Репорты простым языком
رفتن به کانال در Telegram
Самые важные ИБ-репорты со всего мира простым языком.
نمایش بیشتر3 356
مشترکین
اطلاعاتی وجود ندارد24 ساعت
+117 روز
+1330 روز
در حال بارگیری داده...
کانال‌های مشابه
ابر برچسب‌ها
اشارات ورودی و خروجی
---
---
---
---
---
---
جذب مشترکین
اکتبر '26اکتبر '26
اکتبر '26
+28
در 1 کانال‌ها
سپتامبر '26
+68
در 1 کانال‌ها
Get PRO
اوت '26
+66
در 2 کانال‌ها
Get PRO
ژوئیه '26
+45
در 0 کانال‌ها
Get PRO
ژوئن '26
+22
در 0 کانال‌ها
Get PRO
مه '26
+51
در 1 کانال‌ها
Get PRO
آوریل '26
+109
در 2 کانال‌ها
Get PRO
مارس '26
+90
در 1 کانال‌ها
Get PRO
فوریه '26
+124
در 0 کانال‌ها
Get PRO
ژانویه '26
+251
در 1 کانال‌ها
Get PRO
دسامبر '25
+49
در 1 کانال‌ها
Get PRO
نوامبر '25
+49
در 0 کانال‌ها
Get PRO
اکتبر '25
+73
در 1 کانال‌ها
Get PRO
سپتامبر '25
+46
در 0 کانال‌ها
Get PRO
اوت '25
+192
در 3 کانال‌ها
Get PRO
ژوئیه '25
+117
در 12 کانال‌ها
Get PRO
ژوئن '25
+72
در 1 کانال‌ها
Get PRO
مه '25
+120
در 4 کانال‌ها
Get PRO
آوریل '25
+90
در 1 کانال‌ها
Get PRO
مارس '25
+115
در 15 کانال‌ها
Get PRO
فوریه '25
+90
در 0 کانال‌ها
Get PRO
ژانویه '25
+126
در 3 کانال‌ها
Get PRO
دسامبر '24
+60
در 1 کانال‌ها
Get PRO
نوامبر '24
+215
در 2 کانال‌ها
Get PRO
اکتبر '24
+104
در 0 کانال‌ها
Get PRO
سپتامبر '24
+345
در 1 کانال‌ها
Get PRO
اوت '24
+115
در 1 کانال‌ها
Get PRO
ژوئیه '24
+34
در 0 کانال‌ها
Get PRO
ژوئن '24
+58
در 0 کانال‌ها
Get PRO
مه '24
+68
در 0 کانال‌ها
Get PRO
آوریل '24
+21
در 1 کانال‌ها
Get PRO
مارس '24
+42
در 0 کانال‌ها
Get PRO
فوریه '24
+37
در 0 کانال‌ها
Get PRO
ژانویه '240
در 0 کانال‌ها
Get PRO
دسامبر '230
در 1 کانال‌ها
Get PRO
نوامبر '23
+13
در 2 کانال‌ها
Get PRO
اکتبر '23
+35
در 0 کانال‌ها
Get PRO
سپتامبر '23
+90
در 0 کانال‌ها
Get PRO
اوت '23
+103
در 0 کانال‌ها
Get PRO
ژوئیه '23
+153
در 0 کانال‌ها
Get PRO
ژوئن '23
+99
در 0 کانال‌ها
Get PRO
مه '23
+830
در 0 کانال‌ها
| تاریخ | رشد مشترکین | اشارات | کانال‌ها | |
| 14 اکتبر | +2 | |||
| 13 اکتبر | +1 | |||
| 12 اکتبر | 0 | |||
| 11 اکتبر | +3 | |||
| 10 اکتبر | 0 | |||
| 09 اکتبر | +5 | |||
| 08 اکتبر | +6 | |||
| 07 اکتبر | +1 | |||
| 06 اکتبر | +1 | |||
| 05 اکتبر | +1 | |||
| 04 اکتبر | +2 | |||
| 03 اکتبر | +1 | |||
| 02 اکتبر | +1 | |||
| 01 اکتبر | +4 |
پست‌های کانال
WordPress взламывают без логина: свежая CVE-2026-87902 уже добралась до реальных атак
В ядре WordPress нашли критическую цепочку, которая начинается с обычного анонимного запроса и при подходящей конфигурации заканчивается выполнением PHP-кода на сервере.
Речь о CVE-2026-87902 с оценкой 9,2 из 10 по CVSS 4.0. Уязвимы версии WordPress от 4.7.0 до 7.1.1 и соответствующие старые ветки до выхода исправлений.
Проблема находится не в очередном плагине, а в самом WordPress Core — в механизме выбора шаблона страницы. Дважды закодированные фрагменты пути переживают раннюю очистку, затем поздний urldecode() превращает их обратно в ../, и движок может подключить локальный PHP-файл за пределами каталога темы.
Дальше начинается самое интересное: при наличии pearcmd.php, включённом register_argc_argv и доступном на запись временном каталоге LFI превращается в полноценный RCE. Учётная запись, cookie, nonce, уязвимый плагин и клик администратора не нужны.
Это уже не теория. Исследователи зафиксировали сканирование в день выхода патча, а менее чем через сутки — попытки записи PHP-файлов через PEAR. Трафик вырос более чем в десять раз, появились готовые шаблоны автоматизированного сканирования, а 25 сентября уязвимость внесли в каталог CISA KEV как эксплуатируемую в реальных атаках.
В зоне риска особенно те сайты, где:
— в активной или родительской теме есть каталог вида page-*, например page-templates;
— веб-процесс видит подходящий локальный PHP-файл;
— для веб-SAPI включён register_argc_argv;
— PHP-процесс может писать во временный каталог.
Главное действие — немедленно обновить WordPress до 7.1.2, 7.0.6 или исправленной версии своей поддерживаемой ветки. Отключение PEAR или register_argc_argv ломает известную цепочку, но не устраняет исходную ошибку включения файлов.
Полный технический разбор с механикой двойного кодирования, условиями эксплуатации, IoC, поиском следов атаки, матрицей исправленных версий и ссылкой на безопасную лабораторию:
👉 https://eh.su/reports/cve-2026-87902-wordpress-lfi-rce
wordpress #cve #уязвимость #кибербезопасность #rce #infosec
| 2 |  بدون متن... | 782 |
| 3 | 🔥 MikroTrick: пароль не подошёл — а роутер уже твой
В логах — неудачный вход. Следом — новый администратор. Это не магия: две ошибки в MikroTik RouterOS позволяют получить админскую консоль без пароля и SSH-ключа.
CVE-2026-67279 + CVE-2026-86060
💥 Как сломали вход
Первая ошибка сбивает состояние SSH при повторном обмене ключами: сервер открывает канал до завершения аутентификации. Вторая заставляет служебную программу входа принять управляемые клиентом данные за доверенные права доступа.
Получается цепочка:
rekey → канал без входа → подмена прав → админская консоль
🚨 Атаки подтверждены CERT Polska. Свежий подробный разбор опубликован 22 сентября. Под ударом уязвимые устройства, до SSH которых может добраться атакующий. Сильный пароль здесь не спасает.
🔎 Что искать
Неудачные входы с именем -2, неизвестных пользователей с полными правами, подозрительные скрипты и задания планировщика. Flagged: no не доказывает, что взлома не было.
🛡 Что делать
Ограничить SSH доверенной сетью и обновить RouterOS. Минимальные исправления цепочки: 6.49.21 / 7.23.4 / 7.24.2. Но для соседней RSA-уязвимости нужны 7.23.6 / 7.24.3 — выбирайте актуальный исправленный релиз своей ветки. После обновления проверьте конфигурацию: патч не удаляет чужие учётки.
📄 Механика бага, версии, признаки компрометации и план проверки:
https://eh.su/reports/mikrotrick
MikroTik #RouterOS #MikroTrick #CVE202667279 #CVE202686060 #AuthBypass #CyberSecurity | 40 |
| 4 |  بدون متن... | 1 |
| 5 | 🐱 hacker voice: I CAN READ YOUR GITLAB 🔴
🔥 CVE-2026-85706: GitLab отдаёт файлы без логина
CVSS: 10.0 Critical | pre-auth | path traversal | активная эксплуатация
В GitLab CE/EE нашли критическую дыру в API коммитов. Если инстанс был доступен из интернета и на нём есть хотя бы один публичный проект, удалённый атакующий мог отправить один HTTP-запрос и заставить GitLab читать файл вне каталога репозитория.
💥 Чем это опасно:
— можно вытащить конфиги, токены, SSH-ключи и CI/CD-секреты;
— украденные креды превращают «чтение файла» в захват инфраструктуры;
— CISA уже добавила CVE в KEV, а сканирование началось почти сразу после патча.
🛡 Что делать прямо сейчас:
1. Обновить self-managed GitLab минимум до 19.3.2 / 19.2.6 / 19.1.8. Для старых веток GitLab отдельно выпустил 19.0.9 и 18.11.12.
2. Проверить NGINX, Workhorse и api_json.log на POST к /api/v4/projects/.../repository/commits с file.path или metadata.path.
3. Если GitLab был интернет-доступен после 10 сентября — считать секреты потенциально раскрытыми и ротировать их.
📄 Полный технический разбор, IOC, запросы для поиска и план реагирования: https://eh.su/reports/cve-2026-85706-gitlab
Не ищите рабочий exploit в проде. Сначала сохраните логи, закройте дыру и только потом проверяйте следы.
GitLab #CVE #ИБ #DevSecOps #PatchNow | 1 |
| 6 |  بدون متن... | 1 |
| 7 |  🔥 CVE-2026-85706: один GitLab-запрос читает файлы без авторизации
В self-managed GitLab обнаружена критическая уязвимость с CVSS 10.0. Ошибка в Repository Commits API позволяет неаутентифицированному удалённому атакующему выйти за пределы upload sandbox и читать произвольные файлы, доступные процессу GitLab.
Под угрозой — конфигурация, CI/CD-секреты, токены деплоя, настройки интеграций и данные, из которых можно собрать следующую стадию атаки. GitLab добавил CVE в каталог CISA KEV, а публичные сканирования начались вскоре после выхода патчей.
В полном разборе — почему здесь важны одноврем… | 1 |
| 8 | /start | 1 |
| 9 | /start | 12 |
| 10 | test | 9 |
| 11 | test | 2 |
| 12 |  🔥 ЁБАНЫЙ SVG: одна ссылка — и Next.js отдаёт хакеру выполнение команд на сервере!
В Next.js обнаружена критическая уязвимость в next/og и ImageResponse. Если приложение вставляет данные из URL или другого пользовательского ввода в SVG-контент, атрибуты или стили, удалённый атакующий может добиться выполнения произвольного кода в Node.js-процессе.
😱 В чём прикол?
ImageResponse превращает JSX в SVG через библиотеку Satori, а затем рендерит его в PNG. Из-за недостаточного экранирования специальные значения могли интерпретироваться как часть SVG-разметки, а не как обычный текст.
💥 Цепочка атаки:
публичный OG-route → пользовательский параметр → SVG injection → Satori/ImageResponse → image-processing pipeline → JavaScript в Node.js → команды ОС
🚨 Что получает атакующий?
— доступ к .env, API-ключам и токенам;
— пароли от баз данных;
— доступ к внутренним сервисам;
— возможность изменять файлы и конфигурацию;
— выполнение команд с правами Node.js-процесса.
Уязвимы:
— Next.js >=16.2.0 и <16.3.6;
— Node.js-реализация ImageResponse;
— приложения, где пользовательский ввод попадает в SVG.
Edge-реализация ImageResponse этим вектором не затронута. Ветка Next.js 15 не подвержена описанному RCE, но версия 15.5.26 получила дополнительное security hardening.
🛡 Что делать?
1️⃣ Обновить Next.js минимум до 16.3.6.
2️⃣ Пересобрать production artifact и заменить старые контейнеры.
3️⃣ Проверить ImageResponse, opengraph-image, twitter-image и маршруты /api/og.
4️⃣ Убрать пользовательский ввод из SVG content, attributes и styles.
5️⃣ Проверить логи на ошибки Satori, подозрительные запросы к OG-route и дочерние процессы, запущенные от node.
🔗 Расширенное объяснение: https://eh.su/reports/cve-2026-94545-remote-code-execution-v-next-js-next-og-cherez-imageresponse-i-svg-injection
#NextJS #CVE202694545 #RCE #SVG #ImageResponse #Satori #NodeJS #AppSec #CyberSecurity | 1 032 |
| 13 | Обращение к подписчикам
Дорогие подписчики, кто меня поддерживает и верит мне. Я вас очень ценю и уважаю.
Я вчера удалил канал, чтобы не нервировать людей, которым пофиг на меня и на мою жизнь. Возможно скоро меня не станет (меня убьют) поэтому я создал новый канал, который буду вести и там буду публиковать всю информацию, которая меня тревожит. Подписывайтесь.
https://t.me/bughunter_2 | 1 125 |
| 14 | ч | 1 |
| 15 |  📢 Программа VolgaCTF 2026 уже доступна.
Мы опубликовали расписание VolgaCTF 2026!
Заходи на сайт и смотри, какие доклады ждут тебя.
📍 В этом году конференция пройдёт 16 сентября в HolidayHall Samara по адресу: улица Алексея Толстого, 99.
Мы собрали экспертов из топовых IT-компаний и независимых исследователей. Они поделятся самым ценным: реальным опытом, практическими кейсами и свежими инсайдами.
✔️ Сохраняй программу и планируй посещение. | 1 343 |
| 16 |  🔴 Полный разъёб! Один обратный слеш — и Next.js-сервер выполняет команды: критическая RCE на Windows
CVE-2026-75604 | CVSS 9.0 | CWE-22 | аутентификация не требуется
В Next.js обнаружена критическая уязвимость, позволяющая удалённому атакующему без учётной записи выполнить произвольный код на Windows-сервере. Проблема находится в файловом кеше фреймворка и проявляется в приложениях, одновременно использующих Pages Router и App Router без Cache Components.
Корневая причина — различие в обработке путей. Next.js экранировал /, # и ?, но не учитывал литеральный обратный слеш \. Для Linux это обычный символ имени файла, а Windows воспринимает его как разделитель каталогов. В результате последовательности с ..\ могли выйти за пределы каталога incremental cache и обратиться к внутренним build-файлам.
Опубликованная цепочка выглядит так:
cache path traversal → чтение server-reference-manifest.json → утечка AES-ключа Server Actions → подделка bound arguments → React Flight gadget → выполнение JavaScript в Node.js → запуск команды ОС
Особенно опасна утечка .next/server/server-reference-manifest.json. В этом файле находится encryptionKey, которым Next.js защищает замкнутые переменные Server Actions. Получив ключ и идентификатор подходящего closure-bound Server Action из HTML-формы, атакующий может сформировать корректно зашифрованные аргументы и заставить сервер обработать их как доверенные данные.
Для эксплуатации требуется сочетание условий:
- Next.js работает непосредственно на Windows;
- используются Pages Router и App Router;
- Cache Components не включены;
- используется стандартный файловый кеш;
- доступны динамический ISR-маршрут Pages Router и кешируемый App Router route;
- в приложении присутствует совместимый closure-bound Server Action.
Уязвимые версии:
- Next.js >= 13.4 и < 15.5.24;
- Next.js >= 16.0 и < 16.3.3.
Исправлено в 15.5.24 и 16.3.3. Vercel сообщает, что надёжного workaround нет: Windows-развёртывания необходимо обновить и заново собрать приложение.
Для поиска попыток эксплуатации стоит проверить необработанные HTTP-пути на %5C, ..%5C и обращения к /_next/data/, а также коррелировать их с необычными POST-запросами к Server Actions. На уровне хоста критичны дочерние процессы cmd.exe или PowerShell, запущенные от node.exe, и неожиданные исходящие соединения процесса Next.js.
Расширенное объяснение: https://eh.su/reports/cve-2026-75604-unauthenticated-rce-v-next-js-cherez-windows-path-traversal-i-server-actions#editor
#NextJS #CVE202675604 #RCE #PathTraversal #ServerActions #React #NodeJS #AppSec #CyberSecurity | 2 308 |
| 17 |  🔴 Один XML-запрос — и CI/CD-сервер под контролем: критическая RCE в JetBrains TeamCity
CVE-2026-63077 | CVSS 9.8 | CWE-502 | активная эксплуатация
В TeamCity On-Premises обнаружена критическая уязвимость, позволяющая удалённому атакующему без учётной записи выполнить произвольные команды на сервере через HTTP(S). Вектор находится не в обычном веб-интерфейсе, а в протоколе опроса TeamCity Agents.
Причина — ошибочная настройка Java-библиотеки XStream. TeamCity добавлял собственные классы в allowlist десериализации, но не удалял стандартные разрешения XStream для широких иерархий Map, Collection и Throwable. Этого оказалось достаточно, чтобы собрать цепочку объектов и добраться до выполнения кода.
Схема атаки:
регистрация агента → получение session ID → вредоносный XML → XStream gadget chain → HSQLDB → запись JSPWS в webroot → выполнение команды
Цепочка заставляет BasicDataSource открыть встроенную HSQLDB и выполнить SQL из connectionInitSqls. Команда SCRIPT создаёт в каталоге TeamCity файл .jspws, который обрабатывается Apache Jasper как серверный JSP. Код выполняется с правами процесса TeamCity.
Компрометация CI/CD-сервера может раскрыть пароли, VCS- и cloud-токены, ключи подписи и другие секреты, а также позволить изменить сборки и внедрить вредоносный код в выпускаемые артефакты.
Уязвимы все версии TeamCity On-Premises. Исправление доступно в:
- TeamCity 2025.11.7;
- TeamCity 2026.1.3.
Для TeamCity 2017.1+ выпущен security patch plugin, но он закрывает только CVE-2026-63077. TeamCity Cloud уже защищён.
Индикаторы возможной атаки:
- com.thoughtworks.xstream.converters.ConversionException;
- HSQLMetadataStorage$SchemaMismatchException;
- запросы к /app/agents/v1/commands/error;
- неизвестные агенты с именами, начинающимися на scan;
- появление неизвестных .jspws в webroot.
После обновления ForbiddenClassException может означать, что exploit был заблокирован исправленной версией.
CVE уже включена в каталог CISA KEV. Простого обновления недостаточно: интернет-доступные серверы необходимо проверить на компрометацию, а при обнаружении признаков атаки — изолировать, проверить целостность сборок и сменить хранившиеся в TeamCity секреты.
Расширенный репорт: https://eh.su/reports/unauth-rce-v-jetbrains-teamcity-oshibochnyy-xstream-allowlist-otkryvaet-put-k-zahvatu-ci-cd
#TeamCity #JetBrains #CVE202663077 #RCE #CICD #DevSecOps #CyberSecurity | 1 011 |
| 18 |  CVE-2026-72530 TrueConf Server: RCE с правами SYSTEM и заражение участников конференций
🙈⛔️🪲 Критическая уязвимость позволяет удалённому неавторизованному атакующему выйти из изолированной среды TrueConf Server и выполнить код на хостовой ОС. Точка входа доступна через открытый по умолчанию порт 4307/TCP.
В реальных атаках Head Mare использовала связку CVE-2026-72529 и CVE-2026-72530:
4307/TCP → загрузка скрипта → выход из sandbox → SYSTEM → web shell → подмена TrueConf Client
После компрометации атакующие заменяли locale.php, удаляли следы из журналов и устанавливали службы SysExcSvc и SysReadSvc. Затем штатный установщик TrueConf Client подменялся заражённой версией с PhantomCore.
В результате вредоносное ПО могли получить все пользователи, скачавшие клиент с захваченного сервера, включая внешних участников конференций.
Уязвимые версии:
- ниже 5.3;
- 5.3 до 5.3.9;
- 5.4 до 5.4.9;
- 5.5 до 5.5.5.
Что делать: обновить сервер, ограничить 4307/TCP, проверить locale.php, клиентские установщики, службы SysExcSvc/SysReadSvc и устройства, скачивавшие клиент. Публичный рабочий PoC не опубликован, но эксплуатация подтверждена, а CVE включена в CISA KEV.
Расширенный отчет: https://eh.su/reports/trueconf-server-prevraschaet-videokonferentsii-v-kanal-dostavki-malvari-cve-2026-72530
#TrueConf #CVE202672530 #RCE #CyberSecurity #PhantomCore | 1 074 |
| 19 |  🔥 ShieldBreak: Microsoft Defender сам отдаёт хакеру права SYSTEM!
😱 Microsoft подтвердила новую zero-day уязвимость CVE-2026-69414 в движке Malware Protection Engine. Она позволяет обычному локальному пользователю превратиться в NT AUTHORITY\SYSTEM — получить максимальные права в Windows.
CVSS: 7.8 High. Публичный PoC уже доступен.
💥 В чём прикол?
ShieldBreak — это полный обход исправления для предыдущей дыры RoguePlanet (CVE-2026-50656). Microsoft закрыла старый способ атаки в июле, но исследователь Nightmare Eclipse нашёл новый путь к тому же результату.
То есть Windows может быть полностью обновлена, а повышение до SYSTEM всё равно работает. 🤯
🚨 Что получает атакующий?
- доступ к системным файлам и реестру;
- возможность отключать средства защиты;
- кражу учётных данных;
- установку драйверов, руткитов и бэкдоров.
Уязвимость не даёт первоначальный удалённый доступ: злоумышленнику сначала нужно запустить код от обычного пользователя. Зато после этого ShieldBreak превращает ограниченную учётку в полный контроль над системой.
🧪 Автор PoC заявляет об успешном тестировании на актуальных Windows 11 25H2, Canary и Windows Server 2025. Windows 10 также считается уязвимой.
🛡 Что делать?
Официального патча пока нет — Microsoft только готовит обновление.
- Не отключайте Defender: это создаст ещё больше рисков.
- Ограничьте запуск неизвестных программ и скриптов.
- Используйте AppLocker/WDAC и принцип минимальных привилегий.
- Следите за неожиданными процессами с правами SYSTEM.
- Установите исправление сразу после его выхода.
🔗 Расширеный разбор: https://eh.su/reports/shieldbreak-microsoft-defender-pomogaet-atakuyuschemu-stat-system
#Windows #MicrosoftDefender #ShieldBreak #CVE #ZeroDay #PrivilegeEscalation #SYSTEM #CyberSecurity #Infosec #critical_bug | 1 145 |
| 20 |  Искал уязвимости ВКонтакте и нашел пост с 1.2 миллионами комментариев. Для меня остается загадкой, что это за пост и зачем там столько комментариев.
https://vk.ru/wall-143968792_10033449 | 797 |
