SecAtor
Открыть в Telegram
Руки-ножницы российского инфосека. Для связи - mschniperson@mailfence.com
Больше📈 Аналитический обзор Telegram-канала SecAtor
Канал SecAtor (@true_secator) языкового сегмента Русский является активным участником. Сейчас сообщество объединяет 42 179 подписчиков, занимая 3 172 место в категории Технологии и приложения и 14 910 место в регионе Россия.
📊 Показатели аудитории и динамика
С момента создания невідомо проект демонстрирует стремительный рост, собрав аудиторию из 42 179 подписчиков.
Согласно последним данным от 06 ноября, 2026, канал показывает стабильную активность. За последние 30 дней изменение числа участников составило 383, а за последние 24 часа — -1, при этом общий охват остаётся высоким.
- Статус верификации: Не верифицирован
- Уровень вовлечённости (ER): Средний показатель вовлечённости аудитории составляет 15.95%. В первые 24 часа после публикации контент обычно набирает 12.67% реакций от общего числа подписчиков.
- Охват публикаций: В среднем каждый пост получает 6 726 просмотров. В течение первых суток публикация набирает 5 344 просмотров.
- Реакции и взаимодействия: Аудитория активно поддерживает контент: среднее количество реакций на один пост — 0.
- Тематические интересы: Контент сосредоточен на ключевых темах, таких как cve-2026, github, trivy, кража, обнаружение.
📝 Описание и контентная политика
Автор описывает ресурс как площадку для выражения субъективного мнения:
“Руки-ножницы российского инфосека.
Для связи - mschniperson@mailfence.com”
Благодаря высокой частоте обновлений (последние данные получены 07 ноября, 2026) канал поддерживает актуальность и высокий уровень охвата публикаций. Аналитика показывает, что аудитория активно взаимодействует с контентом, что делает его важной точкой влияния в категории Технологии и приложения.
42 179
Подписчики
-124 часа
+717 дней
+38330 дней
Загружаем данные
Похожие каналы
Облако тегов
Входящие и исходящие упоминания
---
---
---
---
---
---
Привлечение подписчиков
ноябрь '26нояб. '26
ноябрь '26
+90
в 4 каналах
октябрь '26
+507
в 14 каналах
Get PRO
сентябрь '26
+363
в 6 каналах
Get PRO
август '26
+314
в 9 каналах
Get PRO
июль '26
+360
в 14 каналах
Get PRO
июнь '26
+343
в 15 каналах
Get PRO
май '26
+386
в 7 каналах
Get PRO
апрель '26
+350
в 10 каналах
Get PRO
март '26
+309
в 11 каналах
Get PRO
февраль '26
+433
в 14 каналах
Get PRO
январь '26
+389
в 13 каналах
Get PRO
декабрь '25
+443
в 14 каналах
Get PRO
ноябрь '25
+414
в 11 каналах
Get PRO
октябрь '25
+304
в 11 каналах
Get PRO
сентябрь '25
+306
в 15 каналах
Get PRO
август '25
+429
в 11 каналах
Get PRO
июль '25
+451
в 25 каналах
Get PRO
июнь '25
+255
в 12 каналах
Get PRO
май '25
+402
в 17 каналах
Get PRO
апрель '25
+351
в 13 каналах
Get PRO
март '25
+579
в 39 каналах
Get PRO
февраль '25
+377
в 12 каналах
Get PRO
январь '25
+261
в 16 каналах
Get PRO
декабрь '24
+667
в 21 каналах
Get PRO
ноябрь '24
+565
в 19 каналах
Get PRO
октябрь '24
+652
в 26 каналах
Get PRO
сентябрь '24
+914
в 26 каналах
Get PRO
август '24
+600
в 19 каналах
Get PRO
июль '24
+496
в 14 каналах
Get PRO
июнь '24
+485
в 18 каналах
Get PRO
май '24
+504
в 15 каналах
Get PRO
апрель '24
+604
в 20 каналах
Get PRO
март '24
+722
в 18 каналах
Get PRO
февраль '24
+769
в 30 каналах
Get PRO
январь '24
+661
в 13 каналах
Get PRO
декабрь '23
+1 145
в 20 каналах
Get PRO
ноябрь '23
+817
в 35 каналах
Get PRO
октябрь '23
+571
в 26 каналах
Get PRO
сентябрь '23
+458
в 0 каналах
Get PRO
август '23
+1 137
в 0 каналах
Get PRO
июль '23
+789
в 0 каналах
Get PRO
июнь '23
+618
в 0 каналах
Get PRO
май '23
+682
в 0 каналах
Get PRO
апрель '23
+442
в 0 каналах
Get PRO
март '23
+953
в 0 каналах
Get PRO
февраль '23
+554
в 0 каналах
Get PRO
январь '23
+775
в 0 каналах
Get PRO
декабрь '22
+700
в 0 каналах
Get PRO
ноябрь '22
+600
в 0 каналах
Get PRO
октябрь '22
+705
в 0 каналах
Get PRO
сентябрь '22
+553
в 0 каналах
Get PRO
август '22
+359
в 0 каналах
Get PRO
июль '22
+1 512
в 0 каналах
Get PRO
июнь '22
+440
в 0 каналах
Get PRO
май '22
+1 277
в 0 каналах
Get PRO
апрель '22
+1 378
в 0 каналах
Get PRO
март '22
+1 618
в 0 каналах
Get PRO
февраль '22
+423
в 0 каналах
Get PRO
январь '22
+1 212
в 0 каналах
Get PRO
декабрь '21
+1 356
в 0 каналах
Get PRO
ноябрь '21
+608
в 0 каналах
Get PRO
октябрь '21
+863
в 0 каналах
Get PRO
сентябрь '21
+2 094
в 0 каналах
Get PRO
август '21
+1 022
в 0 каналах
Get PRO
июль '21
+485
в 0 каналах
Get PRO
июнь '21
+336
в 0 каналах
Get PRO
май '21
+879
в 0 каналах
Get PRO
апрель '21
+1 034
в 0 каналах
Get PRO
март '21
+680
в 0 каналах
Get PRO
февраль '21
+1 450
в 0 каналах
Get PRO
январь '21
+627
в 0 каналах
Get PRO
декабрь '20
+12 266
в 0 каналах
| Дата | Привлечение подписчиков | Упоминания | Каналы | |
| 07 ноября | +5 | |||
| 06 ноября | +5 | |||
| 05 ноября | +13 | |||
| 04 ноября | +17 | |||
| 03 ноября | +18 | |||
| 02 ноября | +19 | |||
| 01 ноября | +13 |
Посты канала
Продолжаем отслеживать наиболее трендовые угрозы, отметим следующие:
1. Недавно обнаруженная уязвимость в OpenSSH и musl, получившая название sshole, позволяет злоумышленникам входить в некоторые учетные записи Alpine Linux и другие учетные записи Linux на основе musl, настроенные на блокировку аутентификации по паролю, просто введя пароль слишком большого размера.
Уязвимость затрагивает только серверы OpenSSH, работающие на дистрибутивах Linux, использующих библиотеку musl на языке C, включая Alpine Linux, OpenWrt, Buildroot и Yocto, при определенных настройках аутентификации.
Исследователь Озгун Культекин обнаружил и опубликовал подробности об уязвимости. Недостаток существовал с 2016 года и связан с тем, как OpenSSH обрабатывает ошибки проверки паролей в системах, использующих библиотеку musl на языке C.
2. RT-Solar обнаружила новую технику под названием AppTrickster, которая использует уязвимость AppLocker для предотвращения запуска EDR и других инструментов безопасности.
3. Исследователи Endor Labs обнаружили уязвимость в Docker Sandboxes, которая позволяет агентам ИИ выходить за пределы установленных границ и получать доступ к другим данным.
4. Bitdefender раскрыла метод создания установочных пакетов приложений Android, который может привести к зацикливанию устройства. Основная причина кроется в том, как Android обрабатывает данные, хранящиеся внутри ZIP-архива установочного пакета приложения.
Некорректные данные могут заставить ОС Android сопоставить приложение с областью памяти, которую она не выделяла, и вызвать бесконечный цикл сбоев. Цикл сбоев также запускается после перезагрузки телефона и даже при переводе устройства в безопасный режим.
5. Zyxel выпустила обновления для устранения активно используемой 0-day в коммутаторах серии GS1900. Она использовалась с июня. Злоумышленники применили её для развертывания бэкдора JITTERLY и руткита SIXZUT почти на 1000 устройствах.
По данным Binarly, первоначальное обновление не устранило CVE-2026-107441, которая продолжала работать. Она была частью более масштабной кампании, связанной с группой Red Heron, которая нацелена на множество других веб-технологий для кражи данных.
6. Step Security опубликовала отчет об ошибке в установщике APT, которая может позволить злоумышленникам, использующим атаку «человек посередине», получить доступ с правами root в системах Debian и Ubuntu.
7. SonicWall не будет выпускать исправления для двух уязвимостей в глобальной платформе управления межсетевыми экранами Global Management System (GMS). Они позволяют злоумышленникам читать файлы и выполнять SQL-инъекции. SonicWall прекратила поддержку этой платформы в июне 2025 года.
8. Злоумышленники используют недавно исправленную уязвимость состояния гонки в популярной CMS WordPress. По данным Picus Security, ошибка позволяет злоумышленнику заменить конфигурационный файл веб-сайта в процессе обновления. Она была исправлена на прошлой неделе. CISA добавила её в базу данных KEV на этой неделе.
9. Китайская QiAnXin обнаружила пассивный бэкдор, предназначенный для работы внутри Control Web Panel, бесплатной панели управления серверами с открытым исходным кодом для CentOS и других дистрибутивов Linux.
10. Крупнейшие дистрибутивы Linux, такие как Debian, Red Hat и SUSE, выпустили исправления для RCE-атаки (CVE-2026-98432) в сетевом стеке TCP ядра Linux. Anthropic обнаружила ошибку в прошлом месяце, но исправления начали распространяться только сейчас.
Уязвимость затрагивает все версии ядра, выпущенные за последнее десятилетие, начиная с версии 4.4. Canonical все еще работает над исправлением для Ubuntu.
11. OpenAI исправила ошибку, которая могла позволить злоумышленникам обойти пользовательскую песочницу ChatGPT и захватить другие аккаунты.
| 2 | Исследователи Positive Technologies продолжают серию отчетных материалов, на этот раз подвели итоги проектов по расследованию инцидентов.
В отчете подведены итоги работы PT ESC IR за период с 4 квартала 2025-го по 3 квартал 2026 года. В его основе - более 140 проектов по расследованию инцидентов и ретроспективному анализу в России, а также в Латинской Америке и на Ближнем Востоке.
Что нового в этом отчете:
- Новые группировки, впервые обнаруженные PT ESC IR: APT10051, Stingy Basilisk и Chewbacca.
- Атаки через TrueConf, Zimbra и ViPNet.
- Данные по результатам ретроспективного анализа (Compromise Assessment).
- Информация по источникам данных для DFIR.
Из главного:
- Приложения на периметре по-прежнему являются главными исходными векторами проникновения. В 50,8% инцидентов исходной точкой проникновения были веб-приложения, опубликованные на периметре. Поверхность атаки расширяется: к ней добавились почтовые серверы Zimbra и сервер видеоконференцсвязи TrueConf.
- Доля доступных из интернета служб, не относящихся к веб-сервисам, выросла до 14,9%, а доля доверительных отношений, включая компрометацию через защищенную сеть ViPNet, снизилась до 14,9% (было 28%).
- В 49,3% компаний выявлены следы присутствия известных APT-группировок - всего их идентифицировано 17. Еще в 16,5% компаний выявлены следы публично не идентифицированных группировок.
- Доля проектов, в которых злоумышленникам удалось нарушить внутренние бизнес-процессы из-за недоступности части инфраструктуры или критически важного сервиса, в том числе из-за шифрования и уничтожения данных, - 54,1%. В 34,2% компаний выявлены злоумышленники категории Cybercrime, нацеленные на шифрование и уничтожение данных.
- Причины, поспособствовавшие успеху развития атак, базовые и не меняются со временем. Главные из них - устаревшие версии ОС и ПО без выстроенного процесса обновления (30%), отсутствие 2Fa (25%), недостаточная сегментация сети (24%).
- Отдельная и стабильно пользующаяся спросом категория работ - ретроспективный анализ: проверка инфраструктуры на присутствие следов прошлых или текущих инцидентов. За отчетный период на него пришлась пятая часть проектов.
- Скорость реагирования PT остается высокой. Медианное время перевода инцидента в контролируемую фазу составляет двое суток, а медианное время от начала расследования до завершения работ по проекту, связанных с расследованием (TTR), - 4,5 дня против 6,5 дня в предыдущем отчетном периоде.
- При этом по сравнению с предыдущим отчетным периодом злоумышленники дольше оставались незамеченными: медианный TTD - 14 дней (было 9). | 5 519 |
| 3 | Исследователи Лаборатории Касперского в деталях разобрали бесфайловый взлом SharePoint группой Storm-2603.
В 2025 году несколько разных групп эксплуатировали CVE-2025-53770 и CVE-2025-53771, известные как ToolShell, в локальных версиях Microsoft SharePoint с целью удаленного выполнения кода посредством специально сформированных HTTP-запросов.
Одна из них после успешной эксплуатации уязвимости развернула в целевых системах шифровальщик. Как полагает Microsoft, за этой активностью стоит Storm-2603.
Компания осторожно оценивает мотивацию группы, однако отмечает, что ранее Storm-2603 разворачивала программы-вымогатели Warlock и LockBit после активной эксплуатации уязвимостей в локальных версиях SharePoint.
В декабре ретроспективный анализ позволил выявить активность, которая, по оценке ЛК, соответствует TTPs группы Storm-2603.
Исследователи наблюдали аналогичную активность по эксплуатации SharePoint, а также модуль для нейтрализации EDR-решений, связанный с Warlock, и неудачные попытки запуска самого шифровальщика.
Атакующий использовал рабочий процесс IIS в качестве моста к инфраструктуре заказчика в оперативной памяти, развернув механизмы доступа и управления в w3wp.exe без записи каких-либо данных на диск.
Хотя постэксплуатационные действия оставили на диске определенные артефакты, этот «мост», обеспечивающий злоумышленникам доступ, продолжал работать исключительно в оперативной памяти.
Согласно другим задокументированным инцидентам, Storm-2603 использует публичные уязвимости в почтовых шлюзах периметра для получения первоначального доступа с последующим развертыванием фреймворка Velociraptor с высокими привилегиями и установкой устойчивых зашифрованных туннелей с помощью коммерческого ПО для удаленного управления для проведения вторичного горизонтального перемещения.
Это соответствует поведенческим паттернам на этапе после компрометации, которые ЛК также наблюдала в инциденте. В сочетании с эксплуатацией ToolShell это позволило со средней степенью уверенности считать описываемый инцидент активностью группы Storm-2603.
Главный урок из описанного в отчете инцидента: компрометация доступного из интернета сервера SharePoint может привести к полностью бесфайловому выполнению кода непосредственно в доверенной среде приложения.
Storm-2603 обошлась без традиционного дроппера, закрепления посредством службы или открытой конечной точки для связи с командным сервером.
Вместо этого злоумышленники развернули веб-шелл внутри процесса w3wp.exe, откуда могли координировать туннелирование, повышение привилегий, доступ к учетным данным и дальнейшее перемещение по сети.
Обнаружение подобных угроз должно выходить за рамки поиска файловых веб-шеллов и фокусироваться на поведении среды выполнения: аномальной активности w3wp.exe, неожиданных исходящих соединениях, принуждении к аутентификации через RPC (RPC coercion), имперсонации токенов, а также появлении инструментов удаленного администрирования или DFIR после компрометации приложения.
Чтобы разработать надлежащие меры реагирования, специалистам следует восстанавливать цепочки исполнения и временные связи на уровнях приложений, хостов и идентификации, сохранять данные памяти и телеметрию IIS, а также сопоставлять низкосигнальную разведку с последующей привилегированной активностью, вместо того чтобы оценивать события изолированно.
Подтвержденный факт эксплуатации SharePoint с выполнением кода требует изоляции хоста, поиска признаков закрепления, ротации учетных данных и раскрытого ключа MachineKey, а также проведения расследования на основе TTPs, а не локального устранения последствий, ограниченного первичным эксплойтом или известными индикаторами компрометации.
Технические подробности атаки с хронологией, индикаторами и указанием на то, что должна обращать внимание ИБ-команда - в отчете. | 4 932 |
| 4 | Кейс с холодильными системами обрастает новыми деталями. На этой неделе хакеры пытались повысить температуру в холодильниках банков крови по всей Франции.
Взлом не удался из-за того, как сотрудники вовремя заметили внезапное повышение температуры и оперативно вмешались в процесс, восстановив нормальный уровень.
Если верить Le Monde, Французское агентство по контролю за качеством крови заявляет, что в результате атаки ни один пакет с плазмой не был поврежден. Официально, но что там случилось на самом деле - вряд ли расскажут.
Тем временем только лишь в Ahold Delhaize ожидают убытков в размере 250 млн. евро после кибератак на сеть супермаркетов Ahold в Бельгии, Люксембурге, Нидерландах и Румынии в прошлом месяце, вызвавшей разморозку холодильников по сети. И это в дополнение к миллионам евро - убыткам от испорченной продукции после атак.
Сонласно BBC и Cybernews, на днях ответственность за взлом холодильников по всей Европе взяли на себя активисты из NoName057 и Z-Pentest.
Пока лишь это заявления, но многие в отрасли им верят. По крайней мере, Cyber Pulse отметили, что кибератаки на морозильные камеры пока никому не приписаны. Но «методы выполнения и цели очень напоминают предыдущие атаки Z-Pentest».
В общем, в ФБР тоже обеспокоились и выпустили отдельное предупреждение для американских компаний о необходимости обеспечить безопасность своих промышленных холодильных систем в свете взломов в Европе.
Насколько сработает, будем посмотреть. | 5 129 |
| 5 |  • Красивое: нашел интересный инструмент, который называется Netviz! Тулза предназначена для проектирования сетевой архитектуры.
• Соль в том, что мы можем совершенно бесплатно и не выходя из браузера создать схему из серверов, маршрутизаторов, коммутаторов, различных контейнеров, баз данных и т.д.
• Проект написан на TypeScript с использованием Vite и Tailwind. Распространяется под лицензией MIT, что позволяет легко модифицировать его под себя (в случае необходимости).
➡ Забираем с GitHub: https://github.com/ShadowArcanist/netviz
• В качестве дополнительного материала ⬇
➡Курс: Основы документирования сетей - на мой взгляд, это очень редкая тема, которую мало кто освещает. Курс научит вас рисовать красивые схемы на примере типового дизайна сети.
➡Не забывайте по мой репозиторий, в котором собрана подборка материала для изучения сетей (от курсов и книг, до шпаргалок и сообществ): https://github.com/SE-adm/Awesome-network
S.E. ▪️ infosec.work ▪️ VT | 4 891 |
| 6 | На протяжении последних лет на канале SecAtor выходили материалы с отчетами ведущих российских инфосек-компаний в отношении хакерской группы VasyGrek (Fluffy Wolf). В частности, активности и инструментарии группировки анализировали исследователи F6, Позитивы и Бизоны.
Больше, по всей видимости, материалов не будет.
Дело в том, что российским силовикам совместно с Лабораторией Касперского удалось выследить хакеров и поставить точку в их деятельности.
Участники VasyGrek подозреваются в хищении денежных средств со счетов организаций, а также в создании, распространении и использовании вредоносного ПО. Злоумышленники специализировались на целевых фишинговых атаках, нацеленных на финансовые и бухгалтерские сервисы.
Они рассылали потенциальным жертвам фишинговые письма со ссылками на архивы, замаскированные под бухгалтерские документы. Внутри находились вредоносные установочные файлы.
При их запуске открывался файл-приманка, создававший видимость работы с обычным документом. Одновременно запускался легитимный процесс, в который загружался бэкдор, написанный на Golang, который позволял удалённо выполнять команды на заражённом устройстве.
Злоумышленники также использовали многоступенчатые цепочки заражения. Они использовали дропперы на Rust для установки бэкдора PureRAT, который закреплялся в системе и позволял удалённо управлять заражённым устройством.
В 2025-2026 годах арсенал группы также пополнился загрузчиком PowerLoader, использующим методы обхода защитных решений, и шифровальщиком Pay2Key.
Кроме того, возможности PureRAT были расширены с помощью плагина PluginRemoteDesktop, позволяющего удалённо управлять рабочим столом заражённого устройства.
Только за первые три квартала 2026 года эксперты Лаборатории Касперского зафиксировали свыше 100 попыток атак группы на организации в России, Беларуси и Казахстане. При этом деятельность группировки также хорошо известна правоохранительным органам США и Европы.
В результате оперативно-розыскных мероприятий сотрудники полиции установили личности всех участников группы. По адресам фактического проживания фигурантов и в их офисных помещениях были проведены обыски.
Помимо изъятия компьютерной техники, средств связи и других артефактов была ликвидирована инфраструктура хакерской группировки, а следователями ГУ МВД России по г. Москве возбуждены уголовные дела по ч. 4 ст. 158, ч. 2 ст. 273 и ч. 1 ст. 173.1 УК РФ.
Предполагаемый организатор был помещен под домашним арест, в отношении двоих его сообщников избрана мера пресечения в виде подписки о невыезде. Вероятно, задержанные согласись сотрудничать и начали давать признательные показания. | 5 744 |
| 7 | Позитивы выкатили увесистый отчет с оценками влияния атак вымогателей и вайперов на российский бизнес за второе полугодие 2025 года - первое полугодие 2026 года.
Среди основных положений отметим следующие:
- Ransomware и вайперы представляют серьезную угрозу для России: 29% успешных кибератак были совершены с применением шифровальщиков, а в 9% инцидентов использовались вайперы.
- Злоумышленники находились в инфраструктуре жертвы от двух месяцев до года, прежде чем переходили к активной фазе шифрования данных.
- Производственные и ИТ-компании подвергались повторным кибератакам ransomware с интервалом от двух недель до шести месяцев.
- По итогам 2025 года доля инцидентов с применением ransomware на российские организации выросла до 33%. Доля атак с применением вайперов в 2025 году составила 9%.
- 44% успешных кибератак с применением ransomware совершалось хактивистами, еще 44% пришлось на финансово мотивированных атакующих.
- Наибольшее число успешных кибератак пришлось на финансово мотивированные группировки VasyGrek, Bearlyfy и C77L, а также на хактивистов BO Team, «Хакерский Кiт» и 4B1D. Чаще всего применялись семейства LockBit (32%), Pay2Key (25%) и Babuk (19%). На C77L и GenieLocker пришлось еще по 9% инцидентов.
- 39% кибератак на малый и средний бизнес совершено с применением ransomware. Среди атак на крупный российский бизнес в каждой четвертой атаке применялись ransomware. Доля инцидентов с участием вайперов в обоих сегментах составила по 8%.
- В некоторых отраслях атаки, направленные на шифрование данных, вымогательство и саботаж, составляют значительную часть киберугроз. Доля атак вымогателей в промышленности составила 30%, среди ИТ - 38%, в транспорте и торговле - по 43%. Наибольшие доли кибератак вымогателей отмечены в сферах услуг и телекоммуникаций - 67% и 71% соответственно.
- Наибольшая доля успешных кибератак вымогателей и вайперов, ориентированных на малый и средний бизнес, была направлена на промышленные и ИТ-компании - по 17% инцидентов. На транспортные компании и сферу услуг пришлось по 9% инцидентов. Еще 7% затронули небольшие региональные телекоммуникационные компании.
- Наибольшее число инцидентов, затронувших крупный бизнес, пришлось на промышленные предприятия - 39% успешных кибератак. На втором месте ритейл и e-commerce - 15% инцидентов, крупные транспортные предприятия - 7% атак.
- Ransomware использовались в 15% атак на некоммерческие организации. Наибольший интерес они представляют для хактивистов (15% кибератак). Только в 6% инцидентов были зарегистрированы признаки финансово мотивированных атакующих.
- Фишинг и социнженерия - основные методы проникновения в инфраструктуру: 3 из 5 кибератак как на малый и средний бизнес (60%), так и на крупные предприятия (61%). Среди некоммерческих организаций каждая вторая кибератака начиналась с фишингового письма.
- К эксплуатации уязвимостей атакующие чаще всего прибегали в атаках на крупный бизнес (30%) и некоммерческие организации (31%). В атаках на малый и средний бизнес этот метод использовался в 20% атак, уступая компрометации учетных данных (27%). В атаках на крупный бизнес на компрометацию учетных данных пришлось 22%. Через доверенных контрагентов и цепочки поставок совершались 7% атак на крупный бизнес и 8% на некоммерческие организации.
- В результате атак ransomware и вайперов крупные российские организации несли убытки в размере от 50 млн до 1,5 млрд руб. В пересчете на проценты от 0,1% до 1,5% от годовой выручки. Операционные потери и расходы на восстановление в среднем составляют 135 млн руб.
- 98% всех кибератак привели к нарушению основной деятельности. В отдельных случаях наличие резервных копий позволяло восстановить системы за несколько дней, в то время как многие компании тратили до двух месяцев на восстановление инфраструктуры и ключевых бизнес-процессов.
- В 48% атак с применением ransomware и вайперов произошла утечка информации: персональных данных (26%), коммерческой тайны (26%), учетных данных (18%) и переписки (14%). | 6 439 |
| 8 | Исследователи Лаборатории Касперского изучили боевые возможности CyberStrikeAI в ходе расследования реальных атак на организации образовательного сектора в нескольких странах Африки и Латинской Америки.
В рамках проактивного мониторинга угроз ЛК задетектила вредоносную кампанию с использованием агентов C2, управляемых ИИ. При этом ключевую роль на этапе постэксплуатации сыграла платформа CyberStrikeAI.
Это платформа с открытым исходным кодом, в которой оркестратор LLM на сервере С2 планирует действия, подбирает инструменты и генерирует команды, в то время как имплантат выполняет их на скомпрометированных хостах.
Используя CyberStrikeAI, злоумышленникам удалось перейти от разведки к полной компрометации домена. Как отмечают в ЛК, это одно из первых публичных описаний взлома с использованием языковой модели в реальных условиях.
Обнаруженная ЛК кампания наглядно демонстрирует эволюцию роли ИИ в арсенале злоумышленников: до недавнего времени языковые модели использовались преимущественно на подготовительных этапах - для написания фишинговых писем, отладки кода или поиска уязвимостей.
Теперь же эффективно внедряются в самое ядро атаки, автоматизируя действия на каждом этапе, включая выполнение полезной нагрузки, закрепление на хосте, обнаружение, горизонтальное перемещение, а также сбор и эксфильтрацию данных.
Постэксплуатация - этап, который традиционно требовал ручной работы опытного оператора, - играет здесь особенно важную роль.
Ключевым моментом схемы с задействованием фреймворка CyberStrikeAI, стало то, что имплантат перестаёт быть простым инструментом для выполнения команд оператора.
Решения распределяются между двумя уровнями: оператор определяет задачу в общих чертах, а модель определяет, как её выполнить - в частности, какие команды отправить хосту и в какой последовательности.
Таким образом, стратегическое планирование остаётся за человеком, выбор технических шагов делегируется модели, а имплантат выполняет решения модели.
В технические детали погружаться не будем: как эта схема сработала на практике, включая описание цепочки действий злоумышленника, которую удалось восстановить в ходе расследования инцидента, настоятельно рекомендуем ознакомиться в первоисточнике. | 5 564 |
| 9 | Хакеры массово захватывают основные учетные записи пользователей электромобилей Li Auto в России, блокируя доступ владельцев к их автомобилям и вымогают деньги за восстановление контроля над транспортными средствами.
Данные об атаках подтвердил Александр Расфайри, соучредитель автомобильного клуба Ли Авто. Он утверждает, что взломы подтвердили как минимум 20 владельцев автомобилей, но число угнанных машин, вероятно, намного больше, если учитывать тех, кто не состоит в клубе.
Большинство владельцев угнанных автомобилей использовали китайские eSIM-карты, предоставленные сервисом eSender и импортерами автомобилей, для регистрации основных автомобильных аккаунтов.
Предполагается, что хакеры используют идентификационные номера автомобилей (VIN) компании Li Auto, которые должны быть конфиденциальными, но попали в сеть в результате различных утечек данных.
Они ищут просроченные номера eSender eSIM, связанные с учетными записями Li Auto, перерегистрируют eSIM и перерегистрируют автомобили на новые учетные записи, после чего создается новый главный цифровой ключ для взаимодействия с автомобилем.
Затем злоумышленники блокируют двери и двигатель, чтобы предотвратить использование автомобиля, и связываются с владельцами, требуя выкуп за восстановление доступа к автомобилям и предоставление нового цифрового ключа.
Это уже второй случай угона автомобилей Li Auto таким способом, после первой волны подобных инцидентов в июле прошлого года. При этом в прошлом году хакеры требовали более 3000 долл. за разблокировку автомобилей, но теперь снизили свои требования до 500-600 долл.
Производитель осведомлен об атаках и думает над способом регистрации основных учетных записей автомобилей с использованием адресов электронной почты, а также над устранением необходимости в китайском номере телефона для автомобилей, экспортируемых за границу. | 7 581 |
| 10 | Нет текста... | 5 639 |
| 11 | В рамках новой атаки на цепочку поставок пользователи Cursor стали жертвами вредоносных версий расширения Claude Code от Anthropic.
Инцидент произошёл 29 октября и затронул версии 2.1.312 и 2.1.313 расширения anthropic.claude-code, которые размещались в магазине расширений Cursor VS Code примерно 11 часов.
Расширение для пользователей macOS и Windows содержало код JavaScript, который запускался при загрузке модулей для установления обратного SSH-туннеля.
Как отмечает Кевин Бомонт, вредоносные версии могли быть загружены примерно на 5000 системах разработчиков.
При этом модифицированные версии расширений не были разработаны Anthropic и не были опубликованы в Microsoft Visual Studio Marketplace, Open VSX или реестре NPM.
Злоумышленник использовал доступ к маркетплейсу Cursor для публикации модифицированной копии расширения Claude Code. Во избежание путаницы Anthropic обновила свое легитимное расширение Claude Code до версии 2.1.314.
Cursor достаточно быстро удалила модифицированное расширение Claude Code из магазина после его обнаружения и приостановила работу торговой площадки для расследования инцидента. При этом не обнаружила других вредоносных расширений, тем не менее сменила все ключи.
Модифицированные версии расширения содержали функционал JavaScript, который выполнялась во время загрузки модуля для сбора информации о хосте, изменения файлов и выполнения команд операционной системы.
Как сообщает Microsoft, загрузчик пытался установить ключ SSH, включить SSH, создать обратный туннель и обеспечить сохранение. После этого с помощью отложенного обратного вызова предпринималась попытка отправить сведения о хосте.
Код собирал такую информацию, как имя хоста, имя пользователя, ОС, архитектуру системы, рабочий каталог и глобальный адрес электронной почты Git, а также развертывал скрипты, специфичные для платформы, и конфигурации запуска для обеспечения постоянного доступа.
По данным Cursor, поскольку для включения локальной службы SSH требуются права администратора, а расширение не обладает ими в большинстве систем macOS и Windows, этот шаг не удался, что помешало злоумышленникам войти в систему через туннель.
Cursor выпустила скрипт для детектирования заражения, а также IOCs для выявления потенциальных угроз безопасности в различных средах.
Пользователям следует как можно скорее удалить вредоносные версии расширений.
Однако, как отмечают в Cursor, необходимо иметь в виду, что удаление расширения может быть недостаточным - полезная нагрузка создает автономные скрипты обеспечения постоянного присутствия. | 6 365 |
| 12 | Исследователи VulnCheck отмечают, что критическая уязвимость в Node-RED используется в атаках.
Причем с одного и того же IP фиксировалось сразу несколько атак с целью развертывания различных вредоносных ПО, включая бота под управлением Linux и веб-оболочки.
Node-RED представляет собой инструмент программирования с низким уровнем кодирования и пошаговым управлением потоками, который поддерживает создание событийно-ориентированных приложений с помощью браузерного редактора.
Используется в отраслевых решениях, в том числе коммерческих устройствах ICS/OT.
CVE-2026-58115 (CVSS 10/10) связана с отсутствием аутентификации в HTTP-интерфейсе Node-RED, позволяя злоумышленникам получить доступ к программным узлам, способным выполнять системные команды.
Siemens сообщила о ней 11 августа, после того как обнаружила уязвимость в своих устройствах SIMATIC IoT2050 Advanced, работающих под управлением Industrial OS с установленным Node-RED.
В SIMATIC IoT2050 Advanced версии 4.3.4.1 и более поздних включены исправления.
По данным Siemens, CVE-2026-58115 позволяет неавторизованному удаленному злоумышленнику создавать вредоносные потоки данных и выполнять произвольный код на базовом сервере с максимальными привилегиями.
В воскресенье VulnCheck предупредила, что 30 октября зафиксировала успешную эксплуатацию уязвимости в реальных условиях.
Атака была совершена с IP-адреса в сети AS8075, принадлежащей Microsoft, и привела к созданию полноценной эксплойтной версии.
В ходе атаки был развернут поток Node-RED, запущен автоматически и загружен бинарный файл с сервера, контролируемого злоумышленником, и всё это «за тремя уровнями кодирования».
В качестве полезной нагрузки использовался бот для Linux. Судя по названию файла, VulnCheck полагает, что злоумышленники создали полезные нагрузки для нескольких архитектур.
К 1 ноября VulnCheck зафиксировала еще 15 атак с того же IP, в ходе которых были доставлены дополнительные вредоносные ПО, включая веб-оболочки, позволяющие хакерам выполнять произвольные команды на скомпрометированных серверах.
По мнению исследователей, атаки демонстрируют, что злоумышленники активно сканируют сети Node-RED на наличие экземпляров без аутентификации администратора и автоматически используют их с помощью одного HTTP-запроса.
VulnCheck рекомендует, в случае использования Node-RED где бы то ни было, в том числе встроенного в среду ICS/OT, проверять, доступен ли он извне сети.
Также следует проанализировать развернутые потоки на наличие неожиданных исполняемых узлов или HTTP-конечных точек, поскольку некоторые злоумышленники оставляют веб-оболочки, а не ботов. | 5 829 |
| 13 | Google совместно с коллегами ликвидировала ботнет XCPE, состоящий из более чем 1,3 млн. ТВ-приставок Android TV, которые, как заявляют исследователи, были намеренно заражены вредоносным ПО производителем для последующей их монетизации через киберподполье.
С высокой степенью уверенности создание ботнета приписывается китайской Videostrong Technology Co., которая обеспечила внедрение постоянного бэкдора в производимые ею устройства и продавала доступы к ним представителям хакерской среды.
Клиенты Videostrong Technology использовали устройства с бэкдорами для развертывания вредоносных модулей, которые применялись для мошенничества с рекламой, превращали зараженные устройства в резидентные прокси и доставляли дополнительные полезные нагрузки.
В ответ на угрозы Google вывела из строя сервера C2 XCPE, используемые более чем десятком связанных штаммов вредоносных ПО, что привело к отключению доступа как минимум к 10 млн. дополнительно скомпрометированных различных устройств. Кроме того, отозвала лицензию Videostrong на производство устройств Android TV и поставку программного обеспечения.
В операции принимали участие представители Национального полицейского управления Японии, исследователи Lumen, HUMAN Security, Plume, Synthient и TrendAI, которые оказывали содействие в анализе вредоносной инфраструктуры и подрыву ее работы.
В отличие от других ботнетов, которые обычно взламывают устройства через уязвимости или установку вредоносного ПО, ботнет XCPE был внедрен непосредственно во встроенное ПО устройства на этапе его производства.
При этом Videostrong разрабатывала и распространяла вредоносное ПО на устройствах различных марок и моделей в течение многих лет, совершенствуя свои возможности для обхода обнаружения и заручаясь поддержкой различных хакерских групп.
Основной компонент бэкдора - x.cpe и com.oemservice, работает с привилегиями системного уровня Android. Сама вредоносная ПО использует модульную архитектуру, которая разделяет функции бэкдора от модулей, предназначенных для извлечения дохода операторами.
После запуска зараженного устройства XCPE связывается с сервером С2 в домене anyevonline[.]com для получения информации о подключении и учетных данных для брокера сообщений MQTT, который затем используется для приема команд. Причем использует разные поддомены в зависимости от версии Android и типа устройства.
Брокер MQTT по адресу mqtt.szbboys[.]com позволял операторам отправлять команды и развертывать другое вредоносное ПО на зараженных устройствах.
Благодаря этому соединению операторы могут удаленно управлять скомпрометированными устройствами и совершать различные вредоносные действия, включая установку дополнительных приложений, отключение Google Play Protect, выполнение команд и скриптов оболочки и др.
Монетизация обеспечивалась путем установки вредоносных модулей, принадлежащих другим операторам, превращая бэкдор в подключаемую платформу для совершения киберпреступлений.
По данным Google, эти модули включали ПО, связанное с резидентными прокси-сервисами, такими как Linkfog, AppSalt/Honeygain, GaGaNode, NetNut и Traffmonetizer.
Ряд других модулей обеспечивали мошенничество с рекламой, а некоторые доставляли другие бэкдоры, включая Moyu, Spirit и Bird, для загрузки и выполнения другого вредоносного ПО.
В Google полагают, что операторы ботнета постоянно меняли архитектуру вредоносного ПО, чтобы избежать обнаружения.
В конце 2024 Videostrong начала использовать отдельный загрузчик под названием com.abc.nexus, который запускал вредоносные модули, в то время как XCPE сосредоточилась на взаимодействии с инфраструктурой С2.
Начиная с августа 2026 года, операторы начали заменять этот погрузчик на более компактные специализированные модули, замаскированные под системные приложения Android.
В свою очередь, в отдельном отчете Synthient, рассказала, как ей удалось отследить бэкдор XCPE и инфраструктуру до Videostrong после обнаружения вредоносного ПО, предустановленного на ТВ-приставке MECOOL KM9PRO Max на базе Android, приобретенной в конце 2025 года. | 5 850 |
| 14 | Разработчики BTCPay Server, системы обработки криптоплатежей с открытым исходным кодом, предупреждают пользователей о кражах с «горячих кошельков», для работы которых используется устаревшие версии ПО.
BTCPay Server реализует решение для самостоятельной обработки платежей, позволяющее принимать биткоины и другие цифровые активы непосредственно на свои кошельки, исключая платежных посредников и минимизируя уплату комиссий.
В ходе предварительного расследования разработчики изначально установили, что замеченные атаки были направлены на серверы, работающие под управлением BTCPay Server 2.4.1 (выпущенной 23 июля 2026 г.) или более ранних версий.
Однако злоумышленники также использовали другой метод для эксплуатации уязвимости, исправленной в версии 2.4.2, выпущенной 7 августа. После чего расследование перефокусировалось на выяснение того, как им удалось войти в систему в качестве администратора на 2.4.2.
29 октября компания сообщила об обнаружении критической уязвимости, найденной с помощью сканера Frontier OSS от Anthropic, что привело к выпуску версии 2.4.7 в качестве экстренного обновления.
В общем, в настоящее время неизвестно, когда именно злоумышленники, стоящие за этой кампанией, впервые начали использовать уязвимость, хотя сообщения об этом начали появляться примерно 1 ноября 2026 года.
Пользователям версии 2.4.1 (или более ранних) рекомендуется перейти на новый сервер с новым кошельком, даже если они не фиксировали кражи.
В случае кражи средств или подозрения на несанкционированный доступ крайне важно считать всю систему и все хранящиеся на ней секреты скомпрометированными и следовать тем же процедурам восстановления.
Согласно сообщению BTCPay Server, от пользователей, использующих последнюю версию 2.4.7, пока не поступало «достоверных сообщений» о выводе средств с горячих кошельков. | 5 911 |
| 15 | Киберподполье продолжает холодильные войны, расширяя экспансию на холодильные системы торговых сетей ряда европейских стран.
В результате кибератак хакерам удалось подрегулировать градусов на 50 температуру в морозильных камерах и системах охлаждения, что вызвало массовые сбои в их работе и привело к размораживанию с последующей порчей продукции.
Проблемы затронули более 115 магазинов в Бельгии, Нидерландах, Швеции, Люксембурге, Ирландии и Эстонии, из них подтвердили инциденты: 4 торговые точки - в ICA (Швеция), 7- Coop (Швеция), 40 - Ahold Delhaize (Бельгия и Люксембург), 15 - Carrefour (Бельгия), 5 - в Spar Colruyt (Бельгия), 15 - Intermarché (Бельгия), 13 - SuperValu (Ирландия) и 1 - в Селёр (Эстония).
В Нидерландах также, предположительно, пострадали как минимум 17 мясных магазинов. В Бельгии с аналогичными проблемами сталкиваются и другие магазины, в том числе супермаркет Ikea в Монсе и продуктовые магазины.
Представители компаний ICA, Ahold Delhaize и Spar Colruyt сообщили оказывают поддержку пострадавшим магазинам в урегулировании ситуации, чьи холодильные и морозильные системы магазинов затронул инцидент.
Представитель группы компаний Colruyt подтвердил, что инцидент «повлиял на работу холодильных систем примерно в пяти магазинах Spar».
Торговые учреждения управляются независимыми предпринимателями, которые имеют собственные холодильные системы. В настоящее время Colruyt также делает все возможное для решения проблемы.
В своем заявлении компания Ahold Delhaize сообщила, что сбой в работе ИТ-систем затронул холодильные установки в нескольких десятках магазинов, предприняв необходимые меры для обеспечения их бесперебойной работы.
Представитель Coop, одной из крупнейших сетей продуктовых магазинов в Швеции, заявил, что в небольшом количестве магазинов (а именно 7 из более чем 800) были затронуты холодильные установки. Проблемы варьировались от полного отключения холодильников и морозильников до частично работающих устройств, а в одном случае система начала выделять тепло.
В Бельгии пострадали только магазины Carrefour в двух регионах, а все гипермаркеты продолжали работать в полном объеме. Так что влияние на Carrefour оказалось очень ограничено: в настоящее время затронуты 15 из наших 700 магазинов как во Фландрии, так и в Валлонии.
Как сообщили в ICA, за ночь температура была изменена на +50°C (122°F) и изменить ее было невозможно, в результате чего магазин был вынужден выбросить замороженные продукты.
Согласно сообщению RTL media, Ahold Delhaize около 4 часов утра предупредила менеджеров через SMS о проблемах с холодильным оборудованием, и некоторые магазины использовали рефрижераторные грузовики, чтобы попытаться сохранить запасы товаров.
При этом, как заявили пострадавшие, Sabcobel является поставщиком холодильных систем в нескольких пострадавших районах. По словам директора самой компании, злоумышленник использовал ту же уязвимость, что и в аналогичных атаках в прошлом месяце во Франции.
В частности, прошлом месяце Францию охватили аналогичные атаки на холодильные установки, затронувшие сотни магазинов, использующих контроллеры Danfoss AK-SM/AK-SC и Copeland/Dixell XWEB, которые были взломаны удаленными злоумышленниками, переведшими их в режим разморозки.
В Sabcobel заявили, что технические специалисты начали отключать поврежденные установки с 1 часа ночи, объясняя сбой в работе дистанционно активированными функциями разморозки.
Несмотря на попытки компании защитить системы клиентов, простого обновления ПО оказалось недостаточно, поскольку холодильники также требуют физических модификаций. | 6 064 |
| 16 | Более 1000 серверов GitLab в Интернете до сих пор не защищены от уязвимости максимальной степени серьезности, активно используемой для атак с RCE.
CVE-2026-97229 связана с переполнением целочисленных значений и была обнаружена в компиляторе регулярных выражений CI/CD, который анализирует и оценивает регулярные выражения в файлах конфигурации конвейера.
При определенных условиях она позволяет неавторизованному пользователю выполнить произвольный код на сервере GitLab с помощью специально созданного регулярного выражения в конфигурации CI/CD из-за недостаточной проверки регулярных выражений
GitLab 12 октября выпустила патчи для устранения этой проблемы в версиях GitLab Community Edition (CE) и Enterprise Edition (EE) 19.4.2, 19.3.5 и 19.2.8. На GitLab.com уже установлена исправленная версия. Клиентам GitLab Dedicated никаких действий предпринимать не нужно.
В пятницу CISA подтвердила активную эксплуатацию уязвимости в реальных условиях, добавив CVE-2026-97229 в свой каталог KEV.
Несмотря на то, что GitLab выпустила обновления три недели назад, в Shadowserver до сих пор отслеживают более 1000 серверов GitLab без исправлений, которые теперь подвергаются активным атакам.
CVE-2026-97229 - это последняя из серии проблем безопасности GitLab, устраненных с начала года после январской CVE-2026-0723 (позволяющую обходить 2Fa) и сентябрьской CVE-2026-85706 (в API для кражи учетных данных и других секретов).
В прошлом месяце также была устранена еще одна уязвимость компилятора регулярных выражений максимальной степени опасности (CVE-2026-110264), которая позволяла злоумышленникам выполнять произвольный код на целевых экземплярах.
В настоящее время Shadowserver фиксирует более 1000 экземпляров GitLab, уязвимых к CVE-2026-97229 и более 11300 экземпляров, уязвимых к CVE-2026-110264. | 8 032 |
| 17 | Beget передает, что в ночь на 2 ноября ее инфраструктура подверглась массированной кибератаке, в результате которой также массированно была нарушена работа сервисов.
Согласно официальному заявлению Beget, обстоятельства непреодолимой силы теперь активно расследуются.
А нам, почему-то, вспомнился загадочный стишок, который три года назад нам прислал анонимный подписчик. Имеет ли это стихотворение отношение к происходящему? Может быть и нет. | 7 266 |
| 18 | Chainalysis сообщает об утечке, называя себя жертвой изощренной кибератаки с использованием ИИ.
Согласно официальному уведомлению, в этом месяце компания обнаружила, что внешний субъект задействовал наступательные агентные методы для получения несанкционированного доступа к системам Chainalysis и внутренним инструментам.
Отдельно отмечено, что инцидент не связан с недавним хищением 6,36 млрд. долл. у Binance, обвинения в совершении которого сообщество предъявляет северокорейским хакерам.
В результате атаки злоумышленникам не удалось добраться до материалов расследований, транзакций или запросов, паролям в открытом виде, а также учетным данным и секретам.
Атакующий смог получить доступ к некоторым неконфиденциальным данным клиентов, таким как идентификаторы пользователей, полные имена, адреса электронной почты и ролям пользователей, зарегистрированных на платформе.
Компания инициировала расследование масштабов утечки данных и пока не раскрывает информацию о том, сколько человек потенциально могло пострадать.
Chainalysis отметила общий рост кибератак с использованием ИИ в масштабах всей отрасли, акцентируя, что при этом в последние недели пострадали и многие другие технологические платформы. В общем, будем следить. | 7 845 |
| 19 | Нет текста... | 6 209 |
| 20 | Завершаем рабочую неделю подборкой трендовых уязвимостей:
1. Defiant предупреждает, что злоумышленники начали использовать новую серьезную уязвимость WordPress спустя пару часов после выхода обновлений.
Исправленная в WordPress 7.1.4 уязвимость затрагивает процесс обновления WordPress и может быть использована для RCE.
Злоумышленнику не обязательно иметь учетную запись на сайте, но необходимо «уложиться в очень узкий промежуток времени, пока WordPress выполняет полное обновление ядра. По данным Wordfence, фиксируются только попытки атак.
2. По данным CISA, CVE-2026-97229 в GitLab максимальной степени серьезности уже использована злоумышленниками. Она затрагивает компилятор регулярных выражений CI/CD.
Проблема позволяет удаленным злоумышленникам выполнять произвольный код с помощью специально созданного регулярного выражения в конфигурации CI/CD из-за недостаточной проверки выражений.
По данным Alpine Linux, 20 и 21 октября злоумышленник атаковал её экземпляр GitLab, используя CVE-2026-97229. Атака не удалась, но дистрибутив Linux восстановил экземпляр с нуля.
3. Steam от Valve уязвима для RCE ZeroClick между компьютерами, подключенными к одной и той же учетной записи.
Ошибки обнаружили исследователи Atredis Partners.
Уязвимости либо исправлены, либо срок их раскрытия истек. Однако в отчете не указан статус исправления.
4. Telegram не удалось исправить уязвимость, которая позволяет совершать атаки одним щелчком мыши. Уязвимость затрагивает Rlottie, библиотеку, используемую для воспроизведения анимации стикеров.
Trend Micro, сообщившая об ошибке через ZDI, рекомендовала «ограничить взаимодействие с продуктом».
5. Drupal предупреждает о критической уязвимости в Commerce Core, которая используется в атаках. CVE-2026-118539 связана с отсутствием механизма авторизации, который может быть использован неавторизованными злоумышленниками, затрагивает Commerce Core от 0.0.0 до 2.41 и от 3.0.0 до 3.3.13.
6. Хакеры используют PHP2Shell для взлома межсетевых экранов Palo Alto Networks. Атаки нацелены на устройства, панель управления которых доступна из интернета. Компания подтвердила атаки.
7. Злоумышленники приступили к использованию уязвимости в формате сжатия данных Brotli от Google. CISA добавила информацию об этой уязвимости в свою базу данных KEV в среду. Атаки начались через два дня после публикации в сети PoC.
Об атаках также сообщили компании Ellio и Previdian. Уязвимость позволяет злоумышленникам запускать вредоносный код в приложениях и на серверах, использующих библиотеку Brotli для распаковки данных, предоставляемых пользователем.
8. В библиотеке ZIP языка Rust исправлена уязвимость, позволяющая осуществлять атаки с удалённым выполнением кода при распаковке ZIP-архивов.
9. Уязвимость в коде TCP ядра Linux, CVE-2026-98432 (с 9,8 по CVSS), затрагивает Ubuntu, Red Hat Enterprise Linux (RHEL) и другие дистрибутивы Linux. 27 октября Anthropic сообщила, что ее модель ИИ разработала эксплойт, использующий уязвимость.
Debian, Oracle Linux, SUSE и Amazon Linux выпустили исправленные пакеты, по крайней мере, для некоторых своих ядер, но Ubuntu и RHEL - нет.
10. TeamViewer выпустила обновления, устраняющие ряд уязвимостей, включая RCE в компоненте обработки экрана при удаленном управлении.
11. Критическая CVE-2026-97631, обнаруженная 16 лет назад в TianoCore EDK II, открытом исходном коде, который используют большинство мировых поставщиков серверов и ЦОДов через поставщиков прошивки, таких как AMI, Insyde и Phoenix, затрагивает большинство серверов по всему миру.
12. Злоумышленники внедряют бэкдоры на серверы, используя CVE-2026-42589 в приложении Gotenberg для преобразования документов в PDF.
13. Positive Technologies выкатила свой октябрьский «В тренде VM», отметив: уязвимость, приводящую к EoP, в механизме ALPC в Windows – CVE-2026-85880 и проблему, приводящую к RCE, в шлюзах Check Point Security Gateway и межсетевых экранах Spark Firewall (CVE-2026-85102). | 8 452 |
