Управление Уязвимостями и прочее

Октябрьский Linux Patch Wednesday. Всего 4946 уязвимостей. Для сравнения, в сентябре было 2653. Рост на 86%! В Linux Kernel на этот раз 1954 уязвимости, в Chromium - 814. Вместе они составляют 56% от общего количества уязвимостей. Для шести уязвимостей есть признаки эксплуатации в реальных атаках: 🔻 RCE - PHP "PHP2Shell" (CVE-2026-109618, CVE-2026-109619). PHP - популярный язык программирования, используемый для разработки веб-приложений. Уязвимость CVE-2026-109618 связана с некорректной обработкой нехватки памяти (OOM) и позволяет удалённо выполнить произвольный код при получении приложением специально сформированного запроса. Уязвимость CVE-2026-109619 связана с использованием устаревшего состояния глобальных данных после освобождения памяти (use-after-free) и также позволяет удалённо выполнить произвольный код при получении специально сформированного запроса. Пакеты с исправлениями в Linux-дистрибутивах начали выпускать в день раскрытия уязвимостей 21 октября. На GitHub доступны более 470 ссылок на публичные эксплоиты. Обе уязвимости были добавлены в CISA KEV 26 октября. 🔻 SFB - Linux Kernel "PwnEscape" (CVE-2026-99999). Уязвимость в сетевом стеке ядра Linux. Злоумышленник внутри гостевой виртуальной машины KVM может повредить память ядра хост-системы. Это позволяет раскрыть содержимое памяти хоста или вызвать его аварийное завершение. Исследователи продемонстрировали полноценный побег из гостевой системы на хост. Пакеты с исправлениями в Linux-дистрибутивах начали выпускать с 16 октября. Публичные эксплоиты появились на GitHub также с 16 октября. Уязвимость была добавлена в VulnCheck KEV 19 октября. 🔻 RCE - WordPress (CVE-2026-87902). WordPress - популярная система управления контентом (CMS, Content Management System), используемая для создания сайтов и блогов. Уязвимость позволяет неаутентифицированному злоумышленнику добиться удалённого выполнения произвольного кода на сервере при определённых условиях. Публичные эксплоиты доступны на GitHub с 22 сентября. Уязвимость была добавлена в CISA KEV 25 сентября. Пакеты с исправлениями уязвимости появились в Debian 28 сентября. 🔻 XSS - WordPress "Comment2Shell" (CVE-2026-93485). Уязвимость позволяет неаутентифицированному злоумышленнику внедрить JavaScript-код через специально сформированный комментарий, который выполняется в браузере пользователя при просмотре страницы. При просмотре комментария администратором, злоумышленник может перехватить его сессию и добиться выполнения произвольного кода на сервере. Уязвимость была добавлена в VulnCheck KEV 18 сентября. Публичные эксплоиты доступны на GitHub с 22 сентября. Пакеты с исправлениями в Debian доступны с 28 сентября. 🔻 AFR - Gradio (CVE-2026-28414). Gradio - библиотека Python для быстрого создания интерфейсов машинного обучения. Уязвимость позволяет неаутентифицированному злоумышленнику читать произвольные файлы на сервере Windows при использовании Python 3.13 и выше, даже если в Gradio включена аутентификация. Публичный эксплойт опубликован 27 февраля. Уязвимость была добавлена в VulnCheck KEV 31 мая. Пакеты с исправлениями в ALT Linux доступны с 1 октября. Ещё для 335 уязвимостей пока нет признаков эксплуатации в реальных атаках, но есть публичные эксплоиты. Из них можно выделить: 🔸 EoP - Linux Kernel (CVE-2026-98260). Уязвимость типа Use-After-Free в механизме POSIX CPU timers позволяет локальному непривилегированному пользователю повысить привилегии до root-а. Исследователь v4bel продемонстрировал получение root shell на Ubuntu 26.04 с ядром 7.0.0-30-generic в рамках проекта Infinity Core. Также заявлена возможность выхода из контейнерной изоляции и повышения привилегий на Android. Пакеты с исправлениями доступны с 15 октября. [ Читайте полностью в посте на сайте avleonov.ru ] 🗒 Полный отчёт Vulristics (ZIP; 1.7 mb) ➡️Ⓜ️ MAX | @avleonovrus #LinuxPatchWednesday #LinuxKernel #Chromium #PHP #PHP2Shell #PwnEscape #WordPress #Comment2Shell #Gradio #Pillow #KVM #Python #Debian #ALTLinux #Ubuntu #Android #GitHub #CISAKEV #VulnCheckKEV #Vulristics #OOM #UseAfterFree #ContainerEscape #KVMEscape

StopPhish опубликовали исследование о тенденциях в развитии мошеннических схем (с моим комментарием). В исследование вошли 5 083 публикации, для которых удалось найти первоисточники. Период исследования - с 1 января 2022 года по 30 июня 2026 года. 📈 Наблюдается устойчивый рост количества публикаций (публ.) и разновидностей мошеннических схем (разн.) 2022 год - 389 публ., 135 разн. 2023 год - 718 публ., 254 разн. 2024 год - 1 292 публ., 517 разн. 2025 год - 1 868 публ., 763 разн. Первое полугодие 2026 года - 816 публ., 428 разн. Каналы первоначального контакта 📱 Телефонные звонки - 3 171 публ. (62,4%). 💬 Мессенджеры - 814 публ. 🌐 Социальные сети - 219 публ. ✉️ Электронная почта - 144 публ. Популярные предлоги и сценарии обмана 💰 Перевод на "безопасный счёт" - 193 разн. 🔓 Сообщение о взломе аккаунта - 120 разн. 📦 Покупка, доставка или возврат - 117 разн. Чего добиваются мошенники 🔑 Получение кода подтверждения - 247 разн. 🔗 Переход по ссылке или открытие сайта - 203 разн. 💸 Перевод денег - 302 разн. Психологические приёмы 💰 Страх потерять деньги - 1 863 публ. ⚖️ Страх уголовного преследования - 1 272 публ. 🏦 Доверие к авторитету известной организации - 1 171 публ. ⏱️ Создание ощущения срочности - 500 публ. Переход из цифровой среды в физическую В 1 381 публикации упоминались курьеры или личная передача ценностей. Злоумышленники убеждали жертв: 💵 Снимать наличные. 💳 Оформлять кредиты. 🥇 Покупать золото. 🚚 Передавать деньги и семейные ценности курьерам или другим участникам схемы. Эти сценарии актуальны и для организаций: мошенники могут использовать те же методы социальной инженерии против сотрудников, чтобы получить доступ к корпоративным аккаунтам, данным и финансам. Эта статистика помогает специалистам по ИБ лучше понимать тактики злоумышленников и учитывать их при построении защиты. Мой комментарий: "Александр Леонов, ведущий эксперт Positive Technologies, отмечает: даже регулярное антифишинговое обучение не исключает человеческих ошибок. Поэтому организация должна быть готова к ситуации, когда сотрудник всё-таки откроет опасную ссылку, передаст данные или запустит вредоносный файл. При этом обучение остаётся важным элементом защиты. Чем лучше сотрудники распознают подозрительные сообщения, ссылки и вложения, тем выше вероятность, что атака остановится на первом этапе. Но устойчивый результат зависит и от других мер: технической проверки входящих сообщений, своевременного обновления рабочих станций, ограничения пользовательских привилегий, защиты конечных устройств и мониторинга подозрительной активности. Если атака всё же состоялась, у организации должен быть план восстановления инфраструктуры." Подробнее об этом я писал в посте об эшелонированной защите. Главные выводы для ИБ организаций 🎓 Обучение сотрудников необходимо, но само по себе не гарантирует защиту от атак. 🛡 Защита должна включать проверку входящих сообщений, обновление и харденинг рабочих станций и другой IT-инфраструктуры, ограничение привилегий и мониторинг подозрительной активности. 🔍 При расследовании важно восстанавливать всю цепочку действий злоумышленников, а не только искать первоначальный источник атаки. 💳 Необходимо контролировать финансовые процессы, изменение реквизитов, выдачу доступов и подтверждение срочных платежей. 🚨 Организация должна иметь план реагирования на инциденты и восстановления инфраструктуры. ➡️Ⓜ️ MAX | @avleonovrus #StopPhish #AntiPhishing #AntiFraud #phishing #SocialEngineering #SecurityAwareness #EndpointProtection #Hardening #PositiveTechnologies #HumanVM

На фоне сообщений о взломе Binance появился повод поделиться своим мнением о криптовалютах. 🔹 29 октября Binance - самая большая криптовалютная биржа в мире по объёму торгов - начала расследование инцидента безопасности, который аналитики называют крупнейшим в истории криптовалютной индустрии. Биржа оценила общий объём затронутых средств примерно в $6,3 млрд, а аналитики Chainalysis оценили объём похищенных средств в $5,912 млрд. Для сравнения: предыдущий крупнейший подтверждённый взлом подобного рода произошёл с Bybit в феврале 2025 года - тогда было похищено около $1,5 млрд. 🔹 30 октября представители Binance сообщили, что предварительное расследование указывает на возможную компрометацию ноутбука DevOps-инженера, через который злоумышленник получил доступ к служебному контейнеру и отправил несанкционированные транзакции на вывод средств. Биржа пообещала покрыть все потери за счёт фонда SAFU и собственных средств. По заявлению Binance, признаков утечки приватных ключей не обнаружено, средства пользователей в безопасности. 🤔 🔹 По оценке Binance, удалось заморозить около $3 млрд затронутых средств. Независимый анализ Bitquery оценивает объём заблокированных активов примерно в $2,7 млрд. При этом злоумышленник успел обменять около $729 млн в стейблкоинах на другие криптоактивы. 🔹 Сообщения об инциденте спровоцировали падение криптовалютного рынка. 30 октября биткоин опускался до $77 646 - минимума за шесть недель, Ethereum падал до $2 238,76 - минимума за два месяца, а BNB, собственный токен экосистемы Binance, терял более 8% и опускался примерно до $694. Я сам от криптовалют держусь как можно дальше и другим советую. Крипта - это, на мой взгляд, всегда максимально грязная и небезопасная история. Нет, ну вы только представьте, если весь сыр-бор с Binance действительно из-за компрометации одного-единственного ноутбука. Если злодеям, допустим, хватило одного успешного фишинга? Это ж какое адище должно быть у Binance в инфре?! 😅 И это САМАЯ развитая контора в крипто-индустрии. 🙂 Для обывателя работа с криптой всегда сводится к тому, что он отдаёт свои реальные деньги каким-то мутным беспринципным типам взамен на электронные фантики с дикой волатильностью. И с этими фантиками затем могут происходить самые разные неприятности: их кража в результате кибератак, блокировки средств на счетах криптобирж, а также вывод средств злоумышленниками со взломанных бирж. Я ещё могу понять использование криптовалюты в качестве способа для разовых трансграничных платежей. Особенно в нынешних условиях санкций, когда проведение таких операций с использованием традиционной финансовой инфраструктуры затруднено. Но использовать эти фантики для сбережения или инвестирования средств - это, на мой взгляд, совершенно неадекватно. Поэтому я очень рад, что криптовалютам не дали бесконтрольно развиться в России и пока крипта здесь остаётся достаточно маргинальной. Я считаю, что платежи внутри страны с помощью криптовалюты должны быть под запретом, а контроль над финансами должен быть прерогативой государства. Создание и использование неподконтрольных денежных суррогатов, по моему мнению, должно решительно пресекаться. ➡️Ⓜ️ MAX | @avleonovrus #Binance #Chainalysis #Bybit #Bitquery #SAFU #Bitcoin #Cryptocurrency #Sanctions

Валико встал, прошёлся по номеру. За панорамным окном переливались огнями купола футуристических зданий, а вдали высились небоскрёбы, пронзающие ночное небо. Спасская башня сверкала среди кибернетических огней. Валико поправил китель, приложил к уху красную телефонную трубку в стиле ретро и набрал номер по защищённой линии. - Алло! Здравствуйте... Ларису Ивановну хочу... Лариса Ивановна! Это Валико, который Мимино! Помните? Вы в Тбилиси балансировщик нагрузки собирали, а я ханипоты на голландских серверах размещал! Лариса Ивановна, вы что сегодня делаете? А давайте в кибербезопасность пойдём! В Большую! Тогда добавляйте Telegram-папку CyberBEZ! Там OSINT, пентесты, поиск уязвимостей, эксплоиты и цифровая контрразведка. Лариса Ивановна, пока буржуи опускают цифровой железный занавес, мы изучаем протоколы и ищем уязвимости во имя науки и прогресса! Пинг стабильный, канал защищённый. Буду ждать! До свидания! ➡️Ⓜ️ MAX | @avleonovrus #Cybersecurity #OSINT #Pentesting #InfoSec #VulnerabilityManagement #ReverseEngineering #DataProtection #AISecurity #Telegram

Октябрьский "В тренде VM": уязвимости Windows и Check Point. Представляю традиционную ежемесячную подборку трендовых уязвимостей по версии Positive Technologies. В прошлом сентябрьском выпуске было шесть уязвимостей. В этот раз их всего две. 🗞 Пост на Хабре 🗒 Дайджест на сайте PT 🔻 EoP - Windows ALPC (CVE-2026-85880). Активно эксплуатируемая уязвимость в механизме межпроцессного взаимодействия Windows, позволяющая повысить привилегии до уровня SYSTEM. Используется в составе эксплойт-кита BlueMoon. 🔻 RCE - Check Point Quantum Security Gateway (CVE-2026-85102). Активно эксплуатируемая уязвимость в корпоративных межсетевых экранах и шлюзах безопасности компании Check Point, позволяющая неаутентифицированному удалённому злоумышленнику выполнить произвольный код. Есть публичные эксплоиты. 🟥 Полный список трендовых уязвимостей смотрите на портале ➡️Ⓜ️ MAX | @avleonovrus #PositiveTechnologies #TrendVulns #втрендеVM #ALPC #AppContainer #BlueMoon #Chromium #CISA #CISAKEV #exploit #ExploitKit #KernelExploit #Microsoft #MSPT #PrivilegeEscalation #Proofpoint #SandboxEscape #V8 #WNF #Windows #WindowsKernel #Indonesia #Singapore #Vietnam #USA #CheckPoint #CheckPointQuantumSecurityGateway #CheckPointSpark #NGFW #KEV #Shodan #IPSec #X509 #Wiz

В начале октября с коллегами из Бастиона записали подкаст "ВСЕ ПО ИБ | Про эксплуатацию уязвимостей, приоритизацию рисков и защиту инфраструктуры". Бастион - российская компания в сфере информационной безопасности, предоставляющая широкий спектр услуг: от тестирования на проникновение и аудита защищённости до мониторинга безопасности и реагирования на киберинциденты. Компания входит в группу компаний Гарда. Мои собеседники: 🔹 Дмитрий Калинин, руководитель департамента пентеста, Бастион 🔹 Семён Рогачев, руководитель отдела реагирования на инциденты, Бастион Мне очень понравилось! 😇 Разговор получился содержательным и интересным. Обсудили практику Vulnerability Management: приоритизацию уязвимостей, их реальную эксплуатацию в атаках, проверку эксплоитов, выявление цепочек атак, харденинг инфраструктуры, особенности работы сканеров уязвимостей, организационные и документальные аспекты. Разобрали эффективность компенсирующих мер, применение AI, роль антивирусов и мониторинга, подходы к принятию рисков, различия и взаимодействие между VM, CTEM, пентестом и автопентестом. С пентестерами и специалистами по Incident Response всегда интересно пообщаться, потому что это даёт практический взгляд на уязвимости и позволяет лучше понять, что реально эксплуатируется в атаках. 😉 Таймстемпы: 00:00 В этом выпуске 01:28 Почему компании откладывают устранение уязвимостей 10:30 Что чаще приводит к атакам: старые уязвимости или новые 12:31 Какие уязвимости реально эксплуатируются в инцидентах 18:59 Количество обнаруживаемых уязвимостей и эксплуатируемых уязвимостей - две большие разницы 22:43 Как проверить работоспособность эксплоитов 24:15 Могут ли уязвимости исключаться из KEV или из Трендовых Уязвимостей 27:29 Как определить, какие уязвимости нужно устранять в первую очередь: CVSS, KEV, VMDR, CTEM 30:48 VM/CTEM, пентест, автопентест, Red Team, Purple Team: в чём разница 35:11 Vulnerability Management процесс всегда внедряется сверху 38:08 Как определить, что несколько безобидных проблем могут сложиться в цепочку атаки, приводящую к недопустимому последствию, и можно ли это делать без CTEM-решения 41:31 Примеры использования старых уязвимостей и мисконфигураций в атаках 45:18 Рекомендации ФСТЭК по харденингу и как правильно харденить инфраструктуру 48:45 Грандиозная проблема в том, что люди не только не патчат, но и не мониторят 52:27 Про антивирусы 56:09 Когда компенсирующие меры эффективны, а когда создают иллюзию безопасности 01:00:05 Что делать в ситуации, когда патч установлен, а уязвимость не устранена 01:07:05 Как отличать осознанно принятый риск от забытой уязвимости 01:12:13 Нужно ли стремиться к нулевому количеству уязвимостей в инфраструктуре 01:23:49 Как работает детектирование уязвимостей в сканерах и почему качество детектирования различается 01:29:05 Роль AI в ресёрче уязвимостей, автоматической эксплуатации и Vulnerability Management-е 01:41:04 Взаимодействие пентеста и Vulnerability Management-а Подкаст также доступен в аудио, на RuTube и на YouTube. ➡️Ⓜ️ MAX | @avleonovrus #Бастион #Гарда #podcast #ВСЕПОИБ #PositiveTechnologies #CTEM #CVSS #CVE #KEV #Exploit #AttackPath #VMprocess #Detection #VulnerabilityManagement #VMDR #RedTeam #PurpleTeam #Pentest #FSTEC #AutoPentest #TrendVulns #Remediation #IncidentResponse #Scanning #AI

В цифровой деревне Вилларибо собрали ИБ папку и подписались на каналы с экспертной аналитикой, новостями кибербезопасности, разборами уязвимостей и секретами индустрии. Теперь жители следят за актуальными угрозами, обсуждают исследования и знают, что происходит на киберфронте. А вот в Виллабаджо папку не завели. 🤷‍♂️ Там выдали ИИ-агенту права администратора, чтобы он самостоятельно устранял уязвимости. Уязвимостей стало меньше, правда, и серверов тоже. 😏 Товарищ, не жди тревожной сирены, добавляй ИБ папку! 🚨 ➡️Ⓜ️ MAX | @avleonovrus #Telegram #CyberSecurity #InfoSec #AI #CyberThreats #EthicalHacking #ThreatIntelligence

Публикации с моими комментариями по PHP2Shell в РБК и Российской Газете. 🔹 В новости РБК использовали базовую информацию об оценке критичности уязвимостей по шкале CVSS 4.0, типе уязвимости, затронутых системах и потенциальных последствиях эксплуатации, а также рекомендации по устранению. 🔹А вот в Российской Газете вышла полноценная колонка. 😇 Статья начинается с описания угрозы и оценки её масштаба, включая потенциально затронутые ресурсы в Рунете. Далее рассматриваются влияние уязвимостей на веб-сайты и инфраструктурные продукты, механизм эксплуатации и возможные последствия атак, первые признаки эксплуатации и роль искусственного интеллекта в обнаружении уязвимостей. Завершается материал практическими рекомендациями по защите инфраструктуры, установке обновлений, применению WAF и систем управления уязвимостями, сравнением с Log4Shell и выводом о необходимости защищать всю технологическую цепочку. Важный момент в том, что эти уязвимости касаются далеко не только сайтов: Уязвимости CVE-2026-109618 и CVE-2026-109619 затрагивают продукты, использующие PHP, включая межсетевые экраны, системы управления сетевой безопасностью и платформы развёртывания приложений. Их влияние подтвердили Palo Alto Networks для PAN-OS - операционной системы межсетевых экранов, и Panorama - централизованной платформы управления сетевыми устройствами, а также Netgate для pfSense - операционной системы для маршрутизаторов и межсетевых экранов. Разработчики Coolify, платформы для развёртывания и управления приложениями на собственных серверах, подтвердили затронутость всех веток версии 4.x. Cisco и Sophos расследуют возможное влияние уязвимостей на свои продукты. Весьма приятно, что в финальную версию статьи вошли и упоминания конкретных продуктов Positive Technologies, помогающие защититься от этих уязвимостей: В более защищенной позиции оказываются компании, которые защищают свой веб-периметр решениями класса WAF (Web Application Firewall). Такие инструменты блокируют нелегитимные запросы извне и попытку эксплуатации уязвимости. Важно, чтобы разработчик WAF смог быстро отреагировать на новую угрозу и занести в продукт знания о ней и логику защиты. Так, например, защита от эксплуатации PHP2Shell появилась в PT AF Cloud, продукте Positive Technologies, автоматически еще до первых каких-либо подтвержденных атак через новую уязвимость. На фоне появления новых данных об эксплуатации PHP2Shell важно оперативно оценивать, какие системы в инфраструктуре могут быть подвержены риску. Системы управления уязвимостями, например MaxPatrol VM, помогут обратить внимание на эту угрозу: уязвимости PHP2Shell отмечены в продукте как трендовые. Специалисты смогут учитывать их при анализе защищённости инфраструктуры и планировании работ по устранению уязвимостей. Зафиксировать попытки эксплуатации уязвимости могут продукты класса NTA/NDR, например, PT NAD, а также межсетевые экраны нового поколения, такие как PT NGFW. ... Компаниям необходимо помнить о важном принципе информационной безопасности: защищать нужно не только собственный код, но и всю технологическую цепочку, на которой он работает. Уязвимость в широко используемом компоненте может одновременно создать риски для множества независимых компаний. Поэтому своевременное обновление, инвентаризация инфраструктуры и контроль устаревшего программного обеспечения - не формальность, а необходимая часть защиты бизнеса. ➡️Ⓜ️ MAX | @avleonovrus #PHP2Shell #PHP #CVSS4 #PaloAlto #PanOS #Panorama #Netgate #pfSense #Coolify #Cisco #Sophos #PositiveTechnologies #PTAFCloud #MaxPatrolVM #PTNAD #PTNGFW #WAF #NTA #NDR #NGFW #Log4Shell #AI #РБК #РоссийскаяГазета #СМИ

Неправильно ты, товарищ, Telegram читаешь! Ты за эксплоитами в один канал ходишь, за нейросетями в другой, а надо всё в одну папку собрать, так удобнее получится! И кибербезопасность под рукой, и DevOps, и программирование. Добавь папку IT Pro, наведи порядок в цифровом хозяйстве! ➡️Ⓜ️ MAX | @avleonovrus #CyberSecurity #InfoSec #EthicalHacking #ExploitDevelopment #DevOps #Programming #AI #MachineLearning #Telegram #Cyberpunk

Как The PHP Foundation обнаружили RCE-уязвимости PHP2Shell (CVE-2026-109618, CVE-2026-109619) и почему злоумышленники узнали о них раньше срока. Возможность эксплуатации обеих уязвимостей была наглядно продемонстрирована исследователями. Обе уязвимости затрагивают управление памятью и обработку ошибок - ключевые компоненты PHP, поэтому их устранение осложнялось необходимостью сохранить обратную совместимость и производительность, а также избежать изменений во множестве сторонних расширений. В 2024 году PHP впервые за много лет прошёл внешний аудит безопасности, профинансированный Sovereign Tech Agency и организованный через OSTIF. Аудит провела компания Quarkslab. При устранении одной из выявленных проблем разработчик ядра PHP, работавший по контракту с PHP Foundation, обнаружил первые признаки проблемы OOM, лежащей в основе CVE-2026-109618. Тогда предположили возможность эксплуатации этой проблемы, но конкретные векторы атаки найти не удалось, и внимание переключилось на другие подтверждённые уязвимости с очевидными последствиями. В мае 2026 года организация создала команду безопасности экосистемы. Ранее The PHP Foundation совместно с Alpha-Omega просканировали код PHP с помощью Claude Mythos от Anthropic. Кроме того, использовали Daybreak Red от OpenAI для проверки сообщений об уязвимостях и эксплоитов, а также сборки с санитайзерами и среды воспроизведения ошибок. The PHP Foundation обеспечили участие PHP в программе Patch the Planet. 30 июля 2026 года компания Calif начала аудит PHP. 11 августа исследователь Ryan A сообщил об уязвимости, позволяющей удалённо выполнять код без дополнительных условий. Её первопричина совпадала с причиной проблемы OOM, обнаруженной в 2024 году. В тот же день о ней независимо сообщили эксперты OpenAI. Позже OpenAI (18 сентября) и Wiz (24 августа) выявили дополнительные векторы атаки. Аудит PHP также проводили Trail of Bits. Эти сообщения помогли оценить полный масштаб последствий проблемы OOM. С 11 августа её устранение стало главным приоритетом для специалистов The PHP Foundation по безопасности. ИИ помогает проверять сообщения и группировать их по общей первопричине, но все решения принимают люди, которые также участвуют в разработке каждого патча. Согласованное раскрытие информации об этих уязвимостях проходило успешно до 20 октября (за два дня до запланированной даты выпуска 22 октября). После чего начались проблемы: 🔻 20 октября около 15:00 UTC в сети появились идентификаторы двух CVE с неверным временем выпуска и ошибочной оценкой CVSS 10,0 вместо 9,2. Технические подробности не утекли, поэтому предварительное объявление перенесли на 19:30 UTC, а выпуск исправлений - с 22 на 21 октября, чтобы Linux-вендоры успели подготовить пакеты для обновления. 🔻 20 октября около 20:00 UTC компания Calif случайно опубликовала видео с демонстрацией PoC-а и дополнительными сведениями об уязвимостях. Несмотря на удаление, видео распространили в соцсетях, ускорив разработку и распространение новых PoC-ов 21 октября. 🔻 Рекомендации по снижению рисков, переданные операторам критической инфраструктуры 20 октября около 23:00 UTC, также могли утечь. Команда безопасности PHP отслеживала и проверяла появлявшиеся PoC-и, но до выпуска и публичного раскрытия информации не обнаружила работающих эксплоитов. 🔻 21 октября в 07:41 UTC, более чем за шесть часов до срока, компания Chainguard нарушила эмбарго и опубликовала образы с исправлением. Это позволило злоумышленникам изучить патч до официального выпуска и свело на нет недели работы над согласованным раскрытием уязвимостей. 🤷‍♂️ Возможно, что эти и другие утечки помогли злоумышленникам подготовить эксплоиты заранее: эксперты Amazon зафиксировали попытку эксплуатации PHP2Shell ещё 17 октября, а 21 октября обнаружили новые атаки с нескольких IP-адресов. ➡️Ⓜ️ MAX | @avleonovrus #PHP #PHP2Shell #CVE #RCE #OOM #CVSS #PoC #exploit #AuditExtension #AI #Anthropic #Claude #Mythos #OpenAI #DaybreakRed #AlphaOmega #SovereignTechAgency #OSTIF #Quarkslab #ThePHPFoundation #Calif #Wiz #TrailOfBits #Chainguard #PatchThePlanet #Linux #Amazon

Продолжаем разбираться с PHP2Shell. В 17:00 по Москве на сайте PHP был опубликован бюллетень "Уведомление о безопасности: критические уязвимости, позволяющие удалённо выполнять произвольный код" с призывом немедленно обновить ПО. В PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 исправлены две критические уязвимости, позволяющие злоумышленникам удалённо выполнять код без аутентификации. Всем пользователям PHP настоятельно рекомендуется немедленно обновиться. Риску подвержены все серверы, использующие PHP для обработки веб-запросов, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Наибольшему риску подвержен mod_php. Уже подтверждена возможность удалённого выполнения кода через запрос без аутентификации, ещё до начала выполнения кода приложения. 🔻 RCE из-за нехватки памяти (OOM), CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): при нехватке памяти PHP может прервать выполнение, когда внутренние данные запроса инициализированы лишь частично. При очистке запроса эти некорректные данные могут быть ошибочно приняты за действительные. 🔻 RCE из-за устаревшего глобального состояния (stale global state), CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): внутренние данные запроса могут сохраняться после освобождения занимаемой ими памяти. Следующий запрос, обрабатываемый тем же рабочим процессом, может использовать эти устаревшие данные до их сброса при инициализации. Вектор для обеих уязвимостей CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N (9.2) Как обновиться: 🔹 Обновите PHP до версии 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Скачать исходный код можно на странице загрузок. Исходный код и готовые сборки для Windows доступны на отдельной странице. 🔹 Для Linux вендоров исправления были переданы заранее. Проверьте, доступны ли обновлённые пакеты у вашего вендора. Например, для Red Hat или Ubuntu. 🔹 PHP 8.1 и более старые версии больше не получают обновлений от команды PHP. Однако из-за серьёзности уязвимостей команда безопасности PHP подготовила исправления исходного кода (minimal source-backports) для PHP 7.4, PHP 8.0, PHP 8.1. Также в бюллетене приводятся компенсирующие меры, которые "помогут снизить риск некоторых видов атак, но не сделают систему полностью безопасной". Подчёркивается, что полноценное решение - только обновление. ➡️Ⓜ️ MAX | @avleonovrus #PHP #PHP2Shell #0day #Apache #LiteSpeed #RedHat #Ubuntu #Linux #Exploit #PHPFPM

Грядёт PHP2Shell! CVE-2026-109618 и CVE-2026-109619 - критические уязвимости в PHP, которым команда безопасности PHP присвоила оценку 9,2 по шкале CVSS v4.0. Согласно общедоступным данным, обе уязвимости позволяют удалённо выполнять произвольный код на удалённом сервере. 20 октября эти CVE-идентификаторы распространились на Hacker News и в социальных сетях. Позже в тот же день команда безопасности PHP опубликовала предварительное уведомление о выпуске обновления безопасности, запланированном на 21 октября в 14:00 UTC (21 октября в 17:00 МСК), для устранения двух критических уязвимостей. В уведомлении говорилось, что команда может выпустить обновление раньше, если подробности об уязвимостях станут общедоступными или появятся признаки их эксплуатации в реальных атаках. CERT-EU также опубликовал рекомендацию по безопасности (2026-018), в которой упоминались обе CVE. По данным watchTowr, первоначально раскрытие информации об уязвимостях было запланировано на четверг, 22 октября, в рамках соглашения о неразглашении до установленного срока. 🛠 В видеоролике, опубликованном исследователем Кириллом Фирсовым, демонстрируется цепочка эксплойтов под названием php2shell. Фирсов указал, что видео и эксплойт были созданы исследователем LCFR и компанией Calif io. Компания watchTowr сообщила BleepingComputer, что, по её мнению, ей удалось воспроизвести эксплуатацию уязвимости CVE-2026-109618. В открытом доступе распространяется код, предназначенный для эксплуатации этих уязвимостей, однако его работоспособность не подтверждена. Имейте в виду, что непроверенный код для эксплуатации уязвимостей иногда содержит вредоносное ПО, поэтому относитесь к нему с осторожностью. ⚙️ Эксперты CERT-EU сообщили, что эти уязвимости могут затрагивать все версии PHP начиная с PHP 5. В демонстрационном видео упоминаются PHP 5.4.0 и более поздние версии. PHP опубликует официальный список уязвимых и исправленных версий одновременно с выпуском обновления. Разработчик ядра PHP Джина Питер Баньярд сообщила, что "единственный способ защиты - установить патч или обновить PHP". В ответ на предложение отключить отслеживание прогресса загрузки файлов в сессиях - соответствующую настройку PHP - менеджер выпуска PHP 8.6 Джо Фергюсон отметил, что "настройки ini вас не спасут". 👾 21 октября технический директор Cloudflare Дейн Кнехт заявил, что компания "наблюдает первые признаки атак" и обновляет механизмы защиты по мере появления новых векторов атак. 🌐 Согласно W3Techs, PHP используется на 69,3% веб-сайтов, для которых известен язык программирования на стороне сервера. Такие платформы, как WordPress, Drupal, Joomla, Laravel и Magento, работают на PHP. По приблизительной оценке исследователя безопасности Сайласа Катлера, потенциально уязвимы более 1,3 миллиона узлов, доступных из интернета. Поиск в Shodan, проведённый Хенком Полеем, выявил более 1,9 миллиона доступных из интернета узлов, использующих PHP. В общем, ждём патчи, тестируемся и обновляемся, чтобы не попасть под массовые атаки! 🙂 ➡️Ⓜ️ MAX | @avleonovrus #PHP #ZeroDay #Exploit #Cloudflare #CERT #CERTEU #HackerNews #BleepingComputer #watchTowrLabs #Shodan #WordPress #Drupal #Joomla #Laravel #Magento #PHP2Shell #LCFR #Califio #CodeInjection #PoC #Tenable

И что, теперь будут строить дата-центры внутри гор, чтобы их и ядерный взрыв не достал? Вынесу из комментариев к предыдущему посту про бизнес и требования физической безопасности. Моё мнение, что фактор физической безопасности будет становиться всё более и более значимым. И, безусловно, появятся дата-центры и с капитальными укреплениями, и заглублённые под землю, и в горах. При этом адекватно прикрытые от атак с воздуха. Конечно, не прямо завтра, потому что их строительство потребует времени и ресурсов. Но в обозримом будущем. И необязательно, что помещения под них будут готовить прямо с нуля. Весьма вероятно, что воспользуются объектами, которых со времён Советского Союза должно было остаться немало. Ну не всё же бункеры под рестораны переделывать. 🙂 Уверен, что физическая безопасность будет учитываться государством при сертификации объектов. Определённые данные и определённые системы наверняка можно будет хостить только в адекватно защищённых местах. А вот те дата-центры, какие мы видим сейчас у крупных компаний, - по сути, незащищённые ангары по всем известным адресам, - перестанут считаться top-notch top-tier мегаЦОДами. Потому что здания, в которых они размещаются, сейчас вовсе не выглядят как объекты КИИ. Они скорее напоминают шведские магазины дешёвой мебели и фрикаделек с брусничным соусом. 😏 И отношение к таким дата-центрам будет примерно таким же, как отношение к Hetzner (немецкая компания, предоставляющая услуги хостинга на десктопном железе). Да, очень дёшево, но абсолютно несерьёзно. Использовать такое стоит только для чего-то некритичного, понимая, что в любой момент этот хостинг может отъехать навсегда, а данные будут безвозвратно потеряны. 🤷‍♂️ ➡️Ⓜ️ MAX | @avleonovrus #DataCenter #PhysicalSecurity #КИИ #ЦОД #BusinessContinuity #nukes #БПЛА #geopolitics

Октябрьский Microsoft Patch Tuesday. Всего 1409 уязвимостей. Для сравнения в сентябре их было 973, рост примерно на 45%. 🙈 Для 13 продуктов исправлено 20 и более уязвимостей: Microsoft Office Excel (68), Windows Kernel (46), Role: DNS Server (41), Windows Installer (38), Microsoft Office SharePoint (35), Windows Win32k (31), Windows NTFS (26), .NET (25), Microsoft Windows Search Component (23), Microsoft Office Word (22), Windows Error Reporting (21), Windows Broadcast DVR User Service (20), Microsoft SQL Server (20). Вместе они составляют 416 уязвимостей, т.е. 30% от общего числа. Есть одна уязвимость с признаком эксплуатации в реальных атаках: 🔻 SFB - Windows Shell (CVE-2026-96951). Уязвимость позволяет злоумышленнику обойти защиту Mark of the Web (MOTW) - механизм Windows, который помечает файлы, полученные из Интернет, и позволяет применять к ним дополнительные меры безопасности. Для эксплуатации уязвимости злоумышленнику необходимо убедить пользователя открыть вредоносный файл или перейти по вредоносной ссылке. Есть две уязвимости с публичными эксплоитами: 🔸 RCE - Raw Image Extension (CVE-2026-21413). Переполнение буфера в куче в Windows Raw Image Extension позволяет злоумышленнику удалённо выполнить произвольный код с помощью специально сформированного вредоносного файла. Техническое описание уязвимости, классифицированной NVD как эксплойт, было опубликовано 7 апреля в блоге Cisco Talos. 🔸 EoP - Windows Health and Optimized Experiences Service (CVE-2026-85884). Отсутствие проверки подлинности в критически важной функции Windows Health and Optimized Experiences Service позволяет локальному злоумышленнику повысить привилегии до уровня SYSTEM. Публичный эксплойт доступен на GitHub с 13 октября. Из остальных уязвимостей можно выделить: 🔹 RCE - Microsoft Exchange (CVE-2026-70571). Неаутентифицированный злоумышленник может отправить специально сформированное письмо на уязвимый сервер Exchange и выполнить на нём произвольный код. Для успешной атаки требуется глубокое понимание целевой среды. Взаимодействие с пользователем не требуется. 🔹 RCE - Microsoft Office Outlook (CVE-2026-70242, CVE-2026-97749, CVE-2026-97016, CVE-2026-88156, CVE-2026-70291). Злоумышленник может выполнить произвольный код на устройстве жертвы, отправив специально сформированное письмо. Для эксплуатации уязвимости жертве достаточно просмотреть письмо в области чтения Outlook без его открытия или нажатия на элементы. 🔹 RCE - Windows Domain Name Service (CVE-2026-96113). Переполнение буфера в куче в DNS Server позволяет неавторизованному злоумышленнику удалённо выполнить произвольный код через сеть. 🔹 SFB - NET Framework (CVE-2026-108398). Локальный злоумышленник может разместить специально подготовленную .NET-сборку (.NET assembly) в уязвимой системе и зарегистрировать её для загрузки защищённым процессом. Это позволяет обойти ограничения Windows Defender Application Control и выполнить произвольный код внутри защищённого процесса. Взаимодействие с пользователем не требуется. 🔹 Spoofing - Microsoft Exchange (CVE-2026-70279). Злоумышленник может отправить пользователю специально сформированную ссылку и убедить его перейти по ней. Аутентификация не требуется. Если по ссылке перейдёт пользователь с правами администратора, злоумышленник сможет выполнять действия от его имени, в том числе получать доступ к данным организации и изменять их. 🗒 Полный отчёт Vulristics ➡️Ⓜ️ MAX | @avleonovrus #PatchTuesday #Microsoft #Office #Excel #Word #Exchange #Outlook #SharePoint #SQLServer #Windows #WindowsKernel #WindowsShell #WindowsInstaller #WindowsWin32k #NTFS #WindowsSearch #WindowsErrorReporting #WindowsBroadcastDVR #WindowsHealthService #DNS #dotNET #RawImageExtension #MotW #exploit #Vulristics

Тоже напишу об уязвимости VMmanager 6, через которую поломали инфраструктуру FirstVDS. FirstVDS - провайдер VDS-хостинга, позволяющий арендовать виртуальные серверы для размещения сайтов, запуска приложений и решения других задач. 18 октября в канале компании сообщили об инциденте безопасности. Днём ранее, 17 октября, злоумышленники воспользовались уязвимостью в системе управления виртуализацией VMmanager 6, получили доступ к части инфраструктуры и запустили на некоторых серверах программу для кражи данных. VMmanager - продукт иркутской компании ISPsystem, входящей в группу компаний "Астра". Хостинг-провайдеры используют его для создания виртуальных серверов и управления ими. Эксплуатация уязвимости (обозначу как "VMleaker6") позволила злоумышленникам получать доступ к серверам клиентов, в том числе к дискам виртуальных машин. По имеющимся данным, вредоносная программа подключала диски в режиме чтения и копировала хранившуюся на них информацию на сервер злоумышленников. Среди потенциально скомпрометированных данных - файлы, пароли, ключи доступа, токены, конфигурационные файлы, базы данных, резервные копии и данные криптокошельков. 😱 В таких ситуациях возможны два варианта: либо уязвимость была известна, но FirstVDS не установили обновление безопасности вовремя, либо злоумышленники проэксплуатировали 0day-уязвимость, от которой провайдер не мог защититься в рамках Vulnerability Management процесса. Судя по всему, мы имеем дело со вторым вариантом: 🔻 Ещё 14 октября в ИБ-каналах ходили неподтверждённые данные о 0day-уязвимости VMmanager 6, проэксплуатированной у нескольких хостинг-провайдеров и позволяющей злоумышленнику получить root-доступ к гипервизору, то есть доступ ко всем виртуальным серверам на ноде. Также сообщали, что уязвимость эксплуатируется через интерфейс панели, поэтому под ударом те хостеры, которые дают клиентам прямой доступ к ней. 🔻 Эксперты FirstVDS сообщали о промежуточном патче и работе ISPsystem над окончательным исправлением. 🔻 В последние несколько дней ISPsystem выпускает обновления безопасности VMmanager одно за другим. С 14 октября были выпущены обновления 2026.09.1-1, 2026.09.1-2, 2026.09.1-3, 2026.09.1-4 и 2026.09.1-5. Последние четыре обновления были выпущены начиная с 18 октября (раз в день и два раза в день). При этом не указано, какие именно уязвимости исправляются, - приведён только текст "Исправление ошибок безопасности". Что тут скажешь: от эксплуатации 0day-уязвимостей никто не застрахован. Злоумышленник может самостоятельно наресёрчить уязвимость в используемом ПО или купить эксплойт на чёрном рынке. Особенно опасны ситуации, когда админка доступна из внешней сети или компрометация инфраструктуры провайдера клиентом-злоумышленником позволяет получить доступ к данным других клиентов. Тут напрашивается параллель с недавней RCE в cPanel (CVE-2026-87899), приводившей к компрометации клиентов shared-хостингов. К FirstVDS особых вопросов нет: они обнаружили инцидент, сообщили о нём и дали клиентам рекомендации. К ISPsystem вопросов больше. Вендор выпускает обновления безопасности VMmanager, но публичных бюллетеней с описанием исправленных уязвимостей нет. В БДУ ФСТЭК информация о новых уязвимостях, связанных с инцидентом, тоже пока не появилась. Это выглядит как silent patching. 😔 ИМХО, для зрелого вендора такой подход недопустим: нужны публичные бюллетени с описанием уязвимостей, исправлений и workaround-ами. А пока нет даже новости на сайте. 🤷‍♂️ Будем следить за развитием ситуации и ждать открытой коммуникации от вендора. ➡️Ⓜ️ MAX | @avleonovrus #0day #VMmanager #VMmanager6 #VMleaker6 #virtualization #VulnerabilityManagement #incident #DataLeakage #silentpatching #FirstVDS #ISPsystem #Astra #FSTEC #BDU #cPanel

Про уязвимость Elevation of Privilege - Windows Advanced Local Procedure Call (ALPC) (CVE-2026-85880). ALPC - это внутренний механизм Windows для высокоскоростного обмена сообщениями между процессами, используемый системными компонентами операционной системы. Уязвимость из сентябрьского Microsoft Patch Tuesday. Злоумышленник, способный выполнять код в AppContainer с низким уровнем привилегий, может локально проэксплуатировать эту уязвимость для выхода за пределы песочницы и повышения привилегий в затронутой системе. Дополнительное взаимодействие с пользователем не требуется. В случае успешной эксплуатации уязвимости злоумышленник может получить привилегии SYSTEM. Получив привилегии SYSTEM, злоумышленник может попытаться отключить или обойти антивирусы и другие средства защиты Windows, похитить учётные данные и токены аутентификации, закрепиться в системе и развивать атаку в корпоративной сети, в том числе устанавливая вредоносное ПО. 👾 Эксперты Microsoft отмечали признаки эксплуатации уязвимости в реальных атаках уже в день выхода MSPT (8 сентября). В тот же день уязвимость добавили в каталог CISA KEV. Эксперты Proofpoint сообщили 9 сентября об эксплойт-ките BlueMoon, который применялся в атаках с 28 августа и использовал цепочку из трёх уязвимостей: CVE-2026-85046 (ошибка типа в Chromium V8), CVE-2026-87491 (выход из песочницы V8) и CVE-2026-85880 (повышение привилегий в ядре Windows с использованием ALPC и WNF - механизма уведомлений Windows). Этот эксплойт-кит использовался в атаках на американские НКО, горнодобывающие и сырьевые компании, аэрокосмические предприятия США, неназванную производственную компанию во Вьетнаме, а также государственные, консалтинговые и финансовые организации Индонезии и Сингапура. 🛠 Эксплоитов в паблике пока не видно. ⚙️ Обновления безопасности доступны для Windows 10 версий 1607, 1809, 21H2 и 22H2, а также Windows Server 2012, 2012 R2, 2016, 2019 и 2022. ➡️Ⓜ️ MAX | @avleonovrus #ALPC #AppContainer #BlueMoon #Chromium #CISA #CISAKEV #exploit #ExploitKit #KernelExploit #Microsoft #MSPT #PrivilegeEscalation #Proofpoint #SandboxEscape #V8 #WNF #Windows #WindowsKernel #Indonesia #Singapore #Vietnam #USA

Свет ИИ-шечка, скажи да всю правду доложи! Ходили сегодня в Московский театр кукол на Бауманской, на "Сказку о мёртвой царевне и семи богатырях". Хороший спектакль. Мы не так давно в этом театре были на экскурсии по закулисью, как раз декорации этого спектакля видели. 👍 Спектакль шёл чётенько по тексту Пушкина. В процессе просмотра пришло в голову, что Александр Сергеевич (ну или братья Гримм с "Белоснежкой") почти за 200 лет предсказал психозы от общения с ИИ-ассистентами. Царица-мачеха жила себе спокойно и успешно, пока не начала регулярно общаться с зеркальцем-артефактом, которое было ей "в приданое дано". С ним одним она была Добродушна, весела, С ним приветливо шутила И, красуясь, говорила: Свет мой, зеркальце! скажи, Да всю правду доложи... Знакомая картина из нашей реальности, не находите? 🙂 Царица подсела на общение со своим ИИ-ассистентом, доверяла всей полученной информации. Зеркальце сначала ей льстило, а в какой-то момент фактически стало подбивать на мокруху. Типа, всё у тебя отлично, но с падчерицей-царевной что-то нужно делать. И что в итоге? Буквальная психопатия, два покушения на убийство падчерицы и собственная кончина при загадочных обстоятельствах: В двери прямо побежала И царевну повстречала. Тут ее тоска взяла, И царица умерла. При этом главным злом в этой истории выставляется царица, а не манипулирующий ею инструмент (буквально) искусственного интеллекта и не те, кто его ей подсунул. А что такого? Просто артефакт полезный. Отвечает на вопросы. Никакой собственной агенды не имеет... Ну типа. 😏 Сказка - ложь, да в ней намек, добрым молодцам урок. ➡️Ⓜ️ MAX | @avleonovrus #theatre #Moscow #Пушкин #AI #ChatGPT #Manipulation #paranoia #psychology #Offtopic #дыбр #профдеформация #сказки

Бизнес не способен формулировать требования безопасности: ни физической, ни информационной. Продолжая тему прилётов по дата-центрам, хотелось бы вот что сказать. Почему в Советском Союзе строили мосты так, что их и сейчас крайне сложно разрушить ракетами, а тем более беспилотниками? Почему строили промышленные объекты, тот же "Азовсталь", с огромными подземными сооружениями, разрушить которые налётами также крайне сложно? Почему станции метро строили с расчётом на то, что их можно использовать как бомбоубежища? В мирное время всё это может казаться избыточным. Но была установка сверху: инфраструктура должна быть спроектирована так, чтобы в условиях военного конфликта продолжать функционировать. А можно ли строить дата-центры так, чтобы прилёты им были не страшны? Глядя на советскую инфраструктуру - конечно, можно. Можно заглублять объекты под землю, можно строить над ними капитальные защитные сооружения. Только на это бизнес отвечает: "Можно. А зачем?" Всё это увеличивает стоимость строительства. Бизнес считает деньги и задаёт закономерный с его точки зрения вопрос: "Как эти капитальные затраты будут окупаться?" И здесь можно провести параллель с управлением уязвимостями информационной инфраструктуры. Отсутствие физической защиты, рассчитанной на то, что при прилёте в здание объект должен продолжать работу, - это ведь тоже уязвимость (экспозиция). Риски, связанные с ней, менеджмент бизнеса считает маловероятными и принимает решение ничего не делать. А когда риск реализуется, всё, что может сделать менеджмент, - это развести руками и сказать: "Ой, а мы что-то на это не закладывались". А почему вы не закладывались? Разве не было очевидно, что если не заниматься физической защитой объектов, то при прилёте дата-центры будут выходить из строя, а это нанесёт ощутимый ущерб организациям по всей стране? Точно так же и с IT-шными уязвимостями. Вместо того чтобы устранять их в соответствии с рекомендациями того же ФСТЭК, менеджмент организаций принимает риски, оставляя уязвимости в инфраструктуре. Расчёт на то, что ничего страшного не произойдёт, что риски эксплуатации уязвимостей никогда не реализуются. Но никто не владеет всей информацией и не может предсказывать будущее. Зачастую, когда эти риски реализуются, это приводит к катастрофическим последствиям. Моё мнение: бизнес самостоятельно не может формулировать стандарты безопасности. Он всегда стремится в моменте максимизировать прибыль. А безопасность всегда стоит денег. Это касается и физической, и информационной безопасности. Если дать бизнесу возможность чего-то НЕ делать, бизнес и не будет этого делать. Все риски будут приниматься как маловероятные. А в случае крупного инцидента менеджмент будет разводить руками. В крайнем случае будут просто катапультироваться на другое тёплое место с "золотым парашютом". 😏 Поэтому я за то, чтобы требования безопасности формулировались со стороны государства и государство добивалось их соблюдения жёсткими методами. Это должно касаться и физической, и информационной безопасности. Если уязвимость есть, она должна устраняться. И срок устранения не должен быть бесконечным. А если не можете обеспечить необходимый уровень безопасности, не имеете на это ресурсов - закрывайтесь. Свято место пусто не бывает. Всегда найдётся тот, кто будет выполнять требования адекватно, без "краилова", которое неизбежно приводит к "попадалову". ➡️Ⓜ️ MAX | @avleonovrus #DataCenter #PhysicalSecurity #InformationSecurity #VulnerabilityManagement #VulnerabilityRemediation #ЦОД #ФСТЭК #БПЛА

Напишу по поводу завершившегося сегодня Positive Security Day. Это уже четвёртый PSD, но так уж получилось, что я на него попал вживую в первый раз. И не только посетил мероприятие, но и выступил там, что особенно круто. 🙂 Про само выступление напишу в отдельном посте с видео. А пока впечатления от самой конференции. Очень круто. Понравилась выставочная площадка "Мечта", открывшаяся на Пушкинской набережной совсем недавно, в июле 2026 года. Очень стильное и по уму спроектированное место. Вся площадка была заполнена людьми: и клиентами, и сотрудниками PT. Если PHDays - это скорее нейтральное мероприятие про хакерскую культуру, то здесь в фокусе именно продукты компании. И мне это нравится. 😇 Наглядно виден реальный масштаб Positive Technologies, сколько в компании различных продуктовых направлений и собственно продуктов. Наш блок Before Attack был мощно представлен, коллеги провели большую консультационную работу на стендах, рассказывая о новых фичах XSpider Pro, MaxPatrol VM и MaxPatrol Carbon. 👍 Основной темой мероприятия был, конечно, Искусственный Интеллект. В кейноуте Денис Баранов, CEO Positive Technologies, рассказывал о том, что сейчас в ИТ происходит нечто большее, чем очередной виток развития технологий. Последние полвека ИТ-технологии были "усиливающими": помогали людям делать то же самое, только быстрее, удобнее и эффективнее. Это касалось всего: от первых компьютеров до интернета, мобильной связи и даже ИИ-ассистентов. Однако с совсем недавним появлением автономных ИИ-агентов произошёл коренной перелом: эти технологии способны не просто помогать человеку, а выполнять его работу целиком. Это уже "подрывная технология". Ещё недавно говорили о том, что для атаки больше не нужна команда из 10-20 человек, а достаточно одного человека с ИИ. Теперь же агенты позволяют проводить атаки вообще без участия человека. И это принципиально новая реальность, которая требует не просто добавления агентов в существующие процессы (например, Vulnerability Management), а редизайна процессов с нуля. Из интересных новостей: 🔹 Анонсировали B2C-решение для защиты мобильных устройств от киберугроз и мошенников. Первую версию планируют представить во втором квартале 2027 года. 🔹 MaxPatrol O2 теперь обрабатывает киберинциденты, используя каскад ИИ-моделей. Нейросети автоматически закрывают 68% инцидентов, тратя на разбор каждого около 15-20 секунд. 🔹 Вышла коммерческая версия PT Security Lakehouse - решения для хранения и анализа больших данных, на котором уже два года работают собственные продукты Positive Technologies. Заказчики смогут развернуть его в своей инфраструктуре. Платформа собирает в одном месте данные из разных средств защиты и позволяет аналитикам SOC, разработчикам и ИИ-моделям работать с ними. 🔹 Представили LLM Firewall - новый модуль в составе решения для защиты веб-приложений PT Application Firewall. Он защищает корпоративных ИИ-ботов, виртуальных ассистентов и другие сервисы на основе больших языковых моделей (LLM). Модуль анализирует запросы к LLM и их ответы, выявляя признаки кибератак, "отравления" промптов, попыток утечки конфиденциальной информации и нарушений установленных правил безопасности. Модуль уже интегрирован в PT AF Cloud, а в ближайшее время появится и в on-premise-продукте PT AF PRO. 🔹 Раскрыли дату и место проведения PHDays Fest 2027. Юбилейный, 15-й киберфестиваль пройдёт с 20 по 22 мая в Лужниках. 🙂 ➡️Ⓜ️ MAX | @avleonovrus #event #PositiveSecurityDay #PSD #PSD2026 #PositiveTechnologies #AI #AIAgents #AgenticAI #PTAI #LLM #LLMSecurity #MaxPatrolO2 #MaxPatrolVM #MaxPatrol #XSpiderPRO #Carbon #SecurityLakehouse #PTAF #PHDays #PHDaysFest #PHDays2027 #PHD2027 #conference #Moscow

Прибыл на Positive Security Day. Выступать буду в 16:00, есть трансляция (зал "Будущее"). Подключайтесь 😉 @avleonovrus