аутентификации, RCE и побег из ВМ
Обновления затрагивают VMware ESX, vCenter, Workstation и Fusion. Три из исправленных дефектов признаны критическими, включая обход аутентификации в vCenter с оценкой CVSS 9.8.
-
24 000 серверных BMC утекают хэши паролей через 20-летнюю уязвимость IPMI
Более 24 тысяч серверов, доступных из интернета, раскрывают материал для взлома пароля из-за старой слабости протокола IPMI 2.0. У трети из них исследователи смогли подобрать реальные учётные данные.
-
Критическая уязвимость DHCPv6 в OpenWrt открывает путь к выполнению кода с правами root
OpenWrt выпустила версию 24.10.8, закрыв критическое переполнение стека в odhcpd (CVE-2026-53921, CVSS 9.8), а также ряд других уязвимостей в сетевых службах, включённых по умолчанию.
-
STAR Labs превратила гонку в подсистеме traffic-control ядра Linux в root-эксплойт с помощью ИИ
Исследователь Ли Цзя Цзе заявил, что искусственный интеллект помог ему найти уязвимость use-after-free (CVE-2026-53264) и ускорить разработку эксплойта, дающего локальному пользователю права root.
-
Критическая уязвимость в TeamCity: выполнение команд без авторизации
JetBrains призывает пользователей локальных версий TeamCity срочно обновиться: критическая брешь с оценкой 9,8 позволяет неавторизованному злоумышленнику выполнять команды операционной системы.
-
Calif бросает вызов: обойти защиту Apple MIE с помощью двух уязвимостей
Исследователи из Calif раскрыли две уязвимости в компонентах SMBClient и WebDAV macOS и предложили сообществу — людям, ИИ и смешанным командам — построить на их основе эксплойт, дающий root на устройстве с полностью включённой защитой MIE.
-
Arista закрыла критическую 0-day в VeloCloud Orchestrator, уже используемую в атаках
Уязвимость с максимальной оценкой 10.0 позволяет выполнять команды на сервере управления SD-WAN без аутентификации. CISA внесла её в каталог известных эксплуатируемых уязвимостей.
-
Microsoft представила первую модель для кибербезопасности и платформу агентов Perception
Компания выпустила специализированную модель MAI-Cyber-1-Flash и платформу Perception с командами ИИ-агентов, бросив вызов Anthropic, Google и OpenAI.
-
PoC-эксплойт для GitLab: авторизованный пользователь получает выполнение команд от имени git
Исследователь опубликовал рабочий эксплойт для непропатченных self-managed GitLab: достаточно закоммитить два подготовленных Jupyter-ноутбука и запросить их diff.
-
Clop атакует PTC Windchill и FlexPLM через критическую уязвимость
Вымогатели из группировки Clop эксплуатируют критическую уязвимость в PLM-платформах PTC, чтобы красть данные корпоративных клиентов и требовать выкуп.
-
ИИ-агенты Kimi K3 нашли уязвимости в Redis и собрали рабочий RCE-эксплойт
23 июля Redis выпустил семь исправлений после публикации PoC с удалённым выполнением кода для сток-сборок 6.2.22, 7.4.9, 8.6.4 и 8.8.0. Исследователи утверждают, что цепочки нашли автономные ИИ-агенты.
- Дальше