VAPAN COMMUNITY

‼️ Термінове оновлення PHP: дві діри, через які зламують сайт без логіна 21 жовтня PHP випустив екстрений патч. Дві критичні вразливості (CVSS 9.2) дають анонімному запиту виконати код на сервері. Під ризиком будь-який сайт на PHP: WordPress, магазини, самописні CMS. Читати повністю тут 🔛 https://vapan.org/articles/php2shell-php-rce-2026 📱 TikTok 📱 Instagram 🖥 VAPAN

🐈‍⬛

Вирішив згадати шо таке рілси… Думаєш, двофакторка тебе захищає? А от і ні. Хтось виклав на GitHub штуку, яка забирає Telegram за хвилину.

Дивіться тут 🔛

📱 TikTok 📱 Instagram 🖥 VAPAN

Друзі, для студентів готується двіж 🔥 Cyber Security Universiade повертається з другим сезоном! Це онлайн-відбір у форматі Jeopardy CTF для студентських команд українських вишів. Але є нюанс: реєстрація відкрита тільки до 21 жовтня, тобто часу залишилось буквально два дні ⏳ Коротко: 📅 24 жовтня (субота), 10:00–15:00 🌐 онлайн 👥 команда до 5 людей 🛡️ платформа Cyber Range UA powered by Unit Range Team Найсильніші команди поїдуть на офлайн-фінал навесні 2027 🏆 Якщо ви студент або знаєте студентів, яким цікава кібербезпека, збирайте команду і кидайте лінк у чат групи. Це шанс покопатися в реальних сценаріях ще до першої роботи, а не тільки читати про них у підручнику. Ну і просто класно провести суботу з командою 💚 👉 Реєстрація: https://lnkd.in/dbWabGVx

Реклама, яка заражає телефон без жодного кліку

— Citizen Lab опублікувала розслідування: шпигунське ПЗ Candiru потрапило на пристрої Al Jazeera через звичайні рекламні банери. — Користувачеві не треба нічого натискати. Достатньо, щоб реклама завантажилась.

Адаптували статтю на українську: 👉 https://vapan.org/uk/articles/adfection-reklama-shpyhunske-po

Маленькі та великі канали, які варто знати 🏴‍☠️ Не всі цікаві люди в кібербезі мають десятки тисяч підписників. Зібрали для вас невелику добірку авторських каналів від людей, яким є що сказати, показати або задокументувати. Підписуйтеся на авторів, а не на дегенеративні моделі. 🔹 VAPAN — про кібербезпеку, розробку та практичні кейси. Бо іноді звичайний npm install це вже початок інциденту. 🔹 imostrovskiys — затишний авторський бложик. Каже шітпостінг, але все одно цікавіше, ніж "Група реактивних БпЛА на півночі Чернігівщини, курс вздовж кордону з Білоруссю в напрямку Київщини", факти. 🔹 Dolboeb-driven Development — історії з перших, часто кривих рук розробників. Продакшен як жанр комедії. 🔹 lipsum_blog — життєві пости від тіпа з сил оборони. 🔹 Мам, я DPO — приватність, захист персональних даних, технології та права людини. Чи шо там. 🔹 DevTestSecOps — розробка, тестування, безпека й операційка: корисні посилання та нотатки з IT-життя. DevOpsіна з присмаком сесуріті. 🔹 x_Notes — нотатки зі світу української кіберспільноти та IT. Хто знає той знає. Цей канал власника Ламби у закладках іноді кращий за годину безцільного скролінгу. 🔹 Cyber.Anarchy.Squad — українська хакерська спільнота з відповідною назвою. Якщо слово «анархія» у вашому словнику стоїть десь поруч із кібербезпекою, вам сюди. Та навіть якщо не стоїть. Хоча якщо не стоїть, то це вже на інші канали треба підписуватись, але ми не про це зараз, еге ж? 🔹 RMRF Group — канал української RMRF-спільноти. Ще одне місце, де тусять всі представники цифрового андерграунду. 🔹 Бухта Меотиди — канал із виразним українським інтернет-вайбом. Для тих, хто пам’ятає, що інтернет колись був не лише стрічкою рекомендацій, а й місцем зі своїми бухтами та дивними портами. 🔹 st_082 — ще один авторський канал у цій добірці. Нікнейм нічого не пояснює, то ж доведеться відкривати й розбиратися самостійно. 🔹 CatEyes OSINT — Інтернет усе пам’ятає, а котячі очі ще й помічають. Цікаво, а котячі вушка і довгі панчохи теж присутні? 🔹 Cyber_Harakternuk — канал для тих, кому близькі кібербезпека й український характер. 🔹 Бінарний XOR — кібербезпека, низькорівневе програмування та авторські нотатки. Френдлі також для небінарних. 🔹 Хакерський кіт — їбав всіх у ріт. 🔹 RUH8 — Шон Таунсенд, прессекретар білого дому Ukrainian Cyber Alliance, про кібероперації, хакерські розбірки та все, що шевелиться у кіберпросторі. Дипломатичного протоколу тут не завезли. 🔹 OSINT Varta — справжні практики OSINT-розвідки, які здебільшого ідентифікують причетних до ВПК срюське і не тільки. Навчальні корисні речі також тут. 🔹 Molfar про OSINT — великі розслідування, OSINT-інструменти, флагмани ринку кіберрозвідки. Короче, хулі тут розповідати, це Мольфар. 🔹 loading_kernel_panic — для тих, у кого між завантаженням ядра й панікою в житті іноді немає жодної різниці. Назва вже обіцяє цікавий досвід. 🔹 даркнет | #УкрТґ — український інтернет, даркнет, нігілізм і вільний ринок без зайвого корпоративного лиску. Не плутати з каналами, де слово «даркнет» у назві це і весь їх задрочений контент. Ось тут реальний даркнет, це пизда. 🔹 BadB's Porn Club — кібербезпека без корпоративної дрочні і солодких обіцянок. Місцями грубо, зате без ілюзій. Цифровий світ не стане добрішим лише тому, що ви дрочите на фембоїв вам так хочеться. Є погані хлопці, і вони на тому каналі. 🔹 Ghost of Sheva 🇺🇦 — наші тігри, файний контент, файні активності, варто не лише читати а й приєднатися IRL. Тож, підтримуйте невеликі канали, приєднуйтесь до великих, діліться знахідками (в нашу пропонуйку) й не забувайте: хороші автори не завжди кричать голосніше за всіх. Цейво, якщо ми вас не додали, це не означає шо не хочемо чи ще якась така маячня, просто не згадали. Напишіть нам про це в пропонуйку, наступного разу додамо. DC8044 - enjoy cybercrime.

Як вам розбір?)

Обґрунтовані зауваження приймаються) 👇 P. S. Дякую всім за підтримку, це дійсно дає мотивацію продовжувати

🥹🥹

Something really good to watch. https://www.youtube.com/watch?v=dgobFIx1qAo

ВІД САЙТУ ДО БАЗИ НА 8 МІЛЬЙОНІВ: Повний розбір ЗЛАМУ АТБ на практиці У цьому відео ми не просто обговоримо райтап, а розберемо весь ланцюжок атаки (10-step kill-chain) на практиці. Приємного перегляду: https://youtu.be/dgobFIx1qAo

⚡️Терміново оновіть Telegram Desktop до версії 7.2.9 або новішої У застосунку знайшли серйозну вразливість CVE-2026-107181. Атака використовує спеціально сформоване посилання tg://. Після кліку зловмисник міг підмінити внутрішню команду Telegram і змусити програму відправити вказаний файл із комп’ютера до свого каналу без додаткового підтвердження. Найнебезпечніший сценарій полягає у викраденні файлів tdata, де зберігаються дані активної сесії. Це може дати доступ до Telegram-акаунта.

Важлива деталь: атака не є zero-click. Жертва має натиснути на шкідливе посилання.

🔥 BUG BASH НА SOC DAY 2026 13 жовтня стартує Bug Bash на SOC DAY 2026. 🎯 Ціль — ресурси одного з найбільших операторів критичної інфраструктури України. Деталі згодом. Тестування — через українську bug bounty платформу BugStream. 💵Reward pool — 1 000 000 грн. 📍Старт: 13 жовтня, 17:30, офлайн у Києві 💻 Далі тестуємо до 30 жовтня. Для участі потрібні: — попередня реєстрація; — особиста присутність на старті 13 жовтня. 👉🏿 Реєстрація до 10 жовтня: https://forms.gle/o755fcx1ggSrB6fo6 P.S. АТБ-style pentest у scope не входить 😎

RESPONSIBLE VULNERABILITY DISCLOSURE Target: Yandex Data Center, Sasovo, Ryazan Region Date: 8 October 2026 Severity: Critical Attack Vector: Kinetic We have identified a previously unknown vulnerability affecting the physical resilience of the Yandex data center in Sasovo. The vulnerability allows an attacker to bypass conventional network security controls, including firewalls, EDR, MFA, and air-gapped architecture, by applying sufficient kinetic energy directly to the infrastructure. Impact: The affected data center is currently on fire and has reportedly stopped operating. Consider implementing a zero-trust architecture — including for gravity, heat and incoming objects. CVSS v4.0: 10.0 — Critical CWE: CWE-693 — Protection Mechanism Failure Status: Exploited in the wild.

Робимо розбір райтапу? 🤣

🔴 На сайті АТБ з’явилася вимога викупу

5 жовтня замість звичайної сторінки atbmarket.com з’явилося повідомлення зловмисників із таймером і вимогою $400 тисяч у криптовалюті

Нападники заявляють, що викрали дані 7,9 млн клієнтів, зокрема телефони, email, адреси та хеші паролів.

Добиваєте 100 і продовжуємо 😆 Youtube 😊