Codeby

❗️ Новости недели (19–23 октября) Рассмотрим главные события недели: PHP2Shell парализовал сайты, Google Cloud уронил банки Британии, а «Яндекс» считает дни простоя. 1️⃣PHP2Shell На неделе разразился скандал вокруг 2-х критических уязвимостей в самом интерпретаторе PHP: CVE-2026-109618 и CVE-2026-109619, получивших общее имя PHP2Shell. Обе позволяют злоумышленникам удалённо выполнять код без авторизации. ▶️проблема в ядре PHP, на котором работают WordPress, Drupal, Joomla, Magento, «1С-Битрикс» и миллионы самописных приложений ▶️исправления вышли 21 октября для версий 8.2.35, 8.3.36, 8.4.27 и 8.5.12 ▶️хостинг-провайдер REG.RU временно ограничил обработку запросов multipart/form-data, которые используются при загрузке файлов ▶️в результате владельцы сайтов начали получать ошибки 403 и терять доступ к административным панелям В поддержке REG.RU объяснили:

«Из-за обнаруженных уязвимостей временно ограничили обработку запросов multipart/form-data на виртуальном хостинге»

НКЦКИ при ФСБ России разослал указания владельцам критической информационной инфраструктуры:

Срочно обновить PHP, а если это невозможно - ограничить внешний доступ вплоть до отключения серверов

2️⃣Google Cloud уронил банки и суды Великобритании 20 октября сбой в лондонском регионе Google Cloud (europe-west2) вызвал перебои у британских банков. Причиной назвали «инцидент в системе электроснабжения». ▶️под удар попали Revolut, Lloyds, Halifax и HSBC ▶️клиенты Revolut не могли оплатить покупки, снять наличные или войти в приложение ▶️помимо банков, сбой затронул видеоплатформу судебной системы ▶️также перебои наблюдались у DPD, Royal Mail и приложения Национальной службы здравоохранения Одна из пользовательниц рассказала BBC:

«Сегодня я не смогла оплатить парковку в торговом центре, потому что мой аккаунт Revolut не работал. Это поставило меня в сложное положение»

В Revolut заверили:

«Все деньги и данные наших клиентов в безопасности. Мы работаем над решением проблемы с момента её обнаружения»

Lloyds сообщил, что основные проблемы устранены. Британский регулятор FCA запросил у Google дополнительную информацию об инциденте. 3️⃣«Яндекс Директ» вернулся после девяти дней простоя Рекламная платформа «Яндекса» восстановила ключевые функции: создание и редактирование кампаний, регистрацию аккаунтов и управление финансовыми операциями. ▶️ограничения действовали с 11 октября после атак беспилотников на дата-центры компании ▶️о полном восстановлении всех связанных сервисов компания пока не объявляла ▶️ранее «Яндекс Пэй» также пришёл в себя после масштабных сбоев (пользователям постепенно вернули доступ к переводам и накопительным счетам) 4️⃣Взлом подрядчика поставил под угрозу данные Компрометация облачного подрядчика Arcadia могла привести к утечке персональных данных около 125 тысяч сотрудников японской полиции. ▶️потенциально затронуты также контактные сведения 16 тысяч граждан и более 2,6 тысячи организаций ▶️инцидент вновь поднял вопрос о том, насколько безопасно передавать чувствительные данные на аутсорсинг ▶️восстановление доверия и проверка всех затронутых записей могут занять месяцы 5️⃣Вредоносных доменов в Рунете стало больше на 32% Проект «Доменный патруль» за 9 месяцев 2026 года зафиксировал 49.528 обращений о вредоносных доменах в зонах .RU и .РФ. ▶️на фишинговые ресурсы пришлось почти 60% сообщений ▶️количество обращений о распространении вредоносного ПО выросло в 1,9 раза ▶️по итогам проверок заблокировано 98% выявленных доменов ▶️рост числа фишинговых ресурсов совпал с сезоном распродаж и подготовки к Новому году

Специалисты рекомендуют проверять домены перед вводом данных и не переходить по ссылкам из подозрительных сообщений

Источник: https://securitymedia.org/news/obzor-kiberatak-i-uyazvimostey-za-proshedshuyu-nedelyu-19-23-oktyabrya-2026-goda-.html #кибербезопасность #ИБ #кибератаки #PHP2Shell #GoogleCloud #Яндекс #Япония #фишинг #news 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🎇intercept

Бесплатная платформа с открытым исходным кодом, которая объединяет инструменты анализа программно-определяемых средств радиосвязи (SDR) в единый доступный интерфейс.

⬇️Установка

git clone https://github.com/smittix/intercept.git
cd intercept
./setup.sh    
sudo ./start.sh

1️⃣При первом запуске setup.sh запускается мастер с пошаговыми инструкциями, который определяет вашу операционную систему, позволяет выбрать профили установки, настраивает среду Python и, при необходимости, настраивает переменные среды и PostgreSQL. 2️⃣При последующих запусках открывается интерактивное меню. После запуска необходимо открыть http://localhost:5050 в браузере. 📐Возможности 📉Декодирование пейджера - приём и декодирование сигналов POCSAG/FLEX 📉Датчики 433 МГц - приём данных с метеостанций, систем контроля давления в шинах (TPMS) и устройств Интернета вещей (IoT) 📉Анализатор диапазона Sub-GHz - захват радиосигналов и декодирование протоколов в диапазоне 300–928 МГц 📉Отслеживание воздушных судов — приём сигналов ADS-B, отображение самолётов на карте в реальном времени 📉Отслеживание судов — отслеживание морских судов по AIS 📉Метеорологические спутники - декодирование изображений NOAA APT и Meteor LRPT 📉WebSDR - Дистанционное прослушивание высокочастотных /коротковолновых сигналов 📉Счетчики коммунальных услуг - считывание показаний электросчётчиков, газовых и водяных счётчиков 📉Сканирование по Wi-Fi - разведка беспроводных сетей в режиме мониторинга 📉Сканирование по Bluetooth - обнаружение Bluetooth-устройств и выявление трекеров 📉GPS - отслеживание текущего местоположения в реальном времени с отображением на карте скорости, высоты и информации о спутниках 📉TSCM - обнаружение потенциальных средств наблюдения и радиоэлектронных угроз 📉Космическая погода - солнечные и геомагнитные данные в реальном времени 🖱и другие функции. Возможности приёма и декодирования зависят от оборудования, антенн, программных модулей и условий распространения радиосигнала. #sdr #tools #radiomonitoring 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🚩 Новые задания на платформе HackerLab! 🧰 Категория PWN — Отвергнутый malloc'ом чанк, освобождённый и забытый своим хозяином, заново рождается в глубинах кучи - но пробуждённая в момент смерти способность "Tcache Poisoning" девятитысячного уровня позволяет ему переписывать судьбу соседних чанков и обращать указатели против всей аллокаторной иерархии, дабы стать сильнейшим владыкой malloc'а всех времён, хотя, если верить летописям, чтобы дать чанку столь запретную силу, автор таска явно воспользовался артефактом «Тяжёлая лакрица», прежде чем всё это придумать! Приятного хакинга!

❓ Пятничный опрос При хранении паролей их не держат в открытом виде, а хешируют. Чтобы одинаковые пароли не давали одинаковые хеши, к каждому паролю добавляют соль — уникальную случайную строку.

🦈BruteShark

Инструмент сетевого криминалистического анализа (Network Forensic Analysis Tool, NFAT), который выполняет глубокую обработку и проверку сетевого трафика (в основном файлов PCAP, но также может осуществлять прямой захват трафика с сетевого интерфейса.

Решение имеет трехуровневую архитектуру, включающую один или несколько проектов на каждом уровне — DAL, BLL и PL. Разделение между уровнями достигается за счет того, что каждый проект ссылается только на свои собственные объекты Функционал ⏺️Извлечение и кодирование имен пользователей и паролей (HTTP, FTP, Telnet, IMAP, SMTP...); ⏺️Извлечение хэш-значений аутентификации и их взлом с помощью Hashcat (Kerberos, NTLM, CRAM-MD5, HTTP-Digest...); ⏺️Построение визуальной схемы сети (узлы сети, открытые порты, пользователи домена); ⏺️Извлечение DNS-запросов; ⏺️Восстановление всех TCP- и UDP-сессий; ⏺️File Carving; ⏺️Извлечение VoIP-вызовов (SIP, RTP). ⬇️Установка ➡️Windows Для настольной версии скачайте установщик BruteSharkDesktop для Windows (64-разрядная версия). Для версии CLI скачайте исполняемый файл BruteSharkCli для Windows 10. ➡️Linux Скачайте BruteSharkCli и просто запустите его:

wget https://github.com/odedshimon/BruteShark/releases/latest/download/BruteSharkCli
./BruteSharkCli

🔎Использование При загрузке больших pcap файлов рекомендуется выбирать только необходимые модули. 1️⃣Получить учетные данные из всех файлов в каталоге (пароли и хэш-значения будут выведены в стандартный поток вывода):

 BruteSharkCli -m Credentials -d "<TODO>\Pcap Files"

2️⃣Получить учетные данные из всех файлов в каталоге, а также экспортировать извлеченные хэш-значения (если они есть) во входные файлы Hashcat.

 BruteSharkCli -m Credentials -d <TODO>\Pcap_Examples -o <TODO>\Results

3️⃣Запуск нескольких модулей для всех файлов в каталоге, а также экспорт всех результатов.

 BruteSharkCli -m Credentials,NetworkMap,FileExtracting -d <TODO>\Pcap_Examples -o <TODO>\Results

🚗Искать и анализировать следы кибервзломов (анализ артефактов, работа с opensource инструментами) можно научиться на курсе Цифровая криминалистика и реагирование на инциденты ОС Linux (DFIR), который стартует 26 октября. Успейте записаться!🎇 #dfir #tools #network 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

PHP2Shell: критические уязвимости в PHP. Две уязвимости с оценкой CVSS 9.2 позволяют удалённо выполнить код на 70% всех веб-сайтов без аутентификации. 21 октября 2026 года исследователи Calif Research опубликовали подробный разбор двух критических уязвимостей PHP, получивших название php2shell. Исправления уже выпущены, однако масштаб использования PHP и сложность обновления серверов создают условия для массовых атак. В чем заключается проблема❓ Уязвимости зарегистрированы под идентификаторами CVE-2026-109618 и CVE-2026-109619 и связаны с некорректной обработкой памяти при возникновении ошибок во время обработки HTTP-запросов. Механизмы эксплуатации разные: 1️⃣CVE-2026-109618 — RCE через повреждение состояния при исчерпании памяти. Когда PHP превышает установленный лимит памяти и аварийно завершает обработку запроса, некоторые внутренние структуры могут оказаться частично инициализированными. Последующая очистка использует некорректное состояние. 2️⃣CVE-2026-109619 — RCE через устаревшее глобальное состояние. Внутренние структуры продолжают ссылаться на уже освобождённую память. При обработке последующего запроса оставшееся состояние может быть использовано повторно, что создаёт условия для эксплуатации. ❗️В результате атакующий может добиться удалённого выполнения кода, раскрытия данных или нарушения доступности сервиса. Официальное описание можно найти в бюллетени. 🧿Масштаб проблемы PHP используется почти на 70% веб-сайтов. Уязвимости php2shell затрагивают саму среду выполнения PHP. Уязвимы все версии PHP начиная с PHP 5. По оценке одного исследователя в сфере кибербезопасности, уязвимость затрагивает более 1,3 млн, подключённых к интернету хостов. Из-за потенциального масштаба проблемы отдельные организации решили временно отключить публичные сервисы, пока не смогут установить исправления. Как сообщает Reuters, меры затронули сайты государственных ведомств и организаций в Нидерландах, Франции, Дании и Финляндии. 🪧Что делать администраторам? Международные команды реагирования призвали администраторов как можно скорее обновить PHP, а при невозможности своевременно установить исправления — ограничить доступ к уязвимым сервисам или временно отключить их. Разработчики PHP уже выпустили исправления. Для основных поддерживаемых веток необходимо обновиться как минимум до следующих версий: PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35. 🔎Для PHP 8.1 и более старых веток официальный проект больше не выпускает обновления. #PHP #news #rce 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

«КиберСтарт» на SOC Forum 2026: от первых заказчиков до инвестиций! 27-28 октября в московском кластере «Ломоносов» пройдет «КиберСтарт» - площадка для ИБ-стартапов в рамках SOC Forum 2026. В этом году на «КиберСтарте» свои технологии представят 17 стартапов. Участники смогут найти потенциальных заказчиков и партнеров, а также обсудить перспективы развития бизнеса. Среди заявленных компаний: Участники прошлого года: C-Fence, HiveTrace, SecWare, АБП2Б, «Кауч», SQUAD, Singleton Security, «Кибертест». Новички программы: DPA Analytics, Netopia, MFASOFT, Cybear, «Нейроинформ», Modernal, «Нетхаб», «Сектор», ScanFactory (с продуктом AI Firewall). Компании представят решения в различных областях ИБ: безопасность приложений и API, защита данных и ИИ-систем, сетевая безопасность, управление уязвимостями, аутентификация и другие. В рамках деловой программы будут обсуждаться: -Практические вопросы развития ИБ-стартапов (поиск заказчиков, выход на рынок). -Оценка надежности молодых вендоров крупными компаниями. -Инвестиционная привлекательность проектов и инструменты поддержки. -Новые направления кибербезопасности (ИИ, защита облачной инфраструктуры). Завершит программу премия «КиберСтарта» с номинациями «Лучший рост за год» и «Новичок на Киберстарте». Победителей выберут члены экспертного совета (Advisory Board) и партнеры CyberStage.

🕸vigolium

Высокоточный сканер веб-уязвимостей, написанный на языке Go. Он сочетает в себе детерминированное модульное сканирование с агентным анализом на основе искусственного интеллекта, что обеспечивает широкий и глубокий охват проблем безопасности веб-приложений.

📌Ключевые компоненты ⏺️Vigolium CLI — выполняет всю логику сканирования, запускает модули и выполняет сложные задачи; ⏺️Vigolium Workbench — локальная панель управления для визуализации результатов сканирования, управления проектами и отслеживания результатов; ⏺️Vigolium Console — облачное решение, которое обеспечивает управляемое сканирование, совместную работу в команде и централизованную отчетность без необходимости самостоятельного хостинга. Предоставляет два взаимодополняющих режима сканирования: 1️⃣Native Scan. Детерминированное многоэтапное сканирование с использованием 331 модулей для обнаружения контента, парсинга браузеров и одностраничных приложений, а также активного и пассивного аудита, охватывающего классы уязвимостей, связанных с внедрением кода, контролем доступа, файлами и путями, API и протоколами, фреймворками, облачными технологиями и инфраструктурой, а также внеполосным сканированием (OAST). 2️⃣Agentic Scan. Сканирование на основе искусственного интеллекта. Агент автономно обнаруживает конечные точки, выполняет сканирование и сортировку результатов, сочетая глубокий аудит исходного кода с автономным и целенаправленным сканированием уязвимостей. Все запросы к ИИ направляются через встроенный механизм olium, который поддерживает одиннадцать провайдеров. ⬇️Установка

curl -fsSL https://vigolium.com/install.sh | bash
#or
npm install -g @vigolium/vigolium

Для Windows можно также скачать файл vigolium_0.5.4_windows_amd64.zip со страницы релизов. Использование ➡️Native Scan

# Сканирование только определенных модулей
vigolium scan -t https://example.com -m xss-reflected,sqli-error

# Передача URL-адресов из стандартного потока ввода
cat urls.txt | vigolium scan

➡️Аутентифицированное сканирование

# Встроенный сеанс через флаг командной строки (имя:Заголовок:значение)
vigolium scan -t https://example.com --auth "admin:Cookie:session_id=abc123"

# Добавление пользовательских заголовков 
vigolium scan -t https://example.com -H "Authorization: Bearer token123"

➡️Agentic Scan

# Автономное AI-сканирование
vigolium agent autopilot -t https://example.com

# Аудит исходного кода
vigolium agent audit --source ./src

#tools #LLM #vulnerabilities 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

OSINT (Open Source Intelligence) - разведка по открытым источникам. Сегодня это инструмент журналистов, аналитиков и обычных пользователей, но его история началась задолго до интернета. ⏺️Газеты вместо агентов Термин OSINT появился в конце XX века, но сама практика применялась ещё в XIX веке. Во время Гражданской войны в США обе стороны активно использовали газеты для получения разведданных о численности и передвижении войск. ▶️Генерал Александер в мемуарах признавал, что военная информация из газет о численности и организации войск была лучше, чем сведения от его собственных агентов. ▶️Аналогично Наполеон полагался на британские газеты как источник военной информации, а русский царь на газеты во время Крымской войны.

«С таким количеством жизненно важной информации в печати, вражеские газеты стоило систематически приобретать», - заключал историк Масловски

⏺️Вторая мировая и радио ▶️В 1939 году британское правительство попросило BBC запустить службу мониторинга иностранной прессы и радиопередач (BBC Monitoring). В 1940 году цель службы описывали как создание «современной Вавилонской башни, где слышны голоса и друзей, и врагов». ▶️В 1941 году президент Рузвельт создал в США первую профессиональную структуру (Foreign Broadcast Monitoring Service - FBMS) для мониторинга, перевода и анализа радиопередач стран «оси». К концу 1942 года служба могла переводить более 500.000 слов в день с 25 радиостанций на 15 языках. ▶️В 1947 году FBMS перешла под контроль ЦРУ и стала называться Foreign Broadcast Information Service (FBIS). На протяжении холодной войны OSINT составлял значительную часть всей разведки по СССР и Китаю.

К началу 1960-х один из инсайдеров писал: «В совокупности открытые источники, вероятно, предоставляют большую часть всей информации, используемой для производства военной разведки по Советскому Союзу»

⏺️Рождение термина Само слово «OSINT» появилось благодаря Роберту Дэвиду Стилу, бывшему офицеру ЦРУ. В 1990 году в статье «Intelligence in the 1990's: recasting national security in a changing world» он впервые использовал этот акроним. Стил выступал за создание информационной инфраструктуры, которая объединила бы HUMINT, SIGINT, IMINT и OSINT в единую систему анализа.

«Мы уделяли мало внимания открытым источникам (OSINT)…» - писал Стил, вводя термин в оборот

В 1992 году в США прошла первая конференция по теме, материалы которой были опубликованы в American Intelligence Journal. Однако признание приходило медленно. ⏺️11 сентября и реформа 2005 года Теракты 11 сентября 2001 года изменили всё. Комиссия по расследованию 9/11 пришла к выводу о необходимости более широкого использования OSINT хотя бы для проверки выводов, полученных из секретных источников. В 2005 году директор Национальной разведки США объявил о создании Open Source Center (OSC) на базе FBIS для сбора, анализа, исследования и управления информационными технологиями для использования новых открытых источников в масштабах всего правительства.

«Цифровая революция обеспечила подъём OSINT», - объясняет Эндрю Хаммонд, историк Международного музея шпионажа в Вашингтоне

⏺️От Bellingcat до обычных граждан Сегодня OSINT вышел далеко за пределы спецслужб. Bellingcat и другие организации используют открытые источники для расследований. ИИ расширил возможности OSINT: ▶️терабайты данных можно обрабатывать на высокой скорости ▶️выявлять угрозы в онлайн-форумах с помощью анализа тональности ▶️идентифицировать людей и места на фотографиях с помощью геолокации

«Там может быть информация, которая поможет нам, например, предотвратить теракт в Лондоне. Но как найти иголку в стоге сена? Вот тут на помощь приходит ИИ», - говорит основатель Bellingcat Элиот Хиггинс

#OSINT #Разведка #Bellingcat #РобертСтил #ИИ #History 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🚀 Приглашаем принять участие в Студенческом чемпионате «Кибербезопасность в финансах» Молодежной программы 365! Киберчемпионат Банка России — командное соревнование для тех, кто учится на ИТ- и ИБ-специальностях. Участников ждет погружение в мир кибербезопасности: решение практических задач, командная работа, взаимодействие с профильными экспертами, знакомство с единомышленниками и многое другое. Какие будут этапы? 🔵 Онлайн-отбор: решение CTF-задач и командное интервью. Топ-10 команд получат приглашение в полуфинал 🔵 Подготовка к очному этапу: знакомство с киберполигоном, тестовые киберучения и совместная работа с профильными экспертами 🔵 Полуфинал и финал на Уральском форуме «Кибербезопасность в финансах» в Екатеринбурге: битва на киберполигоне, защита отчетов перед профильным жюри, а также доступ к деловой программе Форума Кто может принять участие? Команды из 4–5 человек — студентов бакалавриата, специалитета, магистратуры в возрасте от 18 до 25 лет. ✨ Не упусти возможность испытать себя на киберполигоне, поработать над реальными задачами и сразиться за призовой фонд — 1 500 000₽. Регистрация открыта по 3 декабря. Подать заявку ↖️

60 баллов из 100 — и вы провалились. Почему OSCP без Active Directory больше не сдать Один стажёр сделал всё идеально: три standalone-машины, три root-флага, 60 баллов. И получил письмо с отказом. Потому что проходной порог — 70. А бонусных баллов за упражнения курса больше нет. С ноября 2024 OffSec убрал ту самую «подушку» в 10 очков, которая позволяла игнорировать AD Set. Теперь арифметика безжалостна. Расклад по баллам сегодня выглядит так: • 3 standalone-машины — по 20 баллов (10 за foothold + 10 за privesc) = 60 максимум • AD Set из 3 машин — 40 баллов (10 + 10 + 20 за Domain Controller) • Порог: 70 из 100 Минимальная проходная комбинация: полный AD Set (40) + одна standalone с root (20) + foothold на второй (10). AD — не бонусный раунд, а центр тяжести экзамена. Хорошая новость: AD Set теперь начисляет частичные баллы. Раньше было all-or-nothing — либо 40, либо ноль. Сейчас даже если застряли на DC, 20 баллов за первые два хоста уже ваши. Это принципиально меняет тактику на экзамене. 🎇Ещё одно ключевое изменение — формат assumed breach. AD-сценарий начинается не с поиска точки входа, а с готовых учётных данных обычного доменного пользователя. Вам дают что-то вроде jsmith:Password123 — дальше крутитесь сами. Это зеркалит реальный внутренний пентест: старт внутри периметра, lateral movement, цепочка до Domain Admin. Типичный путь через AD Set выглядит так: энумерация через BloodHound или PowerView → Kerberoasting сервисных аккаунтов → дамп LSASS/SAM → Pass-the-Hash на промежуточный сервер → доменная эскалация → DC. Семь этапов, и каждый нужно довести до автоматизма. Практический совет, который спасает часы на экзамене: всегда имейте план Б для BloodHound. Он может сломаться — конфликт версий, зависимости, что угодно. Ручная энумерация через net и PowerView должна быть отработана так же хорошо. 🎯И последнее. При успешной сдаче вы получаете сразу два сертификата: бессрочный OSCP и OSCP+ (действует 3 года). Часть работодателей уже требует именно OSCP+, так что продумайте путь продления заранее — через CPE-кредиты или старшую сертификацию. Полный разбор структуры экзамена, стратегию распределения времени и чеклист подготовки — читайте в полной статье. https://codeby.net/threads/oscp-ekzamen-struktura-2026-3-mashiny-ad-set.96020/

Главное событие осени в мире кибербезопасности и технологий - SOC Forum 2026 - пройдет 27-28 октября в кластере «Ломоносов»! Генеральная тема форума: искусственный интеллект как инструмент в руках атакующих и защитников. Два дня интенсивных дискуссий: 27 октября: Фокус на бизнесе и регулировании в эпоху ИИ. Обсудим экономический эффект, границы автономии ИИ и ответственность за ошибки. 28 октября: Погружение в технологии и практику кибербезопасности. Как ИИ меняет возможности атакующих и защитников? Разберем внедрение ИИ в ИТ- и ИБ-инфраструктуру. Спикеры: Более 170 экспертов из 90+ компаний, включая ВТБ, ПСБ, Т-Банк, Россельхозбанк, «Ростелеком», Билайн, «Норильский никель», X5 Tech, Ozon, Kaspersky, Positive Technologies и многих других. Главный иностранный гость: Китайский писатель и футуролог Чэнь Цюфань (Chen Qiufan), автор бестселлера «ИИ 2041». Он поделится своим видением будущего, где ИИ трансформирует бизнес и общество. Более 60 сессий и специальных форматов: От пленарных дискуссий до технических докладов, отобранных из более чем 400 заявок через Call for Papers. Актуальные темы: Антифрод с ИИ, защита данных, автономные ИИ-агенты, безопасность разработки, новые угрозы и методы защиты. SOC Forum 2026 – это уникальная возможность быть в курсе последних трендов, обменяться опытом и понять, как ИИ меняет наш мир уже сегодня. Полная программа SOC Forum 2026 опубликована на сайте форума. Регистрация на мероприятие открыта.

Твой профиль на Codeby теперь работает на карьеру Мы превратили страницу пользователя в профессиональную визитку: стек, опыт, образование, CTF-достижения и прогресс HackerLab — всё в одном месте. До резюме теперь — один клик. Бейдж «В поиске работы» кликабелен: нажимаешь — открывается резюме. Увидел навыки, оценил практику, связался — без лишних поисков. Посмотри, как это выглядит: https://codeby.net/members/zapret.305772/ Прокачай свой профиль. Пусть сообщество видит, что ты реально умеешь.

✏ Adobe Experience Manager — цепочка из четырёх уязвимостей вела к RCE без аутентификации Исследователи SL Cyber (Assetnote Security Research Team) обнаружили в облачной версии Adobe Experience Manager (AEM) цепочку из четырёх уязвимостей, которая позволяла неаутентифицированному атакующему добиться удалённого выполнения кода (RCE). Проблема касалась только cloud-версии AEM, уязвимости уже устранены. 🎇 Из чего состояла цепочка По данным исследования, в связке были задействованы: ⏺️ неаутентифицированный массовый импорт в DAM (Digital Asset Management) — позволял анониму создавать ресурсы от имени сервисного аккаунта; ⏺️ хранимая (stored) XSS; ⏺️ небезопасный разбор XML; ⏺️ выполнение Groovy-кода через эндпоинт /bin/asynccommand — финальный шаг, дающий RCE. 🕵‍♂️ Логика атаки Подробного пошагового PoC в публичном пересказе нет, но общая схема такова: атакующий без учётных данных создаёт нужные ресурсы через уязвимый импорт в DAM, с помощью XSS и небезопасного разбора XML добивается выполнения своего кода на стороне сервера, а через /bin/asynccommand запускает произвольный Groovy-скрипт — то есть получает полноценное выполнение кода на сервере AEM. 👌 Что известно про исправление Уязвимости исправлены Adobe для облачной версии AEM. Точные номера CVE, оценки CVSS и список конкретных затронутых и исправленных версий в открытом пересказе исследования не раскрываются — подробности SL Cyber приводит в собственном техническом отчёте. ❗️ Почему это важно AEM — сервис управления контентом, которым пользуются тысячи корпоративных сайтов, так что уязвимость такого класса — неаутентифицированный RCE — закрывает путь к компрометации сайта целиком: от подмены контента до выполнения кода на сервере. То, что для достижения RCE потребовалась связка сразу из четырёх разноплановых недочётов — от импорта данных до XSS и разбора XML, — типичный пример того, как низкокритичные по отдельности баги складываются в критическую цепочку. #Adobe #AEM #RCE #XSS #XXE #Cybersecurity #InfoSec #Vulnerability #0day 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером Источник: The Hacker News (https://thehackernews.com/2026/10/threatsday-adobe-rce-dns-wallet-theft.html)

Каждая деталь может стать ключом к расследованию На курсе OSINT: технология боевой разведки от Codeby Academy вы научитесь находить, проверять и анализировать информацию из открытых источников. 🔎Поиск данных о людях и компаниях, GEOINT, сетевая разведка, работа с базами данных и автоматизация сбора информации. Научитесь составлять досье, проводить расследования с учётом правовых норм и защищать собственные цифровые следы. 4 месяца практики под руководством специалистов с опытом в OSINT и информационной безопасности. Старт — 26 октября. ➡️Узнать программу и записаться

❗️ Новости недели (12 – 18 октября) Разбираем события недели: от последствий атак на дата-центры до шпионских имплантов в криптокошельках. 1️⃣«Яндекс» восстанавливается после ударов по трём ЦОДам Последствия атак на дата-центры «Яндекс» в Рязанской, Калужской и Владимирской областях оказались масштабнее, чем казалось на прошлой неделе. Сбои затронули не только российских пользователей, но и клиентов в других странах. ▶️Сильнее всего пострадал «Яндекс Пэй». Руководитель финтех-направления компании Дмитрий Пирогов обратился к пользователям с объяснением:

«Инфраструктура изначально создавалась так, чтобы данные об операциях реплицировались одновременно в нескольких дата-центрах. После недавних атак БПЛА на дата-центры «Яндекса» инженерам пришлось полностью перестраивать инфраструктуру, чтобы сохранить этот ключевой принцип и вернуть доступ к привычным функциям»

В компании заверили, что деньги пользователей не пострадали:

«Сами деньги не хранятся в дата-центре. Там находятся серверы, которые обеспечивают работу сервисов. Записи о каждом счете хранятся в нескольких копиях на разных площадках. Мы проверили их целостность: ни одна запись не потеряна»

В качестве компенсации «Яндекс» временно повысил ставку по «Яндекс Сейв» до 20% годовых и пообещал не учитывать просрочки, возникшие из-за технических проблем. «Яндекс Банк» также сообщил, что не будет начислять проценты за просрочку кредитных платежей. 2️⃣Хакеры устроили разморозку в сотнях супермаркетов Франции Масштабная кибератака затронула холодильное оборудование сотен французских супермаркетов. Злоумышленники получили доступ к промышленным контроллерам Danfoss и дистанционно активировали режим разморозки.

Повышение температуры привело к порче продуктов и прямым финансовым потерям торговых сетей. Это не кража данных и не шифрование файлов, а атака на физические процессы.

Холодильники вышли из строя не из-за взлома IT-инфраструктуры, а через уязвимость в системах управления, которые обычно остаются без должного внимания. 3️⃣DeepSeek лежала почти 5 часов Китайская нейросеть DeepSeek пережила масштабный сбой 15 октября. Веб-версия, мобильное приложение и API были недоступны с 8:11 до 13:04 по местному времени (4 часа 53 минуты).

Причиной назвали «单点依赖» (dān diǎn yī lài) - единую точку отказа. Компания заявила, что уже провела «всестороннюю проверку и полную реорганизацию», чтобы «решительно искоренить подобные проблемы»

В качестве компенсации DeepSeek вернула всем пользователям API стоимость потребления за 7 дней (с 8 по 14 октября) в виде бонусных средств. По данным китайских СМИ, это уже 5 сбой платформы за октябрь. 4️⃣В криптокошельках нашли шпионские импланты Производитель аппаратных криптокошельков Ledger приостановил продажи через авторизованных посредников в Юго-Восточной Азии и Гонконге. Причиной служит обнаружение модифицированных устройств.

Внутри кошельков нашли скрытые электронные компоненты: дополнительную плату под экраном и LTE-модуль с eSIM. Имплант перехватывал изображение с дисплея в момент настройки и отправлял злоумышленникам секретную фразу восстановления из 24 слов. С ней можно полностью опустошить кошелёк

По данным аналитиков, общий ущерб оценивается в более 100 миллионов долларов. Ledger подтвердила как минимум один случай обнаружения импланта и начала расследование каналов поставок. Источник: https://securitymedia.org/news/obzor-kiberatak-i-uyazvimostey-za-proshedshuyu-nedelyu-12-16-oktyabrya-2026-goda.html #кибербезопасность #ИБ #кибератаки #Яндекс #Ledger #Франция #криптовалюта #news 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

90 секунд до account takeover: почему password reset — самое слабое звено вашей инфраструктуры Два часа разведки, fingerprinting стека, изучение периметра — а захват аккаунта администратора занял полторы минуты. Один POST-запрос к эндпоинту сброса пароля, и сервер молча принял новый пароль без email-подтверждения. Без токена. Без верификации текущего пароля. Просто взял и сбросил. Это не теоретическая атака. Два свежих CVE показывают, как именно это работает на практике. 🎇CVE-2026-23760 (SmarterMail) — CVSS 9.8, CRITICAL Эндпоинт /api/v1/auth/force-reset-password принимал анонимные запросы. Отправляешь POST с именем пользователя и новым паролем — готово, аккаунт твой. Никакой аутентификации, никакого reset-токена. Уязвимы все версии до билда 9511. Насколько это серьёзно? CISA добавила уязвимость в каталог Known Exploited Vulnerabilities и пометила связь с ransomware-кампаниями. EPSS — 0.9654, то есть Top 0.12% по вероятности эксплуатации среди всех CVE в базе. Публичный PoC на GitHub, готовый Nuclei-шаблон — порог входа для атакующего практически нулевой. 🎇CVE-2026-18963 (Keycloak) — CVSS 9.1, CRITICAL Тут другой паттерн, но результат тот же. Некорректная проверка состояния в потоке reset-credentials: атакующий отправлял специально сформированный запрос, и сессия перескакивала сразу к этапу обновления пароля, минуя email-верификацию. Уязвимы Keycloak до 26.7.2, RHBK 26.4 до 26.4.15, RHBK 26.6 до 26.6.6. Пока активной эксплуатации не зафиксировано, но CISA оценивает автоматизируемость как yes, а технический импакт — total. Три публичных PoC на GitHub. Вопрос не «если», а «когда». Что делать прямо сейчас: • SmarterMail — обновиться до билда 9511+. Если патч невозможен — WAF-правило на блокировку POST к /api/v1/auth/force-reset-password и IP-whitelist для админки • Keycloak — обновиться до 26.7.2. Временная мера: отключить Forgot Password в каждом realm через Realm Settings → Login. Глобального переключателя нет, придётся пройтись по каждому • На пентесте — проверяйте эндпоинты сброса пароля в Burp Repeater: отправьте запрос на reset, перехватите, попробуйте перескочить к финальному шагу без токена Общий паттерн у обеих CVE один: разработчики тестировали happy path — пользователь запросил сброс, получил email, перешёл по ссылке, ввёл новый пароль. А что если кто-то отправит запрос напрямую к API, минуя все промежуточные шаги? Этот сценарий просто не проверяли. В полной версии — пошаговый чек-лист для Burp Suite, три паттерна эксплуатации и детальный разбор обеих CVE. https://codeby.net/threads/uyazvimost-password-reset-razbor-cve-i-pentest.96019/

🚩 Новые задания на платформе HackerLab! 👩‍💻  Категория Pentest Machines (Linux) — F_IndiaHotel Приятного хакинга!

❓Пятничный опрос Path Traversal возникает, когда приложение подставляет пользовательский ввод в путь к файлу без должной проверки. Это позволяет выйти за пределы разрешённой папки и прочитать чужие файлы.