#уязвимость
-
Критическая уязвимость темы Avada для WordPress: RCE без единого клика
Цепочка из шести уязвимостей в популярной теме Avada позволяет неаутентифицированному злоумышленнику выполнить произвольный PHP-код на сервере. Проблему обнаружил ИИ-инструмент Wordfence менее чем за два часа.
-
Вредоносная веб-страница может отравить локальную ИИ-модель через NVIDIA NemoClaw
Компания Oasis Security раскрыла слабость в открытом стеке NVIDIA NemoClaw: подконтрольный злоумышленнику сайт способен без аутентификации захватить локальный Ollama и внедрить скрытые инструкции прямо в модель.
-
Атака на Zimbra: взломано более 270 серверов через уязвимость в SNMP
Злоумышленники активно эксплуатируют критическую уязвимость CVE-2026-73570 в Zimbra Collaboration Suite, позволяющую выполнять код удалённо без аутентификации. По данным Shadowserver, скомпрометированы сотни серверов.
-
Атаки на плагин miniOrange SAML SSO для WordPress: обход входа даёт права администратора
Злоумышленники массово сканируют сайты WordPress в поисках плагина Xecurify miniOrange SAML 2.0 SSO, две уязвимости в котором позволяют войти под любым пользователем без аутентификации.
-
Уязвимость в роутерах Calix открывает домашние устройства всему интернету
Незакрытая брешь в маршрутизаторах Calix GS7 XGS позволяет удалённо и без авторизации создавать правила проброса портов, обходя NAT и межсетевой экран. Производитель на обращения исследователя не ответил.
-
Критическая уязвимость в Keycloak позволяет угнать любую учётную запись через сброс пароля
Red Hat и проект Keycloak выпустили патчи для критической бреши CVE-2026-18963 (CVSS 9.1): неаутентифицированный злоумышленник может захватить любой аккаунт, включая административный, вынудив систему сбросить пароль.
-
Уязвимость в драйвере NTFS3: подготовленный образ даёт root в Linux
Специально сформированный NTFS-образ на USB-флешке позволяет локальному пользователю получить права root в Linux. Проблема остаётся незакрытой с начала лета.
-
В Emacs снова нашли выполнение кода при открытии файла
Уязвимость эксплуатирует механизм сокращений символов Emacs Lisp и позволяет запускать произвольный код при открытии любого файла в конфигурации по умолчанию. Затронуты все версии начиная с 28.1.
-
Критическую уязвимость GitLab CVE-2026-19478 начали эксплуатировать через считанные дни
Свежая брешь в GitLab с оценкой CVSS 9.4 позволяет неаутентифицированному злоумышленнику переписывать и удалять публичные проекты. По данным watchTowr, атаки в реальном мире начались почти сразу после раскрытия.
-
Критическую уязвимость в Zimbra уже эксплуатируют в атаках
Польский CERT предупредил об активной эксплуатации критической уязвимости CVE-2026-73570 в почтовом сервере Zimbra Collaboration Suite, позволяющей выполнить произвольный код без аутентификации.
-
Уязвимость в macOS Screen Sharing используют для добычи Monero
Нидерландский центр кибербезопасности предупреждает об активной эксплуатации уязвимости обхода аутентификации в macOS: злоумышленники получают root-доступ и устанавливают майнер криптовалюты.
-
Хакеры атакуют критическую уязвимость Adobe Commerce для угона аккаунтов покупателей
Обнаружены попытки эксплуатации уязвимости CVE-2026-71362 в платформах Adobe Commerce и Magento, позволяющей без аутентификации захватывать чужие пользовательские сессии.
-
Cisco предупреждает об активной эксплуатации уязвимости в ASA и FTD
Уязвимость в VPN-компонентах межсетевых экранов Cisco Secure Firewall позволяет удалённо перезагружать устройства. Компания зафиксировала атаки и выпустила исправления.
-
Zapscape: уязвимость KVM позволяет выйти из гостевой ВМ на хост Linux
Новая ошибка в теневом MMU KVM/x86 (CVE-2026-64561) даёт привилегированному коду внутри вложенной виртуальной машины выполнить команды на хосте с правами root. Опасность касается систем с вложенной виртуализацией, открытой недоверенным гостям.
-
Thermo Fisher закрыла уязвимость, позволявшую незаметно подменять ДНК-файлы криминалистов
Компания выпустила обновления с цифровыми подписями для ПО Applied Biosystems, но три устаревшие линейки исправлений не получат. Исследователи полагают, что изъян существовал в файлах криминалистических лабораторий с 1995 года.
-
CosmosEscape: уязвимость Azure Cosmos DB открывала доступ к базам всех клиентов
Исследователи Wiz показали цепочку атак, которая через побег из песочницы Gremlin вела к платформенному ключу, дававшему доступ к любой базе Cosmos DB. Microsoft устранила проблему.
-
Одно посещение сайта компрометирует Tor Browser: уязвимость в JIT Firefox
Исследователи Nebula Security показали, что закрытая уязвимость JIT-компилятора Firefox позволяла выполнить код в браузере при простом посещении вредоносной страницы — и затрагивала Tor Browser. Mozilla устранила брешь в версии 151.0.3.
-
Побег из песочницы n8n: редактор рабочих процессов мог запускать команды ОС
В платформе автоматизации n8n закрыли уязвимость высокой степени опасности: аутентифицированный редактор рабочих процессов мог вырваться из песочницы выражений и выполнять команды операционной системы с правами процесса n8n.
-
AgentForger: одна фишинговая ссылка превращала ChatGPT в автономного шпиона внутри компании
Исследователи Zenity Labs раскрыли критическую уязвимость в Workspace-агентах ChatGPT: переход по единственной ссылке позволял тайно создать, авторизовать и запустить враждебного ИИ-агента с правами сотрудника. OpenAI закрыла брешь 8 июня 2026 года.
-
Check Point закрыл уязвимость SmartConsole, дававшую права администратора
Компания выпустила обновления для продуктов Security Management и Multi-Domain Management, устранив в том числе критическую брешь, которую уже используют в реальных атаках.
- Дальше