Ever Secure

Круто, что ребята открыто написали об инциденте. Интересно, будет ли пост-мортем с полным разбором? Про платежные данные. Их действительно не хранит никто, кроме платежных провайдеров

При первой транзакции PAN уходит напрямую провайдеру, в обход мерчанта. Мерчант получает только токен, а он работает исключительно в связке с аккаунтом мерчанта у провайдера. Поэтому при утечке базы мерчанта токены бесполезны

Утекшие имена, email и телефоны сейчас уже никого не удивят... А если добавить к этому даты рождения и состав заказов, получается уже не список контактов, а готовый профиль: где человек живет, когда бывает дома и с кем И с адресами всё серьезнее ❗️ Именно из-за них клиенты могут пострадать по настоящему. Все помнят утечку Еды, когда по номеру телефона пробивали адреса доставки своих партнеров. Для кого-то это закончилось распадом семьи 😓 Сами виноваты? Отчасти да Но мы кибербезопасность, а не комитет по этике, наша задача защищать данные, которые нам доверили клиенты И если сложить всё вместе: платежные данные мерчант и так не хранит, значит, утекло ровно всё, что у него было

Теперь на VK Video Что происходит в первые 100 дней на позиции CISO? В этом выпуске Александр Савин (CISO CDEK) рассказывает, как выглядит переход от технической и руководящей роли к ответственности за информационную безопасность всей компании: с чего начинать, как проводить первичный аудит, выбирать приоритеты, собирать команду и объяснять ценность ИБ бизнесу. Обсудили quick wins, работу с генеральным директором и стейкхолдерами, ошибки первых месяцев, бюджет, выгорание, эйджизм и переход от «я делаю» к «я отвечаю». Приятного просмотра: 📹 Youtube 📺 VK Предыдущий выпуск: https://t.me/ever_secure/1244 👀@ever_secure | 💪 Обучение | 💳Поддержать

Второй поток успешно стартанул 🚀 Ребята уже погнали проходить CTF и ломать лабы 💪 Мы с командой долго пилили платформу дhttps://edu.eversecure.ruля полноценного запуска лаб per. user и хотим похватстаться цифрами: пробили потолок в 1000 запусков 🥳 Если все еще раздумываешь, то вот твой шанс запрыгнуть в последний вагон 👉 https://edu.eversecure.ru/devsecops (Занятия только начались, ребята еще не ушли далеко) в этом году потоков больше не будет 🙄

Регистрация на SolarCTF открыта ☀️ Первые студенческие соревнования по кибербезопасности от «Солара» — возможность проверить свои навыки на практике, собрать команду и побороться за призы. 📍Что важно знать:

✦ Команды — до 5 человек

✦ Старт — 17 октября в 12:00 (МСК)

✦ Финиш — 18 октября в 12:00 (МСК)

✦ 24 часа на выполнение заданий

Общий призовой фонд — 300 000 ₽* + лимитированный мерч. Участвовать можно, если тебе уже исполнилось 18 лет, ты студент, постоянно проживаешь на территории РФ и находишься в России во время соревнований. Команды пока нет? Найти тиммейтов можно в чате SolarCTF Собирай команду и регистрируйся на SolarCTF ❤️

Обновляем гитлабчики 💅💅💅

CVE-2026-89078 - Double Free issue in Regular Expression Parser impacts GitLab CE/EE GitLab has remediated an issue that under certain conditions could have allowed an authenticated user to execute arbitrary code on the GitLab server due to a double free issue when parsing a specially crafted regular expression in a CI/CD configuration. Impacted Versions: GitLab CE/EE: all versions from 19.2 before 19.2.7, 19.3 before 19.3.3, and 19.4 before 19.4.1 CVSS 9.9 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L) CVE-2026-93577 - Integer Overflow issue in Regular Expression Compiler impacts GitLab CE/EE GitLab has remediated an issue that under certain conditions could have allowed an authenticated user to execute arbitrary code on the GitLab server due to an integer overflow issue when compiling a specially crafted regular expression in a CI/CD configuration. Impacted Versions: GitLab CE/EE: all versions from 19.2 before 19.2.7, 19.3 before 19.3.3, and 19.4 before 19.4.1 CVSS 9.9 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)

GitLab Critical Patch Release: 19.4.1, 19.3.3, 19.2.7 https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-1-released/?nav=19.4.1 Не, ну реально радуют уже второй раз подряд, в этот раз 9.9+9.9, в прошлый 9.9+10 🌝 https://t.me/tech_b0lt_Genona/6966

только галочки должны стоять автоматом и заблочено их отключение 🤣

Муху научили играть в Doom, а EDR научили расследовать 🪰 Пока интернет развлекается с оцифрованным мозгом дрозофилы и учит его то в Doom играть, то крипту торговать, ребята из Касперского прикрутили AI к вещи попрактичнее. Kaspersky EDR Expert получил AI-ассистента, плейбуки и переехал на OSMP. Разница примерно понятна: муха в Doom это мем на неделю, а AI, который помогает аналитику разбирать инцидент в 3 ночи, штука полезная каждый день. Ну или должна быть. Проверим 👀 1 октября в 11:00 (МСК) будет стрим с live-демо. Что покажут: 🤖 AI-ассистент. Как работает новый модуль и как с ним выглядит реальное расследование. Мне интересно, где он правда экономит время, а где просто для галочки 🧩 Переезд на OSMP. Что даёт EDR жизнь на одной платформе ⚙️ Плейбуки. Автоматизация реагирования, чтобы не отбиваться от инцидентов вручную 🔮 EDR Expert 9.0. Подробности будущего релиза 🖥 Live-демо. Новая версия в работе, прямо в эфире Спикеры: Татьяна Генералова, менеджер по развитию бизнеса Никита Назаров, руководитель отдела расширенного исследования угроз Кирилл Батуев, старший менеджер предпродажной поддержки Мозг мухи подождёт, а на стрим загляните 💪 👉 Регистрация

Что происходит в первые 100 дней на позиции CISO? В этом выпуске Александр Савин (CISO CDEK) рассказывает, как выглядит переход от технической и руководящей роли к ответственности за информационную безопасность всей компании: с чего начинать, как проводить первичный аудит, выбирать приоритеты, собирать команду и объяснять ценность ИБ бизнесу. Обсудили quick wins, работу с генеральным директором и стейкхолдерами, ошибки первых месяцев, бюджет, выгорание, эйджизм и переход от «я делаю» к «я отвечаю». Приятного просмотра: 📹 Youtube Предыдущий выпуск: https://t.me/ever_secure/1244 👀@ever_secure | 💪 Обучение | 💳Поддержать

Всего неделя до старта осеннео потока DevSecOps. В этом году больше потоков не будет! Мы подключили широкие возможности для оплаты: • Кредитование оплаты обучения • Рассрочка платежа на индивидуальных условиях • Возможность оплаты картами нероссийских банков • Налоговый вычет за обучение в Ever Secure Academy Полная информация о курсе по адресу: https://edu.eversecure.ru, количество мест ограничено. Успей стать частью сильной команды уже сегодня, ибо знание - сила. Остались вопросы - пиши contact@eversecure.ru или @aleksey0xffd

Это лучшее за этот год

Что происходит в первые 100 дней на позиции CISO? В этом выпуске Александр Савин (CISO CDEK) рассказывает, как выглядит переход от технической и руководящей роли к ответственности за информационную безопасность всей компании: с чего начинать, как проводить первичный аудит, выбирать приоритеты, собирать команду и объяснять ценность ИБ бизнесу. Обсудили quick wins, работу с генеральным директором и стейкхолдерами, ошибки первых месяцев, бюджет, выгорание, эйджизм и переход от «я делаю» к «я отвечаю». Премьера 20 сентября! 📹 Youtube Предыдущий выпуск: https://t.me/ever_secure/1244 👀@ever_secure | 💪 Обучение | 💳Поддержать

n August I gave my first-ever talk in English, sharing a couple of photos from the event 😉 It was definitely a new experience for me, but everything went amazingly well, even though it was a bit unusual at first Лондон из зе кэпитал оф Грейт Британ

Очередной пост любви к ржд ❤️ Ребята смогли добавить rzd.ru в белые списки (БС) за это прям отдельный респект, спосибо, наверно было очень сложно Но вот добавить поддомен с купленными билетами в БС они не осилили Поэтому находясь где-то в Сочах у тебя нет возможности в принципе посмотреть когда твой поезд и какой вагон, ведь мало того, что они не сделали БС, так еще и приправили геоблоком, так что впн бьющий через БС никак не помогает 🌚 Ведь самый безопасный сайт тот, который не работает или на который нельзя зайти Приглашаю ваших сотрудников к нам на курс. Там они узнают, что такое поддомены, как работает nginx и даже научатся безопасной разработке. Бонусом я расскажу как работает интернет, как работает DNS, что такое подсети, как понять на какой адрес терминируется трафик, как его балансить и даже как составить список таких адресов для дальнейшей подачи в БС абсолютно бесплатно Всем сотрудникам ржд скидка 10% на курс при оплате от компании

Мем вышедший из под контроля. Пока мы тут все спорим про безопасность AI оцифрованный мозг мухи запустили в Doom 🌚 Гугл выложили оцифрованный мозг на 166 700 нейронов, 25 миллионов связей. Ровно пять дней понадобилось, чтобы кто-то это подключил к DooM. Когда муху бьют, ей на 200 мс капает искусственный дофамин, чтобы училась не умирать Играет, кстати, плохо. Автор сам честно пишет, что v6 провалила все тесты: ни зрения, ни условного рефлекса, ни выживания Но меня зацепило другое. Вопрос есть ли у мухи что-то внутри был непроверяем ровно до того момента, пока её мозг не стал файлом, который можно скачать. Теперь это не философия, а чисто инженерная задача. И если однажды воспроизведётся, от избегания боли до брачного танца, то месту для души в этой схеме взяться будет просто неоткуда У мухи 166 тысяч нейронов, у нас 86 миллиардов. Разница вроде бы большая, но это разница в количестве, а не в устройстве Что будет, когда мы сможем оцифровать мозг человека? ЗЫ первое, что мы сделали с оцифрованным мозгом живого существа, это засунули его в шутер и начали бить, чтобы быстрее учился. И никто даже не притормозил спросить, с какого количества нейронов это начинает быть неприятно 🤪

Новая модель OpenAI Astra 6 прошла все 48 заданий игры "I'm Not a Robot". Тему с CAPTCHA можно закрывать – больше от нее никакого смысла нет – один вред и унижение. Так что если у вас при входе на сайт стоит капча для защиты от DDoS или от ботов, можете смело ее убирать, – обойти ее уже несложно, а легальные пользователи не будут страдать. PS. А вы сколько уровень этой игры прошли? #аутентификация #геймификация

Рад поделиться недавним достижением. Я разработал и внедрил с нуля комплекс мер по защите от распознавания лиц без дополнительного бюджета. Решение основано на переосмыслении существующих процессов, грамотной настройке доступных инструментов и креативном подходе к приватности. В результате удалось значительно снизить риски, повысить устойчивость к слежке и при этом не потратить ни рубля. Горжусь тем, как из ограничений можно создать инновации и реальную ценность для безопасности.

На красной поляне, при приобретении билета на канатку многоразового фотографируют людей

Чтобы не передавали билет

А значит это используется в системах идентификации… Конечно же никакого согласия на обработку биометрических данных у меня не взяли 😳 Да и хрен его знает, как они с этим обращаются. Куда смотрит ркн?

Обновляем гитлабчики 💅💅💅

CVE-2026-85706 - Path Traversal issue in repository commits API impacts GitLab CE/EE GitLab has remediated an issue that, under certain conditions, an unauthenticated user could have read arbitrary files from the GitLab server due to improper path confinement and missing authentication enforcement in the repository commits API. Impacted Versions: GitLab CE/EE: all versions from 18.7 before 19.1.8, 19.2 before 19.2.6, and 19.3 before 19.3.2 CVSS 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N) Thanks s3ntago for reporting this vulnerability through our HackerOne bug bounty program. CVE-2026-87719 - Insecure Deserialization issue in GraphQL subscription serializer impacts GitLab EE GitLab has remediated an issue that, under certain conditions, could allow an authenticated user with Duo Chat access to obtain Advanced Search instance configurations and sensitive credentials using a specially crafted GraphQL subscription argument to bypass serialization and perform server object lookup. Impacted Versions: GitLab EE: all versions from 18.3 before 19.1.8, 19.2 before 19.2.6, and 19.3 before 19.3.2 CVSS 9.9 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) Thanks kyyblin for reporting this vulnerability through our HackerOne bug bounty program.

GitLab Critical Patch Release: 19.3.2, 19.2.6, 19.1.8 https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-3-2-released/?nav=19.3.2 10/10 и 9.9/10 за раз это реально круто, давно такого не видел. Так что реально обновляемся.

⚡️⚡️Инциденты, метрики и спасенный прод на DevOops 2026 Даже самая отказоустойчивая инфраструктура иногда преподносит сюрпризы, а один неудачный коммит может устроить всей команде долгий вечер. На DevOops 2026 будут разбирать, что делать с такими ситуациями в реальной инфраструктуре: от проблем с Kubernetes и GitOps до инцидентов, метрик и observability. Программный комитет выбрал восемь докладов, которые рекомендует посмотреть в первую очередь. Здесь — Kafka в Kubernetes, архитектура корпоративного GPT, GitOps без лишнего blast radius, security-политики, надежность, DORA и observability. Все подробности — в карточках и на сайте. 🔥С промокодом eversecure персональные билеты дешевле Купить билет