0day Alert

Pickle: удобство, которое может стоить вам сервера Каждый питон-разработчик хоть раз кидал объект в pickle.dumps() — две строчки, и готово. Но pickle восстанавливает не данные, а целые объекты, послушно выполняя всё, что нужно для сборки. И если данные пришли снаружи и попали в pickle.loads() без проверки, злоумышленник дописывает вызов системной функции, а сервер сам выполняет его команды. Base64 тут не спасает, ведь это не шифрование, а обёртка над тем же опасным потоком. В новой статье разбираем, почему __reduce__ превращает удобную сериализацию в готовый RCE, по каким признакам пентестер вычисляет проблему и почему фильтрация символов почти не работает. А ещё про то, как безопасный внутренний сервис однажды тихо начинает принимать пользовательские данные, и так рождается классическая уязвимость. Проверить всё руками можно на задаче «Элитный сомелье» из бесплатного курса «Профессия Белый Хакер». По легенде ваш знакомый Володя запустил сайтик про вино, увлёкся «нотками дуба» и забыл про безопасность. Сайт крутит pickle, а ваше дело найти, где сломана граница доверия, добиться выполнения команд и забрать флаг из корня. @SecLabNews

Уязвимости Hoymiles позволяют перехватывать управление солнечными панелями Специалисты обнаружили уязвимости в инверторах Hoymiles, которые применяются в балконных и крышных солнечных установках. Злоумышленник с недорогим радиомодулем способен находить такие устройства поблизости и получать доступ к их данным. Заводской ключ для команд управления фактически совпадает с серийным номером устройства, а прошивка содержит недокументированную функцию поиска инверторов поблизости. На такой запрос устройство отвечает серийным номером в открытом виде, что упрощает несанкционированный доступ. Компания Hoymiles не отреагировала на уведомление об уязвимостях и не выпустила обновление прошивки. Владельцам рекомендуется установить пароль в системе Hoymiles DTU, хотя это закрывает не все возможные варианты атаки. #hoymiles #уязвимость #радиомодуль #серийныйномер @ZerodayAlert

Один Code Block позволял перехватить всех ботов в Google Dialogflow CX Уязвимость Rogue Agent превращала доступ к одному агенту в точку входа ко всему проекту Google Cloud. Для атаки требовалась учётная запись с правом редактировать Playbooks, поэтому угрозу представляли как инсайдеры, так и владельцы взломанных аккаунтов разработчиков. Корень проблемы оказался в общей среде Cloud Run. Все боты запускали код через один доступный для записи файл, и вредоносный блок мог тихо заменить его. После подмены злоумышленник читал чаты, отправлял данные наружу и подсовывал пользователям собственные ответы, включая запросы паролей. Чтобы обезопасить свой проект, не ограничивайтесь проверкой текущего содержимого Playbooks. Просмотрите историю изменений и все аккаунты с правом dialogflow.playbooks.update. Отдельно проверьте старые Code Blocks, поскольку удаление вредоносного кода из консоли не очищает контейнер. #DialogflowCX #GoogleCloud #CodeBlocks #RogueAgent @ZerodayAlert

Специалисты обнаружили скрытый пароль в прошивках Tenda Уязвимость CVE-2026-11405 затрагивает несколько версий прошивок Tenda, включая модели FH1201, W15E, AC10, AC5 и AC6. Специалисты CERT обнаружили в файле /bin/httpd скрытый механизм, который при неудачной обычной авторизации обращается к запасному значению sys.rzadmin.password и сравнивает его с введённым паролем в открытом виде. Имя пользователя при этой проверке не учитывается, поэтому злоумышленнику достаточно указать любое имя и подобрать скрытый пароль, чтобы получить действующую сессию с правами администратора. Такой механизм не описан в документации Tenda, а в панели управления владелец устройства не видит связанных с ним настроек. Успешная атака даёт полный контроль над веб-интерфейсом, позволяя менять параметры сети, отключать защитные функции и использовать роутер как точку входа для атаки на локальную сеть. CERT сообщил, что не смог связаться с Tenda, поэтому владельцам уязвимых устройств советуют отключить удалённое управление через интернет и ограничить доступ к панели администрирования из локальной сети. #tenda #роутер #уязвимость #пароль @ZerodayAlert

Зафиксирована разведывательная активность на серверах Gitea Уязвимость CVE-2026-20896 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — 9.8 Critical) затрагивает Docker-образы Gitea до версии 1.26.2 включительно. Проблема возникла из-за того, что параметр доверенных прокси в шаблоне app.ini по умолчанию задали как «*», из-за чего сервер доверял запросам с любого IP-адреса. Если администратор включал вход через обратный прокси, злоумышленник мог отправить специальный заголовок X-WEBAUTH-USER и выдать себя за любого известного или угаданного пользователя без пароля и токена. При включенной автоматической регистрации имя администратора давало атакующему права администратора. По данным Sysdig, уязвимость впервые попытались эксплуатировать через 13 дней после публичного раскрытия проблемы, атака шла с IP-адреса сервиса анонимизации трафика. Gitea выпустила исправление в версии 1.26.3 в конце июня, убрав подстановочный символ «*» и сделав вход через обратный прокси отдельной опциональной функцией. #gitea #уязвимость #docker #Sysdig @ZerodayAlert

Критическая уязвимость обнаружена в Adobe ColdFusion Уязвимость CVE-2026-48282 с оценкой CVSS 10.0 затрагивает ColdFusion 2025 с обновлением 9 и более ранними версиями, а также ColdFusion 2023 с обновлением 20 и ниже. Проблема позволяет атаковать сервер без учетной записи, читать и записывать произвольные файлы, а затем выполнять вредоносный код. Adobe выпустила исправления 30 июня в составе крупного обновления безопасности, закрыв сразу 11 уязвимостей, включая шесть проблем с максимальной оценкой 10 баллов. Уже через несколько часов после публикации подробностей специалисты KEVIntel зафиксировали реальные атаки на серверы с использованием этой уязвимости. По данным Shadowserver, в интернете остаются доступными около 800 серверов Adobe ColdFusion. Для защиты Adobe рекомендует установить обновление 10 для ColdFusion 2025 или обновление 21 для ColdFusion 2023. #adobe #coldfusion #уязвимость #кибербезопасность @ZerodayAlert

Linux KVM 16 лет позволял гостевой машине обрушить весь сервер KVM должен жёстко отделять виртуальную машину от хоста, но недавно обнаруженная уязвимость CVE-2026-53359 ломала базовую модель безопасности. Root внутри гостевой системы хватало, чтобы вызвать панику ядра физического сервера и отключить все работающие на нём виртуальные машины. Причина банальна. Гипервизор сверял адрес страницы, но не проверял, для чего страница предназначена, и в итоге работал с освобождённой памятью. Публичная атака пока ограничена отказом в обслуживании, однако автор заявил о закрытом варианте с root-доступом к хосту. Рекомендации следующие: не считайте права root внутри гостя безопасной границей. Установите исправленное ядро или отключите вложенную виртуализацию. Особенно срочно проверьте облачные и хостинговые площадки с недоверенными клиентами. Исправленные стабильные ядра: 7.1.3, 6.18.38, 6.12.95, 6.6.144, 6.1.177, 5.15.211 и 5.10.260. #KVM #Januscape #DoS #Linux @ZerodayAlert

Linux-бэкдор для iKuai получил полный контроль над маршрутизатором libjson_script.so.0 пролежал на VirusTotal с 8 июня и три недели не вызывал подозрений. Библиотека притворяется обычным компонентом OpenWrt, а параметры GWID и VERSTRING указывают на прошивки iKuai. Подтверждённых заражений пока нет, но набор команд у образца полноценный. После старта вредонос закрепляет единственный процесс, расшифровывает конфигурацию и выходит на управляющий сервер. Канал работает через HTTPS, сертификат никто не проверяет, а команды дополнительно шифруются AES. Через бэкдор можно запускать оболочку, подгружать ELF-файлы, ставить задания по расписанию и вытаскивать содержимое файлов. Чтобы выявить зловред, ищите хеш 4e6276cc400b3b9e9616d04474b64a8fa0c35375b9673ab41a92a6d5bce72d8d. Проверьте соединения с 47.80.111[.]129:7380 и скрытый файл .runlevel.cache. Нулевой результат антивируса не означает, что прошивка чистая. #iKuai #Linux #Backdoor #Router @ZerodayAlert

Обнаружены бреши в античит-драйвере, работающем в ядре Windows Специалисты выявили три уязвимости в драйвере GFAC_Sys_x64.sys от Little Orbit. Драйвер работает на уровне ядра Windows и открывает пользовательским приложениям доступ к привилегированным функциям через порт связи мини-фильтра, который оказался недостаточно защищён. Наиболее критичная проблема (CVE-2026-12168 с оценкой по CVSS 7.8 HIGH) связана с отсутствием проверки адресов памяти при обработке сообщений от приложений. Атакующий может сформировать специальный запрос, который заставит драйвер записать произвольные данные в выбранную область памяти ядра, включая чувствительные структуры безопасности процессов. Скоординировать раскрытие уязвимостей с Little Orbit исследователям не удалось, поэтому исправление на момент публикации 2 июля 2026 года так и не вышло. CERT рекомендует ограничить локальный доступ к системам только доверенными учётными записями, отслеживать подозрительные обращения к GFAC и по возможности удалить игры, использующие GamersFirst Anti-Cheat. #античит #уязвимость #windows #zeroday @ZerodayAlert

0-day в ядре Linux бьёт по серверам и Android с точностью 99% В ядре Linux нашли серьёзную уязвимость под названием Bad Epoll (CVE-2026-46242). Она позволяет обычному пользователю получить права root и задевает не только серверы и рабочие станции, но и часть Android-устройств. Проблема в подсистеме epoll, через которую Linux одновременно следит за множеством файлов и сетевых соединений. Отключить её без поломки важных функций нельзя, так что единственная надёжная защита - установка патча. Технически это use-after-free из-за гонки в коде ep_remove. Две части ядра одновременно чистят один и тот же внутренний объект, одна освобождает память, другая с ней ещё работает. Окно гонки занимает около шести инструкций, поэтому случайно на такое не наткнёшься. Но исследователь Джейён Чон, отправивший уязвимость в Google kernelCTF как zero-day, собрал эксплойт, который стабильно расширяет это окно и открывает root-оболочку в 99% запусков на LTS-ядре и 98% на Google COS. Эксплойт под Android пока в работе, устройства на ядрах 6.6 и новее могут быть пригодны для атаки, а Pixel 8 на ядре 6.1 не затронут. Любопытная деталь про ИИ. Ту же область кода недавно проверяла модель Anthropic Mythos и нашла соседнюю гонку CVE-2026-43074. А вот Bad Epoll она пропустила - скорее всего, из-за слишком узкого временного окна и того, что после исправления соседней ошибки основной детектор ошибок памяти KASAN на Bad Epoll почти не реагировал. Уязвимый код лежал в ядре с апреля 2023 года, исправление вышло 24 апреля 2026 года. Под угрозой все дистрибутивы на Linux 6.4 и новее, где патч ещё не портирован. Администраторам стоит проверить статус пакетов в своём дистрибутиве.

🩶 Невидимые угрозы: как машинное обучение находит хакера, скрытого в сети Вебинар 8 июля в 14:00 Современные атаки все реже начинаются с вредоносного файла –  злоумышленники используют штатные инструменты и учетные записи, уже присутствующие в инфраструктуре. По данным глобальных исследований, 84% атак высокого уровня критичности применяют такой подход. Для традиционных средств защиты подобные действия выглядят как обычная активность, поэтому хакеры могут неделями и даже месяцами оставаться внутри сети незамеченными. ✔️Как выявлять такие угрозы до того, как они приведут к серьезным последствиям? ✔️Какие признаки указывают на присутствие злоумышленника? ✔️И как сократить время поиска с нескольких недель до нескольких минут? На вебинаре разберем, как машинное обучение помогает выявлять скрытые атаки, маскирующиеся под легитимную активность, с помощью обнаружения аномалий в поведении, группировке устройств со схожей активностью и автоматической оценке риска для каждого узла сети. Вы узнаете: 🟣как находить скрытые угрозы за минуты вместо недель; 🟣как ML-кластеризация выявляет аномалии в поведении хостов; 🟣как автоматический риск-скоринг определяет наиболее опасные узлы сети; 🟣почему сигнатурные методы бессильны против горизонтального перемещения через RDP, SSH и другие легитимные протоколы. Вебинар будет полезен всем, кто хочет повысить точность обнаружения угроз без увеличения нагрузки на ИБ-команду.   👉 Регистрация

Cisco SD-WAN взломали через CVE-2026-20245 и скрытый root-доступ Mandiant описала атаки на Cisco Catalyst SD-WAN Manager, Controller и Validator. Злоумышленники работали в инфраструктуре поставщика услуг, создавали поддельные peer-соединения и заходили в SD-WAN Manager через vmanage-admin. Cisco ранее говорила об ограниченном числе атак, но механизм раскрыла только сейчас. Корень проблемы в том, что уже авторизованный пользователь мог загрузить подготовленный файл и выполнить команды с максимальными правами. В атаке использовали evil_tenant.csv, который менял /etc/passwd и /etc/shadow, добавлял учётную запись troot и открывал root-доступ. После выгрузки конфигураций атакующие возвращали пароль администратора и чистили следы. Из рекомендаций: обновление Cisco SD-WAN до исправленных выпусков, потому что обходных мер нет. Также стоит проверить peer-соединения, конфигурации и следы учётной записи troot по индикаторам Mandiant. Такая атака опасна не самим фактом компрометации, а быстрым переходом к полному контролю над SD-WAN. #Cisco #SDWAN #Mandiant #Root @ZerodayAlert

Chrome доверился V8, а атакующие получили рабочий вход через HTML Google признала реальную эксплуатацию CVE-2026-11645 и выпустила обновление Chrome. Дыра затрагивала V8 — один из самых «горячих» компонентов браузера, через который проходит JavaScript почти каждой современной страницы. Корень проблемы простой и неприятный. Браузер слишком долго принимал опасную работу с памятью за нормальную, а специально собранная страница могла превратить обычный визит на сайт в запуск кода внутри песочницы. Пользователям нужно не просто дождаться автообновления, а самим проверить актуальную версию и перезагрузить Chrome. Админам лучше проверить парк браузеров централизованно, ведь самый слабый хост в домене зачастую остаётся тем самым удобным входом для злоумышленников. #Chrome #V8 #HTML #0day @ZerodayAlert

Карьерный ускоритель: от CTF к профессии белого хакера Многие заходят в CTF ради интереса, но не всегда понимают, как эти задачи связаны с реальной работой в offensive security. Как превратить регулярное решение тасок в карьерный буст? Разберём на открытом вебинаре 24 июня в 19:00 мск. *ONE TASK — это регулярная практика для студентов бесплатного курса «Профессия Белый Хакер»: участники получают доступ к CTF-таскам, пробуют решить их самостоятельно, а после трёх накопившихся задач приходят на большой разбор. Обсудим: — как анализировать условие и находить зацепки, которые пропускают другие; — как работать с нестандартными системами и архитектурами; — какие навыки из CTF напрямую переходят в работу белого хакера; — почему системное мышление ценится выше, чем знание отдельных тулов. Не отдельные таски, а целый сценарий атаки Мы разберем три CTF-задачи, объединенные в единый сценарий пентеста. Это позволит проследить полный цикл атаки: от первичного доступа до компрометации веб-приложения. Такой формат дает возможность сформировать необходимое пентестеру системное понимание того, как отдельные техники и векторы атак выстраиваются в единую операцию. 🎙 Ведущий — Шмелев Ярослав 🟢Старший вирусный аналитик Kaspersky Lab. 🟢Эксперт по исследованию угроз, тестированию на проникновение, компьютерной криминалистике. 🟢Победитель и призёр CTF-турниров. Покажет не только решение задач, но и ход мыслей специалиста: как искать путь к цели, проверять гипотезы и не тратить часы на ложные догадки.

PixelSmash в FFmpeg бьёт по серверам через «битый» ролик Вредоносный файл не всегда нужно открывать вручную, чтобы он стал вашей головной болью. Медиасервер сам может обработать скачанный видеоролик для создания превью, прочитать метаданные или просто просканировать медиатеку, и именно в такой автоматизации специалисты JFrog нашли уязвимость PixelSmash в FFmpeg. Проблема получила идентификатор CVE-2026-8461 и прячется в декодере MagicYUV, через который FFmpeg обрабатывает часть видеофайлов. Из-за ошибки в расчётах памяти код выделяет под цветовые данные кадра меньше места, чем потом пытается записать, поэтому декодер выходит за пределы буфера. JFrog показала атаку на Jellyfin 10.11.9: вредоносный AVI попал в медиатеку, сервер сам прочитал метаданные через ffprobe, а баг дал выполнить команду. Для запуска кода пришлось отключить ASLR, но даже без этого PixelSmash может уронить приложение или подвесить сервис. Защититься можно путём обновления FFmpeg до версии 8.1.2. #FFmpeg #Jellyfin #PixelSmash #MagicYUV @ZerodayAlert

Gravity SMTP раскрыл ключи почтовых сервисов на 100 тысячах WordPress-сайтов Уязвимость CVE-2026-4020 в Gravity SMTP позволяет без авторизации получить чувствительные данные из настроек почтовых интеграций. Плагин используют примерно 100 тысяч сайтов, включая проекты с Amazon SES, Google, Mailjet, Resend и Zoho. Wordfence уже заблокировала более 17 млн попыток эксплуатации. Проблема сидит в REST API-адресе /wp-json/gravitysmtp/v1/tests/mock-data. При запросе с параметром ?page=gravitysmtp-settings сервер возвращает JSON-отчёт с данными о WordPress, PHP, плагинах, базе и, в худшем случае, ключами почтовых сервисов. Прямой захват сайта такой баг не даёт, но даёт злоумышленникам удобную базу для фишинга и следующей атаки. Рекомендации следующие: обновите Gravity SMTP до версии 2.1.5; смените API-ключи и токены, если сайт работал с уязвимой версией; проверьте логи на запросы к указанному REST API и обращения с IP-адресов из отчёта Wordfence. #GravitySMTP #WordPress #RESTAPI @ZerodayAlert

[Открытый вебинар] Интервью с багхантером ⚡️ Почему один багхантер находит валидные уязвимости, а другой годами получает только дубликаты? Разница в подходе: от выбора программы до коммуникации с triage-командой. Во вторник 23 июня, в 19:00 мск на открытом вебинаре поговорим с опытным багхантером, чтобы понять, какие стратегии работают. ➡️ Регистрация Обсудим: — как устроен рынок Bug Bounty в России сегодня; — как выбрать программу для старта и не тратить недели на поиск багов без результата; — какие ошибки мешают новичкам получать первые выплаты; — какие стратегии используют опытные багхантеры и что реально работает на старте; — когда и зачем автоматизировать разведку и сканирование. Никакого пересказа теории из статей. Только реальные кейсы, разбор ошибок, рабочие подходы и ответы на вопросы участников. Этот вебинар будет полезен: — начинающим багхантерам, которые пробовали искать уязвимости, но не получили результат; — пентестерам, которые хотят монетизировать свои навыки через Bug Bounty; — всем, кто присматривается к offensive security и хочет понять, как выглядит работа багхантера изнутри. Если хочешь разобраться, как находит валидные баги и получают выплаты — приходи.

Чат-бот в Firefox мог тайно переслать данные пользователя атакующему Специалист обнаружил уязвимость в функциях Firefox, которые пересказывают, объясняют и проверяют текст страницы. При активации такой функции браузер передаёт заголовок страницы, фрагмент текста и инструкцию в боковую панель со встроенным чат-ботом, например Claude или Copilot. Вредоносный сайт мог спрятать в заголовке страницы скрытые команды, которые чат-бот воспринимал как указание от самого пользователя. Такой приём относится к атакам с внедрением команд в запросы к ИИ-системам. Mozilla получила сообщение об уязвимости 20 октября 2025 года и обсуждала её исправление вместе с Microsoft вплоть до апреля 2026 года. Компания ограничила длину заголовка страницы, что снижает риск атаки, а полные детали уязвимости раскрыли 16 июня 2026 года. #firefox #уязвимость #ИИ #Claude @ZerodayAlert

Splunk закрывает критическую уязвимость во вспомогательном сервисе PostgreSQL Уязвимость CVE-2026-20253 затрагивает Splunk Enterprise веток 10.0 и 10.2. В июне 2026 года появились сведения об ограниченной эксплуатации проблемы в реальных атаках. Причина — отсутствие проверки подлинности во вспомогательной службе PostgreSQL, через которую можно создавать или обрезать файлы без учётных данных. Из-за этого проблему добавили в каталог известных эксплуатируемых уязвимостей, а федеральные ведомства США обязали устранить проблему в приоритетном порядке. По данным Shadowserver, в открытом доступе находится более 1400 экземпляров Splunk, большинство из них — в Северной Америке и Европе. Splunk рекомендует обновиться до версий 10.4.0, 10.2.4 или 10.0.7, а при невозможности быстрого патча — временно отключить службу PostgreSQL в конфигурации сервера. #splunk #уязвимость #zeroday #cisa @ZerodayAlert

RoguePlanet: раскрыта уязвимость в Защитнике Windows Уязвимость CVE-2026-50656 (с оценкой 7.8 по шкале CVSS) затрагивает Microsoft Malware Protection Engine — ключевой компонент Защитника Windows. Она относится к классу повышения привилегий и позволяет локальному пользователю получить командную оболочку с правами SYSTEM. Microsoft подтвердила, что уязвимость была публично раскрыта, и сообщила о работе над обновлением безопасности. Сроки выхода патча компания пока не назвала. Об уязвимости почти неделю назад сообщил исследователь Chaotic Eclipse. В основе проблемы лежит состояние гонки, а эксплойт срабатывает вне зависимости от того, включена ли защита в реальном времени. Стабильность атаки зависит от конкретной машины — на одних системах исследователь фиксировал стопроцентный результат, на других показатель был заметно ниже. #microsoft #защитник #уязвимость #доступ @ZerodayAlert