Хакер — Xakep.RU

Хакеры атакуют 0-day в Check Point SmartConsole В компании Check Point предупредили клиентов о критической уязвимости CVE-2026-16232, которая затрагивает продукты Security Management и Multi-Domain Management. Баг позволяет обойти аутентификацию, получить права администратора и менять политики безопасности. При этом уязвимость уже применяется в реальных атаках. https://xakep.ru/2026/07/27/cve-2026-16232/

Исследователь получил 78 000 долларов США за баг в инфраструктуре поддержки Meta* Независимый ИБ-исследователь Рони К. Рой (Rony K Roy) заработал 78 000 долларов США за обнаружение уязвимости во внутренней инфраструктуре службы поддержки Meta (деятельность компании признана экстремистской и запрещена на территории РФ). Эксперт рассказал, что найденный им баг мог привести к раскрытию переписки пользователей с поддержкой, загруженных файлов и персональных данных. https://xakep.ru/2026/07/27/meta-reward/

HTB Fries. Подделываем права в NFS, чтобы добраться от контейнера до домена #хардкор 👑 Статья для подписчиков Когда NFS использует AUTH_SYS, сервер доверяет UID и GID, которые сообщает клиент, что можно превратить в обход прав доступа. Сегодня покажу, как через туннель добраться до внутреннего NFS-ресурса, выдать себя за нужную группу, забрать сертификаты для Docker и подделать клиентский серт. https://xakep.ru/2026/07/27/htb-fries/

На форумах Steam обнаружили приманки для ClickFix-атак Злоумышленники публикуют на форумах Steam фальшивые решения для различных проблем с играми и Windows. На самом деле такие команды PowerShell не исправляют баги, а устанавливают на компьютер жертвы криптомайнер XMRig. https://xakep.ru/2026/07/27/steam-clickfix/

Всего 100 адресов владеют 90% объема токена Сэма Альтмана По данным документов, поданных специалистами Grayscale в SEC для запуска ETF на Worldcoin, примерно 90% всех токенов WLD в обращении сосредоточено в руках владельцев всего 100 адресов. Это резко контрастирует с исходным позиционированием проекта Сэма Альтмана как «монеты для всего мира»: ее планировали раздавать людям после сканирования радужки глаза специальными устройствами Orb. https://xakep.ru/2026/07/27/worldcoin-concentration/

Министерство финансов Таиланда атаковали с помощью ИИ-агента Hermes Специалисты Hunt.io и ИБ-исследователь Боб Дьяченко (Bob Diachenko) нашли незащищенную инфраструктуру хакера, который применял ИИ-агента Hermes для автоматизации атаки на сеть Министерства финансов Таиланда. Агент самостоятельно сканировал хосты, искал способы повышения привилегий и изучал файловую систему, не запрашивая подтверждение перед выполнением команд. https://xakep.ru/2026/07/27/hermes-ai/

Вредоносные сайты собирают малварь по частям в памяти браузера Исследователи Confiant обнаружили вредоносную рекламную кампанию SourTrade, в ходе которой браузер жертвы сам собирает исполняемый файл малвари из отдельных компонентов. Кампания маскируется под официальные приложения TradingView, Solana и Luno и в основном нацелена на трейдеров и владельцев криптовалюты. https://xakep.ru/2026/07/27/sourtrade/

FortiBleed. Как десятки тысяч устройств Fortinet стали фабрикой для сбора данных 👑 Статья для подписчиков В июне 2026 года ИБ-специалист Боб Дьяченко (Bob Diachenko) [нашел](https://xakep.ru/2026/06/18/fortibleed/) в сети открытый сервер с базой данных, содержащей тысячи URL-адресов FortiGate и Fortinet VPN, логины, email-адреса и пароли в открытом виде. Считается, что это одна из крупнейших в истории подборок учетных данных для устройств Fortinet. https://xakep.ru/2026/07/27/fortibleed-story/

Ежеквартальный «Хакер» #3 готовится к печати. Предзаказы открыты Первые два выпуска ежеквартального «Хакера» уже отпечатаны, а третий готовится к выходу в сентябре. На этот раз одной из центральных тем номера станут роутеры и сети: наши авторы доберутся до прошивки устройства через физический доступ, исследуют инфраструктуру провайдера и настроят одновременное подключение к нескольким сетям. До передачи журнала в типографию действует специальная цена — 1500 рублей за экземпляр. https://xakep.ru/2026/07/24/quarterly-magazine/

GitHub снижает выплаты по программе bug bounty С 27 июля 2026 года GitHub как минимум вдвое снизит выплаты участникам публичной программы bug bounty. К примеру, за критическую уязвимость исследователи будут получать фиксированные 10 000 долларов США вместо прежних 20 000–30 000 долларов. Максимальные выплаты будут доступны только участникам закрытой VIP-программы. https://xakep.ru/2026/07/24/bug-bounty-github/

BitMEX завершает работу после 11 лет на рынке На бирже криптовалютных деривативов BitMEX объявили о полном прекращении операций с 23 сентября 2026 года. В свое время команда BitMEX изменила структуру всего мирового крипторынка, представив первый бессрочный своп с кредитным плечом до 100x. Регистрация новых аккаунтов уже остановлена, а пользователям настоятельно рекомендуют закрыть позиции и вывести средства как можно скорее. Решение о... https://xakep.ru/2026/07/24/bitmex-shutdown-2026/

Правоохранители отключили фишинговую платформу Kratos и арестовали ее разработчика Правоохранительные органы Германии и США отключили инфраструктуру фишинговой платформы Kratos, которая использовалась для кражи аккаунтов Microsoft 365 и обхода многофакторной аутентификации. Власти изъяли более 200 серверов, а предполагаемого разработчика и администратора сервиса арестовали в Индонезии. https://xakep.ru/2026/07/24/kratos/

Бывшие северокорейские хакеры взломали Центробанк КНДР Спецслужбы КНДР арестовали группу бывших государственных хакеров, которые взломали внутренние сети Центрального банка страны и Банка внешней торговли. Хакеры выводили похищенные средства с помощью криптовалюты и контрабандой переправляли иностранную валюту через границу. Известие о том, что в афере участвовали ветераны элитных киберподразделений, потрясло чиновников в Пхеньяне. https://xakep.ru/2026/07/24/north-korea-bank-hack/

Прорыв или нет? Разбираем, кто есть кто в генеративных моделях 👑 Статья для подписчиков Эта статья — обзор моделей для генерации изображений, каждая из которых могла заменить SDXL, но так этого и не сделала. Я расскажу, на чем спотыкаются популярные в сообществе модели вроде Z-Image Turbo и почему ни одна модель после SDXL так и не смогла стать универсальной заменой дряхлому чемпиону. В общем, сейчас будет срыв покровов и, конечно, картиночки! https://xakep.ru/2026/07/24/new-image-models/

Взлом Suno привел к утечке данных 55,3 млн аккаунтов Специалисты сервиса Have I Been Pwned (HIBP) проанализировали данные, похищенные при взломе ИИ-генератора музыки Suno. По их данным, дамп содержит 55,3 млн уникальных email-адресов, а также телефонные номера и десятки тысяч записей из платежной системы Stripe. https://xakep.ru/2026/07/24/suno-data-leak/

Спам-фильтры на основе ИИ можно обмануть с помощью старого трюка со скрытым текстом ИБ-специалисты заметили, что злоумышленники вновь используют давно известную технику засаливания текста (text salting), чтобы обходить почтовые фильтры, использующие машинное обучение и большие языковые модели. https://xakep.ru/2026/07/24/text-salting-ai/

Бесплатный ИТ-фестиваль в Москве для всей семьи 💚 15 августа в Таганском детском парке пройдет Фестиваль 3data «Московские ЦОДы» — большой праздник, где технологии встречаются с музыкой, спортом, творчеством и наукой. Гостей ждет насыщенная программа: на главной сцене выступит иллюзионист Марк Филини, а также пройдут интерактивные квизы с подарками. Вечернюю программу фестиваля завершит популярный стендап-комик Дима Гаврилов — отличный повод остаться до финала и завершить этот день ярко! В течение дня можно будет: 📌посетить познавательные лекции от интересных спикеров 📌принять участие в инженерных челленджах, турнире по ретро-геймингу, спортивных соревнованиях и творческих мастер-классах 📌отдохнуть в лаунж-зонах и послушать живую музыку 📌для самых маленьких гостей подготовлена отдельная развлекательная программа. За участие в активностях можно получить подарки — интересно будет и взрослым, и детям! 📅 Когда: 15 августа 📍 Где: Таганский детский парк, Москва Вход бесплатный, по предварительной регистрации. Фестиваль 3data «Московские ЦОДы» — хороший повод провести летний день в компании друзей, коллег или всей семьи! Реклама. ООО «3Дата». ИНН 7702822710

Новая уязвимость RefluXFS позволяет получить root-права в Linux Эксперты из компании Qualys обнаружили в файловой системе XFS уязвимость девятилетней давности. Баг, получивший идентификатор CVE-2026-64600 и название RefluXFS, позволяет локальному непривилегированному пользователю перезаписать защищенные файлы и получить root-права. https://xakep.ru/?p=579225&preview=true

Два моста потеряли $31,6 млн в результате хакерских атак За считаные часы неизвестные злоумышленники украли свыше $31,6 млн, атаковав два кроссчейн-моста: мост децентрализованной биржи AFX и мост протокола Verus. Оба инцидента произошли в один день и вновь показали, насколько уязвимыми остаются блокчейн-мосты, на которых хранятся крупные объемы активов для перевода между разными сетями. https://xakep.ru/2026/07/24/afx-verus-bridge-hacks/

Сервер хакеров WP-SHELLSTORM раскрывал данные о тысячах атак Исследователи обнаружили в сети незащищенный сервер хак-группы, которая массово взламывала сайты под управлением WordPress и Joomla, устанавливая на них веб-шеллы. В файлах были найдены списки из 1,4 млн потенциальных целей, эксплоиты, логи и данные об успешных атаках. Кампания получила название WP-SHELLSTORM. https://xakep.ru/2026/07/23/wp-shellstorm/