.unsec

RCE через XLSX 🫠 на актуальной версии Р7 Офис (работает не только на mac). Действий пользователя кроме открытия не требует, можно внедрить в любой документ и не сломать парсинг, т.е. визуальных эффектов у пользователя не будет. Учитывая скорость исправления предыдущих проблем, лучше проверить политики на EDR или заменить используемый офисный пакет.

Критическая уязвимость в Telegram Widgets Не прошло и 24 часа в момента релиза нового функционала в Telegram, как в нем уже нашли RCE. Если бот отправит вам вредоносное сообщение - он получит доступ к вашему устройству и сессии Telegram. Исследователи из V12SEC через ИИ нашли и проэксплуатировали уязвимости, приводящие к RCE на Android. Какие еще платформы пострадали - пока неизвестно. Виджеты пока нельзя встраивать и отправлять в групповые чаты, и, кажется, ограничение поставили не зря. А ведь туда еще и функционал оплаты добавят 🤪

worse_query - обход песочницы iOS Исследователь forcequitOS опубликовал worse_query — PoC обхода песочницы iOS, позволяющий приложению получать доступ к контейнерам других приложений и части системных каталогов. На его основе уже появились терминал terminal_worse и файловый менеджер WQFiles. Они демонстрируют практические последствия нарушения изоляции: чтение, копирование и изменение данных за пределами собственного контейнера без предварительного jailbreak. Механизм worse_query использует обработку путей при выдаче sandbox extensions — токенов, расширяющих файловые разрешения процесса. Как следует из исходного кода, приложение подменяет каталог Library/Caches внутри собственного App Group символической ссылкой на целевой путь. Затем через приватную библиотеку libsystem_containermanager запрашивает доступ к этому разделу контейнера. Запрос направляется службе containermanagerd, а возвращённый токен активируется через sandbox_extension_consume(). В результате запрос к каталогу собственной группы позволяет получить разрешение для другого пути. По поведению PoC проблема связана с недостаточной проверкой границ контейнера при разрешении символической ссылки. Самому приложению необходим доступный App Group с соответствующей конфигурацией подписи; опубликованная реализация предполагает, что его код уже выполняется на устройстве. Отдельная часть проекта решает задачу поиска чужих контейнеров, имена которых содержат UUID. Вспомогательный модуль pathleak перебирает номера inode и восстанавливает пути через fsgetpath(). Это позволяет обнаруживать каталоги, даже когда перечислить содержимое родительской директории обычным способом нельзя. Автор перечисляет среди доступных областей контейнеры приложений, расширений, внутренних демонов и App Groups. Для iOS 27 дополнительно заявлены /var/containers/Data/System и контейнеры /var/containers/Shared/SystemGroup/. В README указана поддержка iOS 26.0–26.7.2 и 27.2; эти сведения отражают заявление разработчика, а не официальную матрицу затронутых версий Apple. Готовые инструменты предлагают два способа работы с полученным доступом: terminal_worse — модификация a-Shell 2.3.2 с Python, Perl, TeX, clang/LLVM, SSH и vim. Доступные контейнеры представлены в ~/Documents/_sandbox/, а дополнительные команды позволяют проверять разрешения и работать с файлами. Разработчик сообщает о тестировании на iPhone 18 Pro Max с iOS 27.0.1. При этом README прямо ограничивает возможности терминала: произвольные внешние нативные Mach-O-программы запускать нельзя, а наличие интерфейса apt/dpkg не превращает приложение в полноценное окружение jailbreak. WQFiles предоставляет графический интерфейс для просмотра контейнеров, резервного копирования и восстановления данных приложений, очистки кешей, редактирования текстовых файлов и plist. Также доступны просмотр SQLite и шестнадцатеричный редактор. Автор указывает тестирование на iOS 26.7.1, 27.0.1 и 27.2; поддержка iOS 26 имеет ограничения. Например, System Data и системные группы там недоступны. Основное последствие для безопасности — возможность доступа одного приложения к файловым данным другого. Потенциально это затрагивает документы, локальные базы, настройки и секреты, если приложение хранит их в доступных файлах без дополнительной защиты. Возможность записи также создаёт риск подмены или повреждения данных. При этом из показанного механизма не следует автоматический доступ ко всем паролям или обход защиты Keychain. Границы доступа сохраняются: например, WQFiles описывает System Data как каталог, который можно перечислить, но содержимое которого принадлежит root. Автор worse_query также подчёркивает, что проект не является jailbreak. Таким образом, опубликованные инструменты демонстрируют существенное нарушение файловой изоляции, но не получение полного контроля над iOS. https://github.com/forcequitOS/worse_query https://git.jbjflab.top/admin/terminal_worse https://github.com/kolbicz/WQFiles

SSHHole: длинный пароль позволяет обойти аутентификацию в некоторых конфигурациях OpenSSH Исследователь Özgün Kültekin из Wakefield обнаружил возможность обхода парольной аутентификации через OpenSSH на Linux-системах с библиотекой musl и отключённым PAM. Разработчики выпустили OpenSSH 10.6p2 с защитой от этой проблемы 5 ноября 2026 года. По данным автора исследования SSHHole, проблема существует с 2016 года. При определённых условиях сервер принимает произвольный пароль длиной от 257 до 1024 байт для учётной записи, вход в которую по паролю должен быть запрещён. Причина — взаимодействие OpenSSH с функцией crypt() в musl. При обработке слишком длинного пароля она может вернуть строку * как признак ошибки. Такой же символ используется в поле пароля учётной записи для запрета парольного входа. В уязвимом сценарии совпадение этих значений ошибочно трактуется как успешная проверка. Для атаки необходимо сочетание условий: OpenSSH работает с musl без использования PAM; на сервере разрешена парольная аутентификация; у целевой учётной записи в поле пароля указано ровно *; в системе есть другая учётная запись с настоящим хешем пароля. Исследователь отдельно выделяет Alpine Linux и его официальные образы для AWS и Azure: компрометация пользователя alpine, имеющего право выполнять doas без пароля, может дать атакующему права root. Наличие Alpine или контейнера на его основе само по себе ещё не означает уязвимость — должны выполняться необходимые условия.

SMS of Death: одно сообщение приводит к сбою связи на Android Исследователь Mark B раскрыл уязвимость, позволяющую удалённо вызвать сбой телефонной службы Android. Достаточно специально сформированного WAP Push SMS: открывать сообщение или переходить по ссылке не нужно. Более того, оно вообще не отображается во входящих. Ошибка кроется в некорректной проверке данных при обработке входящих служебных WAP Push-сообщений. Специально сформированное сообщение размером всего 8 байт вызывает отрицательное значение размера массива (NegativeArraySizeException), из-за чего аварийно завершается системный процесс com.android.phone, отвечающий за мобильную связь. По данным исследователя, повторная обработка вредоносных SMS может вызывать длительные сбои, а на отдельных устройствах — цикл перезагрузок. Обычный перезапуск не всегда помогает: сообщение остаётся в очереди. Причина — ошибка проверки длины заголовка: значение превращается в отрицательное число и вызывает необработанное исключение. Google выпустила исправление, которое обрабатывает ошибку и удаляет проблемное сообщение из очереди. Уязвимость получила CVE-2026-58882 и критический уровень опасности. Она включена в ноябрьский бюллетень Android; исправления перечислены для Android 14–17. Проверьте доступные обновления: ориентир — уровень исправлений безопасности 2026-11-01 или новее, либо подтверждение производителя о более раннем включении патча. Разбор исследователя

Разбор текущей ситуации: В ночь с 1 на 2 ноября 2026 года на нашу инфраструктуру была совершена кибератака с получением доступа к управляющему контуру всей архитектуры и последующим запуском обнуляющих скриптов. На текущий момент мы не можем раскрыть все детали происходящего, в том числе в целях последующего безопасного запуска инфраструктуры. Восстановление инфраструктуры, которая пострадала в этой атаке, продолжается. Что уже сделано: • Восстановление dedicated‑серверов под собственным администрированием пользователей. Данный сервис был восстановлен 2.11 ориентировочно в 14:00. • Восстановление DNS‑серверов. Доступен функционал смены DNS‑записей (A, MX, TXT) в зонах ru/рф/su — можно перенаправить домены на другие адреса. Это применимо для доменов, зарегистрированных в Beget и направленных на DNS‑сервера Beget. Над управлением международными доменами ведётся работа. • Восстановление 80 % инфраструктуры почтового сервиса. Ожидаем полный вывод его в полноценную эксплуатацию в течение 10 часов. • Домены. Мы договорились с КЦ (Координационный центр сети Интернет) о том, чтобы домены в зонах .ru/.рф/.su у которых заканчивается срок делегирования, не были разделегированы и продолжили работать. По международным доменам продолжается работа. Напоминаем, что приоритетное продление домена возможно даже после окончания его регистрации. Общее состояние инфраструктуры Beget на данный момент: Бэкапы и резервные копии. Файловые бэкапы всего хостинга и облачной инфраструктуры сохранены, но без восстановления работы нашей инфраструктуры нет возможности предоставить к ним доступ прямо сейчас. Это связано с необходимостью ручной проверки каждого сервера на наличие скрытых уязвимостей и вредоносных скриптов. К сожалению, просто включить серверы без их тщательной проверки невозможно. К сожалению, бинарные бэкапы VPS полностью утеряны. Остаётся возможность восстановления данных из файловых бэкапов. Выделенные серверы. Все серверы без нашего администрирования введены в работу. На серверах под нашим администрированием большая часть данных также сохранилась, продолжается проверка и ввод серверов в работу. Хостинговые серверы. По предварительной оценке, восстановлению подлежат почти 100 % сайтов, размещавшихся на виртуальном хостинге. Мы приступили к восстановлению работы хостинговых серверов. Запуск виртуального хостинга также требует скрупулёзной проверки серверов, и на это также требуется значительное время. Облачная инфраструктура. В облачной инфраструктуре (VPS, S3 и Kubernetes) все данные были утрачены. Сохранены файловые бэкапы VPS. Настройки CDN, IP утрачены. Мы не сдаёмся и продолжаем поиск способов восстановить эти данные. Доменные имена. Ваши доменные имена в безопасности. Мы уже работаем над восстановлением управления доменами. Вы уже сейчас можете управлять DNS‑записями доменов. Панель управления. В течение 24 часов мы предоставим ограниченный интерфейс для управления частью услуг. Конкретные сроки восстановления всех сервисов сейчас уточняются. Это займёт существенное время, так как требуется ручная проверка более 1000 серверов. По тем данным, которые сейчас есть, мы видим, что на серверах, где были данные пользователей, не было попыток скачать или изменить данные. Мы рекомендуем сменить все пароли, ключи доступа и другие учётные данные, которые могли храниться на серверах. Все сотрудники Beget работают в кризисном режиме. Отдел DevOps работает круглосуточно и будет работать в таком графике до окончания работ по инциденту. Мы знаем, что вы на нас рассчитываете, и прикладываем максимум усилий. Мы понимаем, что в текущей ситуации вам бы хотелось иметь больше информации и контроля, однако мы не можем делиться информацией, которая на данном этапе ещё может повредить проведению расследования. Спасибо за ваше понимание. По мере появления достоверной информации мы будем её публиковать.

Такие времена настали.

Взлом Binance: с кошелька биржи вывели криптовалюту почти на $6 млрд 29 октября 2026 года зафиксированы подозрительные транзакции с горячего кошелька крупнейшей криптовалютной биржи Binance. По предварительным данным, на ранее неиспользовавшийся адрес были переведены криптоактивы общей стоимостью около $6 млрд. Особое внимание исследователей привлекло то, что адрес получателя предположительно связан с Tornado Cash — криптовалютным миксером, используемым для сокрытия истории транзакций. Следить за движением средств можно в реальном времени через Arkham Intelligence: https://arkm.com/explorer/entity/21a94755-f604-45e5-9501-6542e23005e8 На странице binance-hacker-1029 доступны адреса, балансы и история транзакций, позволяющие отслеживать дальнейшее движение криптовалюты. Ситуация развивается. Окончательный масштаб возможного инцидента пока неизвестен.

Пранки по телефону выходят на новый уровень Новая уязвимость в Telegram позволяет исполнить код на чужом смартфоне — достаточно просто взять трубку. Баг нашли в библиотеке tgcalls с помощью GPT-5.4. PoC показывает, как после принятия вызова телефон жертвы мгновенно переключается на рабочий стол, иконки приложений «падают» вниз, а на экране появляется надпись «HACKED BY NEBUSEC». Выглядит круто. Особенно учитывая, что для такого трюка недостаточно обычного RCE внутри Telegram — нужно ещё выйти за пределы песочницы приложения. Скорее всего, хакеры зачейнили найденную уязвимость с эксплойтом GhostLock, чтобы повысить привилегии и получить доступ на уровне системы. Именно системные права позволяют свободно управлять интерфейсом, перемещать иконки и выводить произвольные элементы поверх экрана. Исправление для iOS вышло в мае (версия 12.7), для десктопов — в июле (7.0.1), а для Android — всего месяц назад (12.10.4). Тем, у кого версии ниже, нужно срочно обновиться или перестать пользоваться звонками.

CleanYourTV — уборка bloatware в Android TV Набор инструментов для очистки Android TV и Google TV через ADB по Wi-Fi. Отключает выбранные предустановленные приложения, рекламные службы и компоненты телеметрии через pm disable-user, а штатный домашний экран заменяет минималистичным лаунчером. Без root и перепрошивки: пакеты остаются в системе, исходное состояние фиксируется для последующего отката. В репозитории есть списки пакетов для разных моделей, скрипты восстановления и PROMPT.md для работы через ИИ-ассистента. Можно пройти настройку с агентом или выполнить команды самостоятельно. Список отключений нужно подбирать под конкретный телевизор, а после настройки — выключить ADB-отладку. Возвращает даже старым телевизорам легкость и быстройдействие. GitHub — CleanYourTV

На волне 4 в сертификатах и прочих прекрасных новостей безопасности чуваки сделали софт для простой прошивки и управления Яндекс станциями. https://github.com/nyakokitsu/yam Надо будет сделать кинопаб и ТУСАМУЮ музыку из ВК.

RCE в Sid Meier’s Civilization VI 😐 CVE-2026-116370 Исследователь обнаружил, что игра позволяет загружать моды/аддоны из Steam Workshop вместе с Lua-скриптами. Несмотря на то, что песочница довольно жёсткая, Автор эксплоита смог восстановить доступ к string.dump через метатаблицу строк (известный трюк в Lua). После чего ему удалось сгенерировать байткод, который эксплуатирует особенности кастомного Lua VM игры и через type confusion + манипуляции с upvalues/coroutine получилось произвольное чтение/запись памяти и, как следствие, вызов системных функций. Аж цивку скачать захотелось) ➡️ PoC ➡️ Writeup 💫 @pentestnotes

Критическая уязвимость в GitLab: CVSS 10.0, удалённое выполнение кода без аутентификации 21 октября 2026 года GitLab выпустила экстренные обновления безопасности, устраняющие критическую уязвимость CVE-2026-110264 с максимальной оценкой 10.0 по CVSS 3.1. Проблема затрагивает GitLab Community Edition (CE) и Enterprise Edition (EE), включая версии начиная с GitLab 7.0, выпущенной в 2014 году. Уязвимость связана с целочисленным переполнением (Integer Overflow) при компиляции специально сформированного регулярного выражения во встроенном в Ruby движке Onigmo. При определённых условиях злоумышленник может инициировать обработку вредоносного регулярного выражения и добиться удалённого выполнения произвольного кода (RCE) на сервере GitLab. Особую опасность представляет возможность эксплуатации без аутентификации и взаимодействия с пользователем. Администраторам GitLab Self-Managed рекомендуется незамедлительно: • Проверить установленную версию GitLab и обновить её до исправленного релиза. • Проанализировать журналы приложения на наличие аномальных сбоев и ошибок обработки регулярных выражений. • Развернуть опубликованные правила детектирования в SIEM. • Ограничить сетевой доступ к GitLab, если публичная доступность сервиса не требуется. • Проверить безопасность CI/CD-токенов, секретов и интеграций при обнаружении признаков компрометации.

Критическая уязвимость в GitLab: CVSS 10.0, удалённое выполнение кода без аутентификации 21 октября 2026 года GitLab выпустила экстренные обновления безопасности, устраняющие критическую уязвимость CVE-2026-110264 с максимальной оценкой 10.0 по CVSS 3.1. Проблема затрагивает GitLab Community Edition (CE) и Enterprise Edition (EE), включая версии начиная с GitLab 7.0, выпущенной в 2014 году. Уязвимость связана с целочисленным переполнением (Integer Overflow) при компиляции специально сформированного регулярного выражения во встроенном в Ruby движке Onigmo. При определённых условиях злоумышленник может инициировать обработку вредоносного регулярного выражения и добиться удалённого выполнения произвольного кода (RCE) на сервере GitLab. Особую опасность представляет возможность эксплуатации без аутентификации и взаимодействия с пользователем. Администраторам GitLab Self-Managed рекомендуется незамедлительно: • Проверить установленную версию GitLab и обновить её до исправленного релиза. • Проанализировать журналы приложения на наличие аномальных сбоев и ошибок обработки регулярных выражений. • Развернуть опубликованные правила детектирования в SIEM. • Ограничить сетевой доступ к GitLab, если публичная доступность сервиса не требуется. • Проверить безопасность CI/CD-токенов, секретов и интеграций при обнаружении признаков компрометации.