CodeGuard: PySec Edition
Closed channel
Канал по ИБ и этичному хакингу. Автор: @Arakcheev_Ruslan Ссылка: @invite_CG Рекламный менеджер: @Diggsale Биржа: https://telega.in/c/+3X56uL4A-UM3Njgy
Show more📈 Analytical overview of Telegram channel CodeGuard: PySec Edition
Channel CodeGuard: PySec Edition is an active participant. Currently, the community unites 14 350 subscribers, ranking 8 922 in the Technologies & Applications category and 45 360 in the Russia region.
📊 Audience metrics and dynamics
Since its creation on невідомо, the project has demonstrated rapid growth, gathering an audience of 14 350 subscribers.
According to the latest data from 27 October, 2026, the channel demonstrates stable activity. Although there has been a change in the number of participants by 270 over the last 30 days and by -1 over the last 24 hours, overall reach remains high.
- Verification status: Not verified
- Engagement rate (ER): The average audience engagement rate is 8.49%. Within the first 24 hours after publication, content typically collects 4.95% reactions from the total number of subscribers.
- Post reach: On average, each post receives 1 219 views. Within the first day, a publication typically gains 711 views.
- Reactions and interaction: The audience actively supports content: the average number of reactions per post is 6.
- Thematic interests: Content is focused on key topics such as codeguard, pysec, docker, grep, контейнер.
📝 Description and content policy
The author describes the resource as a platform for expressing subjective opinions:
“Канал по ИБ и этичному хакингу.
Автор: @Arakcheev_Ruslan
Ссылка: @invite_CG
Рекламный менеджер: @Diggsale
Биржа: https://telega.in/c/+3X56uL4A-UM3Njgy”
Thanks to the high frequency of updates (latest data received on 28 October, 2026), the channel maintains relevance and a high level of publication reach. Analytics show that the audience actively interacts with content, making it an important point of influence in the Technologies & Applications category.
14 350
Subscribers
-124 hours
+467 days
+27030 days
Loading data
Similar Channels
No data
Any problems? Please refresh the page or contact our support manager.
Tags Cloud
Incoming and Outgoing Mentions
---
---
---
---
---
---
Attracting Subscribers
October '26Oct '26
October '26
+267
in 37 channels
September '26
+962
in 83 channels
Get PRO
August '26
+323
in 58 channels
Get PRO
July '26
+423
in 40 channels
Get PRO
June '26
+500
in 21 channels
Get PRO
May '26
+722
in 40 channels
Get PRO
April '26
+391
in 46 channels
Get PRO
March '26
+1 587
in 61 channels
Get PRO
February '26
+1 535
in 138 channels
Get PRO
January '26
+1 441
in 82 channels
Get PRO
December '25
+1 810
in 235 channels
Get PRO
November '25
+1 464
in 86 channels
Get PRO
October '25
+1 015
in 53 channels
Get PRO
September '25
+927
in 31 channels
Get PRO
August '25
+1 451
in 15 channels
Get PRO
July '25
+418
in 19 channels
Get PRO
June '25
+730
in 20 channels
| Date | Subscriber Growth | Mentions | Channels | |
| 28 October | 0 | |||
| 27 October | +1 | |||
| 26 October | +4 | |||
| 25 October | +8 | |||
| 24 October | +17 | |||
| 23 October | +6 | |||
| 22 October | +9 | |||
| 21 October | +11 | |||
| 20 October | 0 | |||
| 19 October | 0 | |||
| 18 October | +7 | |||
| 17 October | +2 | |||
| 16 October | +14 | |||
| 15 October | +23 | |||
| 14 October | +34 | |||
| 13 October | +3 | |||
| 12 October | +2 | |||
| 11 October | +3 | |||
| 10 October | 0 | |||
| 09 October | +13 | |||
| 08 October | 0 | |||
| 07 October | +8 | |||
| 06 October | +5 | |||
| 05 October | +3 | |||
| 04 October | +4 | |||
| 03 October | +14 | |||
| 02 October | +21 | |||
| 01 October | +55 |
Channel Posts
Ваш VPS уже просканировали. Вот что делать после базовой настройки SSH и файрвола
Ты закрыл root, отключил пароли, включил UFW. Думаешь, сервер в безопасности? Публичный IP сканируют автоматически — не потому что ты интересен, а потому что это поток. Базовый hardening закрывает очевидное, но оставляет асимметрию: IPv4 защищён, IPv6 — часто нет; ingress закрыт, egress — открыт. Вот что стоит добавить, если хочешь выйти за пределы чек-листа. Бесплатно (все инструменты — стандартные или open-source).
1. SSH: не просто ключи, а Ed25519 + модульный конфиг
Пароли отключены — хорошо. Но если ты всё ещё на RSA-ключах, есть смысл перейти на Ed25519: короче, быстрее, устойчивее к коллизиям.
ssh-keygen -t ed25519 -a 100 -C "secops-bastion-admin"/etc/ssh/sshd_config напрямую.
Современный OpenSSH подхватывает файлы из /etc/ssh/sshd_config.d/. Создай 01-hardened.conf:
PermitRootLogin no PasswordAuthentication no KbdInteractiveAuthentication no AuthenticationMethods publickey MaxAuthTries 3 ClientAliveInterval 300 ClientAliveCountMax 2 X11Forwarding no AllowTcpForwarding noПеред перезапуском —
sshd -t, чтобы не потерять доступ.
2. IPv6: не забывай про вторую половину стека
Классическая ошибка: IPv4 закрыт stateful-файрволом, а IPv6 — открыт. Атакующие это знают. nftables позволяет описать симметричные правила для обоих стеков в одном файле. Пример для /etc/nftables.conf:
table inet filter {
chain input {
type filter hook input priority filter; policy drop;
ct state established,related accept
ct state invalid drop
ip protocol icmp accept
ip6 nexthdr ipv6-icmp accept
tcp dport { 22, 80, 443 } accept
}
}
inet означает, что таблица применяется и к IPv4, и к IPv6. Не нужно дублировать правила.
3. Egress: не только «кто может войти», но и «куда можно выйти»
🔵 Если сервис скомпрометирован, майнеру или reverse shell нужен исходящийдоступ. Базовый файрвол это часто игнорирует. Добавь ограничение egress: разреши только то, что нужно приложению (обновления, API, DNS), остальное — drop.Практический пример Свежий VPS. Через час в
auth.log — сотни попыток. После Ed25519, модульного sshd_config.d, симметричного nftables и egress-фильтра: попытки продолжаются, но ни одна не проходит. Reverse shell, если вдруг появится, не сможет «позвонить домой».
😈 CodeGuard: PySec Edition | Чат| 2 |  👩💻 Всем программистам посвящается!
Вот 14 авторских обучающих IT каналов по самым востребованным областям программирования:
Выбирай своё направление:
👩💻 Python — t.me/python_ready
🤔 InfoSec & Хакинг — t.me/hacking_ready
🖥 SQL & Базы Данных — t.me/sql_ready
👩💻 IT Новости — t.me/it_ready
🤖 AI & ML — t.me/neuro_ready
👩💻 Frontend — t.me/frontend_ready
👩💻 C/C++ — https://t.me/cpp_ready
👩💻 C# & Unity — t.me/csharp_ready
👩💻 Linux — t.me/linux_ready
👩💻 Java — t.me/java_ready
📖 IT Книги — t.me/books_ready
📱 JavaScript — t.me/javascript_ready
🖼️ DevOps — t.me/devops_ready
🖥 Design — t.me/design_ready
📌 Гайды, шпаргалки, задачи, ресурсы и фишки для каждого языка программирования! | 529 |
| 3 |  🧨 Node2Shell: уязвимость в Node.js, которая позволяет выполнить код на сервере через сжатый HTTP-ответ. Твой проект может быть уязвим
21 октября 2026 года вышло экстренное обновление Node.js. Причина — CVE-2026-111497, которую исследователи назвали Node2Shell. Это ошибка в Brotli-декодере, который встроен прямо в Node.js. Если приложение принимает сжатые Brotli-данные от пользователя и распаковывает их — атакующий может вызвать повреждение памяти и выполнить свой код на сервере.
Кого это касается
Уязвимы все поддерживаемые ветки: 22.x, 24.x и 26.x. Ветка 20.x уже не поддерживается (EOL) и остаётся уязвимой — патча для неё не будет. Исправленные версии: 22.23.4, 24.22.1, 26.12.1.
Если ты используешь Node.js в учебном проекте, пет-проекте или на хостинге — проверь версию. Даже если ты не пишешь серверный код, а просто поднял Express или Fastify, который отдаёт сжатые ответы, — ты можешь быть затронут.
Почему это не просто «ещё одна CVE»
🟣 Brotli — это стандартный алгоритм сжатия для HTTP. Он включён в Node.js из коробки, и многие фреймворки используют его для Content-Encoding: br. Атакующему не нужен логин — достаточно отправить специально сформированный сжатый запрос или заставить сервер распаковать вредоносные данные. Уязвимость уже получила несколько имён: Node2Shell, HTTP2Shell, Broccoli2Shell — потому что затронуты не только Node.js, но и другие рантаймы и прокси, которые используют тот же C-код Brotli.
Что делать прямо сейчас
1️⃣ Проверь версию Node.js: node -v. Если 22.x ниже 22.23.4, 24.x ниже 24.22.1 или 26.x ниже 26.12.1 — обновись. Если 20.x или ниже — планируй миграцию, патча не будет.
2️⃣ Проверь, использует ли твой сервер Brotli. Если в ответах есть Content-Encoding: br или в коде подключён compression с Brotli — риск выше.
3️⃣ Если обновиться нельзя — отключи Brotli на уровне reverse proxy (nginx, Caddy) или приложения. Временная мера, но лучше, чем ничего.
Главное: Node2Shell — это не «где-то у больших компаний». Это твой node_modules, твой Express, твой пет-проект. Обновись сегодня.
😈 CodeGuard: PySec Edition | Чат | 798 |
| 4 |  🔻 GMO Internet отказалась платить $50 млн. Хакеры начали публиковать данные клиентов
Японский IT-гигант GMO Internet Group оказался в центре вымогательской атаки. Злоумышленники требовали $50 млн в криптовалюте, угрожая обнародовать данные клиентов и запустить ransomware. GMO отказалась платить. И тогда хакеры начали выполнять угрозу — по одному человеку в день.
Что произошло
🔵 Атака затронула Onamae.com Desktop Cloud — сервис, которым пользуются в том числе форекс-брокеры. 20 октября GMO подтвердила: в серверных средах некоторых клиентов был обнаружен несанкционированный код, установленный третьей стороной.
Злоумышленники потребовали $50 млн в криптовалюте. GMO отказалась платить, заявив, что не может гарантировать удаление информации или предотвращение её неправомерного использования.
👍 Тогда хакеры перешли к публичному давлению. 27 октября, после полудня по японскому времени, они опубликовали личные данные одного из клиентов и пригрозили публиковать по одному человеку каждый день.
Масштаб
🤨 По данным министра финансов Японии Сацуки Катаямы, уже пять форекс-компаний, включая OANDA Japan, Goldenway Japan и Ava Trade Japan, сообщили о пострадавших клиентах.
GMO начала собирать у клиентов устройства для анализа — чтобы понять, был ли установлен malware и насколько глубоко проникла компрометация.
Реакция компании
GMO рекомендовала пользователям:
🔵проверить устройства антивирусом;
🔵изолировать важные данные и сделать бэкапы;
🔵отключить питание компьютеров до наступления дедлайна.
Компания также заявила, что с 25 октября начала отзывать часть устройств у клиентов для экспертизы, привлекла сторонних ИБ-специалистов и подала заявление в полицию.
Почему это важно
🔵Это не просто «очередной ransomware». Это публичное вымогательство с поэтапным давлением. Хакеры не просто шифруют данные — они используют репутацию и страх утечки как рычаг. Публикация по одному клиенту в день — это медийная стратегия, рассчитанная на то, что компания сдастся под давлением общественности.
Для защитников это напоминание: отказ платить — правильное решение, но он требует готовности к тому, что угрозы начнут выполняться. И к этому нужно готовиться заранее: план коммуникации, юридическая поддержка, мониторинг утечек.
🔗 Japan’s GMO Says Hacker Threatens To Disclose Customer Data At Noon — Bernama — бесплатно | 794 |
| 5 |  5️⃣ бесплатных threat intelligence фидов, которые реально работают в 2026
Threat intelligence — это не про «купить самый большой фид». Это про то, чтобы получать данные, которые ты сможешь использовать: приоритизировать патчи, блокировать инфраструктуру, понимать, что происходит. Вот пять бесплатных источников, которые закрывают разные задачи. Все — без оплаты и без API-ключей для базового доступа.
1. CISA KEV — приоритизация уязвимостей
Бесплатно. Не совсем IOC-фид, но один из самых полезных публичных источников. KEV — каталог уязвимостей, которые уже эксплуатируются в реальных атаках. Если CVE попала в KEV, патч нужно ставить сегодня, а не «когда будет время». Доступен в CSV и JSON.
Для чего: vulnerability management. Вместо того чтобы тонуть в тысячах CVE, ты смотришь на те, которые атакующие используют прямо сейчас.
🔗 CISA KEV — бесплатно
2. AlienVault OTX — community-driven IOC
Бесплатно. Открытая платформа обмена индикаторами компрометации. Ты подписываешься на «пульсы» — наборы IOC, связанные с конкретными кампаниями, малварью или акторами. Внутри: IP, домены, хеши, URL.
Для чего: обогащение алертов и первичная разведка. Если видишь подозрительный IP, проверь его в OTX — возможно, он уже связан с известной кампанией.
🔗 AlienVault OTX — бесплатно
3. abuse.ch — malware intelligence
Бесплатно (есть коммерческие опции). Семейство проектов: MalwareBazaar(образцы), ThreatFox (IOC), URLhaus (вредоносные URL), Feodo Tracker (C2-серверы). Всё — с открытым доступом и API.
Для чего: детектирование малвари и блокировка C2. Если нужно быстро проверить хеш или URL — abuse.ch даёт ответ без регистрации.
🔗 abuse.ch — бесплатно
4. PhishTank — фишинг
Бесплатно. База фишинговых URL, которую пополняет сообщество. Можно проверять ссылки через веб-интерфейс или API. Данные валидируются, что снижает количество ложных срабатываний.
Для чего: защита почтовых шлюзов и прокси. Если пользователь кликнул по ссылке — проверь её в PhishTank.
🔗 PhishTank — бесплатно
5. OpenPhish — фишинг в реальном времени
Бесплатно (есть премиум). Фиды фишинговых URL, обновляемые в реальном времени. Бесплатный уровень даёт доступ к публичному фиду, которого хватает для базового мониторинга.
Для чего: оперативное блокирование. Если нужен поток свежих фишинговых ссылок — OpenPhish даёт его быстрее, чем большинство коммерческих фидов.
🔗 OpenPhish — бесплатно
😈 CodeGuard: PySec Edition | Чат | 804 |
| 6 |  🤒 Хочешь научу собирать данные киберразведки?
👍 Добро пожаловать в CodeGuard: OSINT
Здесь — от базовых техник поиска до продвинутых инструментов:
🟢 Osint-фреймворки
🟢 Анализ, WHOIS и dark web
🟢 Практические гайды
🟢 Кейсы для пентеста
Присоединяйся: t.me/CodeGuard_Osint | 817 |
| 7 |  🤔 PHP2Shell: две критические RCE в ядре PHP. Патч вышел, но 72% серверов не могут его установить
Пока все обсуждают утечки и новые CVE в VPN-шлюзах, в самом сердце веба — PHP — нашли пару уязвимостей, которые вместе дают неаутентифицированное выполнение кода. Официальная оценка — CVSS 9.2. Проблема в том, что больше двух третей интернет-серверов с PHP работают на версиях, для которых патча не существует.
Что за уязвимости
🔵CVE-2026-109618 и CVE-2026-109619 — две критические RCE в ядре PHP. Обе получили CVSS v4.0 9.2 и классифицированы как CWE-416 (use-after-free). Исследователи из watchTowr неформально называют пару «PHP2Shell».
🔵Уязвимости затронули session.upload_progress — механизм, который включён по умолчанию во многих конфигурациях. Атакующему не нужна аутентификация. Рабочий эксплойт уже продемонстрирован против Apache mod_php с настройками по умолчанию.
Информация об уязвимостях утекла 20 октября, до запланированного скоординированного раскрытия. PHP пришлось выпустить экстренный патч на день раньше — 21 октября 2026, 14:00 UTC.
Масштаб проблемы
🤨 По данным Shodan, в интернете около 1,9 миллиона хостов с PHP. Из них 72,5% раскрывают версию, и эта версия — end-of-life ветка (PHP 8.1 и старше), для которой официального патча не будет.
Затронута вся экосистема: WordPress (~538 тыс. инстансов), Drupal, Joomla, Magento, Laravel (~141 тыс.), Nextcloud (~107 тыс.), phpMyAdmin, cPanel/Plesk.
Даже если вы не используете PHP напрямую — вы зависите от него через подрядчиков, SaaS-платформы и клиентские порталы. Это каскадный риск цепочки поставок.
Что делать
1️⃣Обновитесь до исправленной версии: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35.
2️⃣Если вы на EOL-ветке (8.1 и ниже) — патча не будет. Планируйте миграцию или изолируйте сервис. Source-backport'ы существуют для 7.4, 8.0 и 8.1, но это не полноценная поддержка.
3️⃣Приоритет №1 — Apache mod_php. Эта конфигурация наиболее уязвима, потому что вызывает shutdown даже при неудачном старте запроса.
4️⃣Временная мера: отключите session.upload_progress в php.ini, если не можете патчить немедленно.
5️⃣Не считайте патч ремедиацией. Если система была скомпрометирована до обновления, патч не удалит то, что уже закреплено.
😈 CodeGuard: PySec Edition | Чат | 855 |
| 8 |  Citrix NetScaler: CVSS 9.8, RCE без аутентификации и веб-шеллы, которые патч не удаляет
Пока все патчат PHP и GitLab, есть ещё одна дыра, которая эксплуатируется прямо сейчас. Citrix NetScaler — шлюз, через который ходит удалённый доступ в корпоративные сети. CVE-2026-88771 позволяет выполнить команду без логина и пароля. Патчи вышли 16 октября, но атаки начались раньше. И, как всегда, обновление не удаляет то, что атакующий уже закрепил.
Что за уязвимость
🤨 CVE-2026-88771 — improper input validation в Citrix NetScaler ADC и NetScaler Gateway. CVSS 9.8 (v3.1) и 9.5 (v4.0). Уязвимость позволяет неаутентифицированное удалённое выполнение команд (RCE).
Атакующий не просто читает данные — он может выполнить код на устройстве, которое стоит на периметре и видит внутреннюю сеть.
Как это выглядит в атаке
🔵 Zscaler ThreatLabz зафиксировали цепочку: poisoned access logs, специально сформированные authentication-запросы, fingerprinting устройства, попытка установки веб-шелла и загрузка Rust-based FreeBSD x64 malware на скомпрометированный appliance.
Исследователи видели всплеск попыток как минимум с 26 source IP, но не установили, сколько устройств было скомпрометировано и координировал ли это один актор.
Главная ловушка: патч не равно «чисто»
Citrix выпустила исправленные сборки: 14.1-73.37 и 13.1-64.23 (или более поздние в этих ветках). Zscaler 16 октября указал более поздние сборки — 14.1-73.46 и 13.1-64.29 — и отдельно предупредил: патчинг не удаляет уже установленные веб-шеллы и malware。
Это значит: если устройство было скомпрометировано до обновления, после патча атакующий может остаться внутри. Нужно не просто обновиться, а проверить на компрометацию: искать веб-шеллы, необычные процессы, признаки FreeBSD-импланта. Gurucul опубликовал 28 IP-индикаторов для проверки.
Что делать
🔵Обновиться до актуальной исправленной сборки для вашей ветки. Если вы на 14.1 — до 14.1-73.46 или позже. Если на 13.1 — до 13.1-64.29 или позже.
🔵Не считать патч ремедиацией. Изолируйте потенциально скомпрометированные appliance, сохраните форензик-артефакты, ищите веб-шеллы и импланты.
🔵Проверить логи на предмет poisoned access logs и необычных authentication-запросов. Если видите попытки эксплуатации — это уже инцидент, а не просто уязвимость.
😈 CodeGuard: PySec Edition | Чат | 878 |
| 9 |  GitLab: CVSS 10.0, RCE без пароля и 12 лет уязвимых релизов. Патч вышел, но не для всех
Пока все обсуждают PHP2Shell, GitLab тихо закрыл вторую за девять дней дыру с максимальной оценкой. И эта — глубже. Она затрагивает каждую self-managed инсталляцию, начиная с версии 7.0, выпущенной в 2014 году. Двенадцать лет релизов в одном advisory. Если ваш GitLab смотрит в интернет — это не «подожду до понедельника».
Что за уязвимость
🤨 CVE-2026-110264 — integer overflow в компиляторе регулярных выражений. CVSS v3.1 10.0. Атакующий без аутентификации может выполнить произвольный код на сервере GitLab. Не «прочитать репозиторий», не «получить доступ к CI/CD» — выполнить команду от имени сервиса.
Уязвимый компонент присутствует в кодовой базе с версии 7.0 (2014). Это значит, что под ударом — практически каждый self-managed инстанс, который когда-либо был развёрнут и не пропатчен. GitLab.com и Dedicated-тенанты на актуальных внутренних релизах уже защищены.
Почему это важно именно сейчас
🔵Это вторая CVSS 10.0 RCE за девять дней. Первая — CVE-2026-97229 от 12 октября, тоже в regex-компиляторе CI/CD. GitLab бэкпортировал фикс сразу в семь веток: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3, 19.5.1. Такой шаг компания делает только для самых серьёзных проблем.
Сканирование интернета показывает около 60 000 self-managed GitLab-инстансов онлайн. На момент публикации подтверждённых атак в дикой природе не зафиксировано, но PoC-код уже существует. Окно между патчем и эксплойтом сокращается.
😈 CodeGuard: PySec Edition | Чат | 903 |
| 10 |  VanGuard: один бинарник, который заменяет 28 инструментов при расследовании инцидента
Ты приезжаешь на инцидент. На флешке — десяток утилит, каждая со своими флагами. Пока разбираешься, время уходит. VanGuard пытается это изменить: один бинарник на Go, внутри — 28 готовых сценариев IR, управление Velociraptor и генерация таймлайна. Работает без интернета. Бесплатно (open-source).
Что внутри
🔵28 предустановленных сценариев — ransomware, BEC, lateral movement, credential theft, rootkit detection. Каждый с маппингом на MITRE ATT&CK и пофазовым сбором артефактов.
🔵Velociraptor как первоклассный гражданин — полный жизненный цикл сервера, развёртывание агентов, офлайн-коллекторы, VQL-запросы из одного меню.
🔵Быстрый триаж — 20+ категорий артефактов Windows (процессы, службы, журналы событий, планировщик, браузеры, реестр) и 15+ Linux (процессы, cron, systemd, SSH, auth-логи, модули ядра). Всё хешируется и регистрируется как доказательство.
🔵Threat hunting — встроенные Hayabusa (Sigma-анализ логов), Chainsaw, Loki и YARA. Анализ живого состояния: LOLBin, подозрительные автозапуски, аномалии named pipes, rogue systemd units, SUID-бинарники, C2-паттерны.
🔵Форензика памяти — DumpIt, WinPMEM (Windows), AVML, LiME (Linux). Анализ через Volatility3.
Air-gapped — каждая функция работает офлайн. Сеть — это улучшение, а не требование.
Практический пример
🤨 Ты на месте инцидента. Запускаешь VanGuard с флешки. Он предлагает TUI или веб-интерфейс. Выбираешь сценарий Ransomware. Инструмент собирает артефакты, хеширует их, строит таймлайн и генерирует HTML-отчёт с цепочкой custody. Всё — из одного бинарника, без установки и без интернета. Через час у тебя готовый отчёт, а не папка с разнородными файлами.
😈 CodeGuard: PySec Edition | Чат | 1 024 |
| 11 |  Программисты, это вам 👇
Держите 5 каналов, которые реально помогают изучать программирование и IT с полного нуля:
🖥 Easy Coder — все направления IT.
👩💻 Easy Python — всё о Python.
🌐 Easy WebDev — Frontend, Backend.
🔠 Easy InfoSec — ИБ, Хакинг.
🖥 Easy GitHub — лучшее с GitHub.
Тонны бесплатной инфы для любого уровня подготовки ✔️ | 864 |
| 12 |  6️⃣ команд Linux, которые нужны в первые 10 минут расследования
Алерт: на сервере что-то не так. Ты открываешь терминал. Время идёт. Вот шесть команд, которые дают первичную картину — от активных соединений до файлов, которые кто-то только что изменил. Без них ты будешь гадать. С ними — увидишь, куда смотреть.
1. Кто сейчас в сети и куда стучится
ss -tulpn
ss — современная замена netstat. Показывает слушающие порты, установленные соединения и PID процессов. Если видишь незнакомый процесс, слушающий порт — это первая зацепка.
2. Кто открыл файлы и сокеты
lsof -i
lsof -i показывает все сетевые соединения, привязанные к процессам. Если какой-то процесс держит соединение с подозрительным IP — ты увидишь это сразу. Для конкретного порта: lsof -i :80.
3. Что изменилось только что
find / -mmin -30 -type f 2>/dev/null
Файлы, изменённые за последние 30 минут. Атакующий мог оставить скрипт, конфиг или бэкдор. Эта команда покажет свежие следы. Для более точного окна — -mmin -5.
4. Кто пытался войти и с какого IP
grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head
Классика. Показывает топ IP по числу неудачных SSH-логинов. Если один IP долбит сотнями попыток — это брутфорс. Если после этого есть Accepted с того же IP — это уже компрометация.
5. Что делал пользователь после входа
grep "Accepted" /var/log/auth.log | tail -5
Смотри, с каких IP заходили и под какими пользователями. Если видишь вход с незнакомого IP под root — эскалируй немедленно.
6. Куда уходят данные
tcpdump -i any -c 100 -nn
Быстрый захват 100 пакетов. Если видишь исходящие соединения на неизвестные IP с большим объёмом данных — это потенциальная эксфильтрация. Для глубокого анализа — -w capture.pcap и открыть в Wireshark.
Практический пример
Сервер начал тормозить. Запускаешь ss -tulpn — видишь процесс python3на незнакомом порту. lsof -i показывает, что он держит соединение с внешним IP. find / -mmin -30 находит скрипт в /tmp. grep по auth.logпоказывает брутфорс и успешный вход. Цепочка собрана за 10 минут.
😈 CodeGuard: PySec Edition | Чат | 967 |
| 13 |  AhsayCBS: CVSS 10.0, веб-шелл в бэкапе и патч, который не удаляет то, что уже закреплено
Пока все патчат PHP, есть цепочка, которая бьёт по инфраструктуре, которую обычно трогают в последнюю очередь — по серверам резервного копирования. AhsayCBS (Ahsay Cloud Backup Suite) — это серверная часть, которая принимает и хранит бэкапы клиентов. Атакующие используют две уязвимости вместе: обход аутентификации и инъекцию команд. Результат — веб-шелл в веб-доступной директории и потенциальный доступ ко всем бэкапам, которые через этот сервер проходят.
Что за цепочка
🔵CVE-2026-105133 — improper authentication в функции checkSysPwd. CVSS v4 5.5. Сама по себе не критична, но открывает дверь.
🔵CVE-2026-105134 — OS command injection в компоненте Replication Receiver (/rps/api/json/UpdateReceivers.do). VulDB оценивает в CVSS 10.0, NVD — 9.3 по CVSS v4. Позволяет выполнить команды ОС или записать файл, например JSP веб-шелл, в директорию, которую отдаёт веб-сервер.
Вместе: атакующий обходит аутентификацию, затем пишет шелл и получает выполнение кода. Условие для CVE-2026-105134: сервер должен быть настроен или лицензирован как replication receiver. Если у вас AhsayCBS без этой роли — второй этап не сработает, но первый всё равно остаётся риском.
Хронология
✨ 4 октября 2026 — обе CVE опубликованы в NVD. В записях указано, что публичный эксплойт существует.
✨ 7–8 октября — первые инциденты в Bitdefender MDR. Совпадают с первыми публичными сообщениями об эксплуатации и первыми advisory от Ahsay.
✨ 12 октября — Ahsay выпускает хотфиксы: v10.3.4.45 для v10 и v9.15.2.70 для v7/v8/v9. В том же advisory указано, что предыдущие патчи v10.3.4.0 и v9.15.2.59 не закрывали уязвимости полностью.
✨ 14 октября — CISA добавляет обе CVE в KEV.
Почему это важно
🤨 Бэкап-сервер — это концентрат данных. Если атакующий получает на нём выполнение кода, он потенциально видит все резервные копии, которые через него проходят. Это не «ещё одна CVE в веб-приложении». Это доступ к страховке, которая должна спасать от ransomware. И если она скомпрометирована — восстанавливаться не из чего.
Ссылка
🔗 Bitdefender: Technical Advisory — AhsayCBS Exploitation Chain — бесплатно
🔗 Horizon3: CVE-2026-105133 & CVE-2026-105134 — AhsayCBS — бесплатно
🔗 CERT.GOV.VU: Advisory 356 — бесплатно
😈 CodeGuard: PySec Edition | Чат | 1 010 |
| 14 |  PHP2Shell: ИИ нашёл дыру, которой больше десяти лет. Теперь её эксплуатируют миллионами попыток
Пока одни обсуждают очередную CVE в VPN-шлюзе, произошло то, что затрагивает около 70% сайтов в интернете. Две критические уязвимости в PHP — языке, на котором работает WordPress, большинство кастомных движков и огромная часть бэкендов. CVSS 9.2. Без аутентификации. Без клика. И — самое неприятное — эксплуатировать их начали за четыре дня до того, как о них стало известно.
Что произошло
🤨 21 октября 2026 года команда PHP выпустила экстренные обновления вне цикла для двух уязвимостей: CVE-2026-109618 и CVE-2026-109619. Обе получили CVSS 9.2 по версии 4.0 — максимальная категория «критическая».
В отличие от уязвимостей в CMS или плагинах, эти дыры находятся в самом рантайме PHP. Обновление WordPress или сторонней библиотеки их не закрывает. Под ударом — любая установка PHP, которая обслуживает веб-запросы: Apache с mod_php, NGINX с PHP-FPM, LiteSpeed.
Как это работает
Обе уязвимости связаны с обработкой памяти.
🔥CVE-2026-109618 — ошибка при нехватке памяти (out-of-memory). Когда PHP не может корректно завершить инициализацию данных запроса, он неправильно интерпретирует частично заполненные структуры как валидные. Это приводит к повреждению памяти и выполнению кода.
🔥CVE-2026-109619 — use-after-free. После аномального завершения запроса PHP не сбрасывает глобальное состояние. Следующий запрос может обратиться к уже освобождённой памяти. Это позволяет читать чувствительные данные (пароли, токены, API-ключи) или выполнить произвольный код.
Для mod_php рабочий эксплойт уже подтверждён. Для PHP-FPM эксплуатация зависит от приложения, но исследователи также демонстрировали RCE.
Почему это важно: ИИ изменил правила
Уязвимости существовали более десяти лет. Их нашли не люди, а модели искусственного интеллекта — OpenAI и Google. В блоге OpenAI говорится, что компания координировала усилия исследователей и security-провайдеров в течение двух месяцев, чтобы закрыть дыры до раскрытия.
🤨 Но есть нюанс. Amazon зафиксировала попытку эксплуатации 17 октября — за четыре дня до публичного раскрытия. Либо произошла утечка, либо атакующие тоже используют AI для анализа патчей. Вице-президент BSI Томас Касперс заявил, что массовая эксплуатация вероятна в течение нескольких часовпосле выхода обновлений, потому что атакующие могут анализировать патчи AI-инструментами и быстро генерировать эксплойты.
😈 CodeGuard: PySec Edition | Чат | 1 047 |
| 15 |  Перестань страдать от белых списков ❌
Нашли лучший способ обойти все ограничения и даже заработать на этом‼️
STRELKA VPN — обходит все блокировки и даже белые списки
Забирай бесплатный пробный период: | 859 |
| 16 |  🤯 PHP2Shell: две критические RCE-уязвимости в PHP, которые затрагивают половину интернета
Пока все обсуждают очередную CVE в VPN-шлюзе, в PHP нашли две дыры, которые эксплуатируются без пароля и без единого клика. CVSS 9.2. Под ударом — Apache с mod_php, NGINX с PHP-FPM, FrankenPHP и LiteSpeed. Если ваш сайт или сервис работает на PHP — это не «где-то там», это ваш периметр.
Что произошло
🤨 21 октября 2026 года команда безопасности PHP выпустила экстренное обновление вне цикла для двух критических уязвимостей удалённого выполнения кода (RCE): CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9.2 по CVSS v4.0 и не требуют аутентификации.
Уязвимости затрагивают ветки PHP 8.2–8.5. Более старые версии, включая PHP 5.x и неподдерживаемые ветки, не получат исправлений — их нужно мигрировать.
Как это работает
Обе уязвимости связаны с внутренними механизмами управления памятью и обработки запросов в PHP.
🔵CVE-2026-109618 — ошибка обработки out-of-memory. Когда PHP сталкивается с нехваткой памяти во время частичной инициализации данных запроса, при очистке он может неправильно интерпретировать частично инициализированные данные как валидные. Это приводит к повреждению памяти и, как следствие, к выполнению кода с привилегиями рабочего процесса PHP.
🔵CVE-2026-109619 — stale global state и use-after-free. После аномального завершения запроса PHP не сбрасывает внутреннее глобальное состояние. Следующий запрос может обратиться к уже освобождённой памяти. Это позволяет читать чувствительные данные из памяти процесса (пароли, токены, API-ключи) или выполнить произвольный код.
Важно: рабочий эксплойт подтверждён для Apache mod_php. Для PHP-FPMэксплуатация зависит от поведения конкретного приложения, но исследователи также демонстрировали RCE.
Почему это критично
👀 PHP работает на значительной части веба, включая WordPress и огромное количество кастомных приложений. Обновление CMS, плагинов или зависимостей не закрывает эти уязвимости — они находятся в самом рантайме PHP.
На момент публикации патча публичного подтверждённого взлома не зафиксировано, но Cloudflare уже сообщал о ранних попытках эксплуатации. Окно для безопасного обновления закрывается быстро.
Что делать
1️⃣Проверить версию PHP. Если вы на 8.2–8.5 — обновиться до патченной версии сегодня.
2️⃣Если вы на неподдерживаемой ветке (8.1 и ниже, 7.x, 5.x) — патча не будет. Планируйте миграцию. До миграции — минимизируйте поверхность: уберите публичный доступ к среде, где это возможно.
3️⃣Проверить логи на предмет аномальных запросов, которые могли вызвать out-of-memory или аномальное завершение. Особенно если в логах есть всплески 500-х ошибок без очевидной причины.
Ссылки
🔗 Critical PHP2Shell Vulnerabilities Threaten Web Servers — CIRT.GY — бесплатно
🔗 PHP Ships Emergency Out-of-Cycle Patch — CERT.UG — бесплатно
😈 CodeGuard: PySec Edition | Чат | 1 276 |
| 17 |  😈 CodeGuard: PySec Edition | Чат | 1 197 |
| 18 |  🤔 Pentool: пентест в терминале, который выглядит как Burp Suite
Большинство инструментов для веб-пентеста — это либо громоздкие IDE, либо консольные утилиты без нормального интерфейса. Pentool пытается совместить оба мира: TUI-интерфейс с прокси, сканером, репитером и AI-ассистентом. Всё работает прямо в терминале. Бесплатно(open-source), но есть платный PRO-режим с дополнительными фичами.
Что внутри
👍Перехват трафика — HTTP/HTTPS-прокси с возможностью менять запросы на лету, Match & Replace, WebSocket.
👍Сканер — активный и пассивный: SQLi, XSS, SSTI, LFI, RCE, SSRF, XXE, JWT-флаги. С обходом WAF и time-based/blind-техниками.
👍Repeater и Intruder — повторная отправка запросов и автоматизированные атаки полезными нагрузками (Sniper, Battering Ram, Pitchfork, Cluster Bomb).
👍Spider — обход сайта с рендерингом JavaScript (Lightpanda), сбор форм, API-эндпоинтов и JS-файлов.
👍AI-ассистент — подсказывает, какие проверки запустить, помогает обходить WAF и искать скрытые эндпоинты.
👍Plugin System — расширения без изменения ядра. PRO-плагины добавляют продвинутые сканеры и генераторы отчётов.
Как установить
uv tool install pentool
Одна команда. Работает на Linux, macOS и Windows (лучше через WSL). Требуется современный терминал с поддержкой мыши и true color — GNOME Terminal, Kitty, Alacritty, WezTerm, Windows Terminal.
Практический пример
Запускаешь pentool в терминале. Указываешь URL цели. Инструмент сам поднимает прокси, генерирует и импортирует CA-сертификат в headless-браузер, отправляет первый запрос. Дальше — работаешь как в Burp Suite, но без переключения окон: вкладки, история, сканер, репитер — всё в одном TUI.
Платность
🤨 Бесплатно: базовый функционал — прокси, сканер, репитер, интрудер (без Turbo Mode), спайдер, декодер, компаратор.
🤨 Платно (PRO): Turbo Mode (10× скорость через Keep-Alive и пул соединений), продвинутые сканеры, умные полезные нагрузки, генераторы отчётов.
Для обучения и большинства задач хватает бесплатной версии.
Ссылка
🔗 GitHub: DrXOps/pentool — бесплатно (PRO-функции платные)
😈 CodeGuard: PySec Edition | Чат | 1 397 |
| 19 |  ✍️ PentestGPT: как запустить автономного AI-агента для пентеста за 15 минут
Ты слышал про AI-агентов, которые «сами ломают». PentestGPT — один из них. Это open-source фреймворк, который указывает LLM на цель и позволяет ей работать: разведка, эксплуатация, отчёт. Без ручного вмешательства. Но перед тем как направить его на реальный периметр, нужно понять, как он устроен и где может навредить.
Что это
🔥 PentestGPT — open-source агент для автоматизированного пентеста. Оригинальная версия вышла на USENIX Security 2024, текущая — развивается как agentic-фреймворк. Он запускает LLM (Claude Code или Codex) и даёт ей инструменты: сканирование, эксплуатацию, сбор результатов. Модель сама решает, что делать дальше.
Два режима:
👀Default: recon → exploit → walkthrough. Каждый этап передаёт данные следующему.
👀Pentest mode: asset discovery → vulnerability identification → report. Более формальный пайплайн.
Важно: в автономном режиме человек не сидит в цикле. Агент сам выбирает действия.
Что нужно для установки
🤨 Python 3.12+
uv — менеджер пакетов (быстрее pip)
🤨 Claude Code или Codex CLI — с аутентификацией. Это платные сервисы, но для базового использования хватает бесплатных лимитов.
🤨 Docker (опционально) — образ уже содержит оба CLI, логины сохраняются в volumes.
Сам PentestGPT бесплатный (open-source, GitHub). Платить нужно только за API-доступ к LLM, если выходите за бесплатные квоты.
Как запустить (кратко)
# Клонировать
git clone https://github.com/GreyDGL/PentestGPT.git
cd PentestGPT
# Установить зависимости через uv
uv sync
# Аутентифицировать Claude Code или Codex
claude login # или codex login
Дальше — запуск. В Docker-образе логины уже прокинуты, если вы их сделали один раз.
Ссылки
🔗 PentestGPT — GitHub — бесплатно (нужны API-ключи Claude/Codex)
🔗 PentestGPT — обзор Help Net Security — бесплатно
😈 CodeGuard: PySec Edition | Чат | 1 222 |
| 20 |  ЛУЧШИЙ ВПН — ОБХОДИТ БЕЛЫЕ СПИСКИ🤖
В момент, когда интернет так нужен - его попросту нет. Но ребята из STRELKA VPN уже сделали стабильный проход на любые сайты.
🔘 Обходим белые списки любого региона [Подключиться]
🔘 Бесплатный пробный период [Для наших подписчиков]
🔘 Подключение за пару минут [Инструкция]
🔗Подпишись, уже сейчас @Strelka_vpn_bot | 806 |
