CodeGuard: PySec Edition

Ваш VPS уже просканировали. Вот что делать после базовой настройки SSH и файрвола Ты закрыл root, отключил пароли, включил UFW. Думаешь, сервер в безопасности? Публичный IP сканируют автоматически — не потому что ты интересен, а потому что это поток. Базовый hardening закрывает очевидное, но оставляет асимметрию: IPv4 защищён, IPv6 — часто нет; ingress закрыт, egress — открыт. Вот что стоит добавить, если хочешь выйти за пределы чек-листа. Бесплатно (все инструменты — стандартные или open-source). 1. SSH: не просто ключи, а Ed25519 + модульный конфиг Пароли отключены — хорошо. Но если ты всё ещё на RSA-ключах, есть смысл перейти на Ed25519: короче, быстрее, устойчивее к коллизиям.

ssh-keygen -t ed25519 -a 100 -C "secops-bastion-admin"

Не правь /etc/ssh/sshd_config напрямую. Современный OpenSSH подхватывает файлы из /etc/ssh/sshd_config.d/. Создай 01-hardened.conf:

PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
AuthenticationMethods publickey
MaxAuthTries 3
ClientAliveInterval 300
ClientAliveCountMax 2
X11Forwarding no
AllowTcpForwarding no

Перед перезапуском — sshd -t, чтобы не потерять доступ. 2. IPv6: не забывай про вторую половину стека Классическая ошибка: IPv4 закрыт stateful-файрволом, а IPv6 — открыт. Атакующие это знают. nftables позволяет описать симметричные правила для обоих стеков в одном файле. Пример для /etc/nftables.conf:

table inet filter {
  chain input {
    type filter hook input priority filter; policy drop;
    ct state established,related accept
    ct state invalid drop
    ip protocol icmp accept
    ip6 nexthdr ipv6-icmp accept
    tcp dport { 22, 80, 443 } accept
  }
}

inet означает, что таблица применяется и к IPv4, и к IPv6. Не нужно дублировать правила. 3. Egress: не только «кто может войти», но и «куда можно выйти»

🔵 Если сервис скомпрометирован, майнеру или reverse shell нужен исходящийдоступ. Базовый файрвол это часто игнорирует. Добавь ограничение egress: разреши только то, что нужно приложению (обновления, API, DNS), остальное — drop.

Практический пример Свежий VPS. Через час в auth.log — сотни попыток. После Ed25519, модульного sshd_config.d, симметричного nftables и egress-фильтра: попытки продолжаются, но ни одна не проходит. Reverse shell, если вдруг появится, не сможет «позвонить домой». 😈 CodeGuard: PySec Edition | Чат

👩‍💻 Всем программистам посвящается! Вот 14 авторских обучающих IT каналов по самым востребованным областям программирования: Выбирай своё направление: 👩‍💻 Python — t.me/python_ready 🤔 InfoSec & Хакинг — t.me/hacking_ready 🖥 SQL & Базы Данных — t.me/sql_ready 👩‍💻 IT Новости — t.me/it_ready 🤖 AI & ML — t.me/neuro_ready 👩‍💻 Frontend — t.me/frontend_ready 👩‍💻 C/C++ — https://t.me/cpp_ready 👩‍💻 C# & Unity — t.me/csharp_ready 👩‍💻 Linux — t.me/linux_ready 👩‍💻 Java — t.me/java_ready 📖 IT Книги — t.me/books_ready 📱 JavaScript — t.me/javascript_ready 🖼️ DevOps — t.me/devops_ready 🖥 Design — t.me/design_ready 📌 Гайды, шпаргалки, задачи, ресурсы и фишки для каждого языка программирования!

🧨 Node2Shell: уязвимость в Node.js, которая позволяет выполнить код на сервере через сжатый HTTP-ответ. Твой проект может быть уязвим 21 октября 2026 года вышло экстренное обновление Node.js. Причина — CVE-2026-111497, которую исследователи назвали Node2Shell. Это ошибка в Brotli-декодере, который встроен прямо в Node.js. Если приложение принимает сжатые Brotli-данные от пользователя и распаковывает их — атакующий может вызвать повреждение памяти и выполнить свой код на сервере. Кого это касается Уязвимы все поддерживаемые ветки: 22.x, 24.x и 26.x. Ветка 20.x уже не поддерживается (EOL) и остаётся уязвимой — патча для неё не будет. Исправленные версии: 22.23.4, 24.22.1, 26.12.1. Если ты используешь Node.js в учебном проекте, пет-проекте или на хостинге — проверь версию. Даже если ты не пишешь серверный код, а просто поднял Express или Fastify, который отдаёт сжатые ответы, — ты можешь быть затронут. Почему это не просто «ещё одна CVE»

🟣 Brotli — это стандартный алгоритм сжатия для HTTP. Он включён в Node.js из коробки, и многие фреймворки используют его для Content-Encoding: br. Атакующему не нужен логин — достаточно отправить специально сформированный сжатый запрос или заставить сервер распаковать вредоносные данные. Уязвимость уже получила несколько имён: Node2Shell, HTTP2Shell, Broccoli2Shell — потому что затронуты не только Node.js, но и другие рантаймы и прокси, которые используют тот же C-код Brotli.

Что делать прямо сейчас 1️⃣ Проверь версию Node.js: node -v. Если 22.x ниже 22.23.4, 24.x ниже 24.22.1 или 26.x ниже 26.12.1 — обновись. Если 20.x или ниже — планируй миграцию, патча не будет. 2️⃣ Проверь, использует ли твой сервер Brotli. Если в ответах есть Content-Encoding: br или в коде подключён compression с Brotli — риск выше. 3️⃣ Если обновиться нельзя — отключи Brotli на уровне reverse proxy (nginx, Caddy) или приложения. Временная мера, но лучше, чем ничего. Главное: Node2Shell — это не «где-то у больших компаний». Это твой node_modules, твой Express, твой пет-проект. Обновись сегодня. 😈 CodeGuard: PySec Edition | Чат

🔻 GMO Internet отказалась платить $50 млн. Хакеры начали публиковать данные клиентов Японский IT-гигант GMO Internet Group оказался в центре вымогательской атаки. Злоумышленники требовали $50 млн в криптовалюте, угрожая обнародовать данные клиентов и запустить ransomware. GMO отказалась платить. И тогда хакеры начали выполнять угрозу — по одному человеку в день. Что произошло

🔵 Атака затронула Onamae.com Desktop Cloud — сервис, которым пользуются в том числе форекс-брокеры. 20 октября GMO подтвердила: в серверных средах некоторых клиентов был обнаружен несанкционированный код, установленный третьей стороной.

Злоумышленники потребовали $50 млн в криптовалюте. GMO отказалась платить, заявив, что не может гарантировать удаление информации или предотвращение её неправомерного использования.

👍 Тогда хакеры перешли к публичному давлению. 27 октября, после полудня по японскому времени, они опубликовали личные данные одного из клиентов и пригрозили публиковать по одному человеку каждый день.

Масштаб

🤨 По данным министра финансов Японии Сацуки Катаямы, уже пять форекс-компаний, включая OANDA Japan, Goldenway Japan и Ava Trade Japan, сообщили о пострадавших клиентах.

GMO начала собирать у клиентов устройства для анализа — чтобы понять, был ли установлен malware и насколько глубоко проникла компрометация. Реакция компании GMO рекомендовала пользователям:

🔵проверить устройства антивирусом; 🔵изолировать важные данные и сделать бэкапы; 🔵отключить питание компьютеров до наступления дедлайна.

Компания также заявила, что с 25 октября начала отзывать часть устройств у клиентов для экспертизы, привлекла сторонних ИБ-специалистов и подала заявление в полицию. Почему это важно

🔵Это не просто «очередной ransomware». Это публичное вымогательство с поэтапным давлением. Хакеры не просто шифруют данные — они используют репутацию и страх утечки как рычаг. Публикация по одному клиенту в день — это медийная стратегия, рассчитанная на то, что компания сдастся под давлением общественности.

Для защитников это напоминание: отказ платить — правильное решение, но он требует готовности к тому, что угрозы начнут выполняться. И к этому нужно готовиться заранее: план коммуникации, юридическая поддержка, мониторинг утечек. 🔗 Japan’s GMO Says Hacker Threatens To Disclose Customer Data At Noon — Bernama — бесплатно

5️⃣ бесплатных threat intelligence фидов, которые реально работают в 2026 Threat intelligence — это не про «купить самый большой фид». Это про то, чтобы получать данные, которые ты сможешь использовать: приоритизировать патчи, блокировать инфраструктуру, понимать, что происходит. Вот пять бесплатных источников, которые закрывают разные задачи. Все — без оплаты и без API-ключей для базового доступа. 1. CISA KEV — приоритизация уязвимостей

Бесплатно. Не совсем IOC-фид, но один из самых полезных публичных источников. KEV — каталог уязвимостей, которые уже эксплуатируются в реальных атаках. Если CVE попала в KEV, патч нужно ставить сегодня, а не «когда будет время». Доступен в CSV и JSON. Для чего: vulnerability management. Вместо того чтобы тонуть в тысячах CVE, ты смотришь на те, которые атакующие используют прямо сейчас.

🔗 CISA KEV — бесплатно 2. AlienVault OTX — community-driven IOC

Бесплатно. Открытая платформа обмена индикаторами компрометации. Ты подписываешься на «пульсы» — наборы IOC, связанные с конкретными кампаниями, малварью или акторами. Внутри: IP, домены, хеши, URL. Для чего: обогащение алертов и первичная разведка. Если видишь подозрительный IP, проверь его в OTX — возможно, он уже связан с известной кампанией.

🔗 AlienVault OTX — бесплатно 3. abuse.ch — malware intelligence

Бесплатно (есть коммерческие опции). Семейство проектов: MalwareBazaar(образцы), ThreatFox (IOC), URLhaus (вредоносные URL), Feodo Tracker (C2-серверы). Всё — с открытым доступом и API. Для чего: детектирование малвари и блокировка C2. Если нужно быстро проверить хеш или URL — abuse.ch даёт ответ без регистрации.

🔗 abuse.ch — бесплатно 4. PhishTank — фишинг

Бесплатно. База фишинговых URL, которую пополняет сообщество. Можно проверять ссылки через веб-интерфейс или API. Данные валидируются, что снижает количество ложных срабатываний. Для чего: защита почтовых шлюзов и прокси. Если пользователь кликнул по ссылке — проверь её в PhishTank.

🔗 PhishTank — бесплатно 5. OpenPhish — фишинг в реальном времени

Бесплатно (есть премиум). Фиды фишинговых URL, обновляемые в реальном времени. Бесплатный уровень даёт доступ к публичному фиду, которого хватает для базового мониторинга. Для чего: оперативное блокирование. Если нужен поток свежих фишинговых ссылок — OpenPhish даёт его быстрее, чем большинство коммерческих фидов.

🔗 OpenPhish — бесплатно 😈 CodeGuard: PySec Edition | Чат

🤒 Хочешь научу собирать данные киберразведки? 👍 Добро пожаловать в CodeGuard: OSINT Здесь — от базовых техник поиска до продвинутых инструментов: 🟢 Osint-фреймворки 🟢 Анализ, WHOIS и dark web 🟢 Практические гайды 🟢 Кейсы для пентеста Присоединяйся: t.me/CodeGuard_Osint

🤔 PHP2Shell: две критические RCE в ядре PHP. Патч вышел, но 72% серверов не могут его установить Пока все обсуждают утечки и новые CVE в VPN-шлюзах, в самом сердце веба — PHP — нашли пару уязвимостей, которые вместе дают неаутентифицированное выполнение кода. Официальная оценка — CVSS 9.2. Проблема в том, что больше двух третей интернет-серверов с PHP работают на версиях, для которых патча не существует. Что за уязвимости

🔵CVE-2026-109618 и CVE-2026-109619 — две критические RCE в ядре PHP. Обе получили CVSS v4.0 9.2 и классифицированы как CWE-416 (use-after-free). Исследователи из watchTowr неформально называют пару «PHP2Shell». 🔵Уязвимости затронули session.upload_progress — механизм, который включён по умолчанию во многих конфигурациях. Атакующему не нужна аутентификация. Рабочий эксплойт уже продемонстрирован против Apache mod_php с настройками по умолчанию.

Информация об уязвимостях утекла 20 октября, до запланированного скоординированного раскрытия. PHP пришлось выпустить экстренный патч на день раньше — 21 октября 2026, 14:00 UTC. Масштаб проблемы

🤨 По данным Shodan, в интернете около 1,9 миллиона хостов с PHP. Из них 72,5% раскрывают версию, и эта версия — end-of-life ветка (PHP 8.1 и старше), для которой официального патча не будет. Затронута вся экосистема: WordPress (~538 тыс. инстансов), Drupal, Joomla, Magento, Laravel (~141 тыс.), Nextcloud (~107 тыс.), phpMyAdmin, cPanel/Plesk.

Даже если вы не используете PHP напрямую — вы зависите от него через подрядчиков, SaaS-платформы и клиентские порталы. Это каскадный риск цепочки поставок. Что делать 1️⃣Обновитесь до исправленной версии: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35. 2️⃣Если вы на EOL-ветке (8.1 и ниже) — патча не будет. Планируйте миграцию или изолируйте сервис. Source-backport'ы существуют для 7.4, 8.0 и 8.1, но это не полноценная поддержка. 3️⃣Приоритет №1 — Apache mod_php. Эта конфигурация наиболее уязвима, потому что вызывает shutdown даже при неудачном старте запроса. 4️⃣Временная мера: отключите session.upload_progress в php.ini, если не можете патчить немедленно. 5️⃣Не считайте патч ремедиацией. Если система была скомпрометирована до обновления, патч не удалит то, что уже закреплено. 😈 CodeGuard: PySec Edition | Чат

Citrix NetScaler: CVSS 9.8, RCE без аутентификации и веб-шеллы, которые патч не удаляет Пока все патчат PHP и GitLab, есть ещё одна дыра, которая эксплуатируется прямо сейчас. Citrix NetScaler — шлюз, через который ходит удалённый доступ в корпоративные сети. CVE-2026-88771 позволяет выполнить команду без логина и пароля. Патчи вышли 16 октября, но атаки начались раньше. И, как всегда, обновление не удаляет то, что атакующий уже закрепил. Что за уязвимость

🤨 CVE-2026-88771 — improper input validation в Citrix NetScaler ADC и NetScaler Gateway. CVSS 9.8 (v3.1) и 9.5 (v4.0). Уязвимость позволяет неаутентифицированное удалённое выполнение команд (RCE). Атакующий не просто читает данные — он может выполнить код на устройстве, которое стоит на периметре и видит внутреннюю сеть.

Как это выглядит в атаке

🔵 Zscaler ThreatLabz зафиксировали цепочку: poisoned access logs, специально сформированные authentication-запросы, fingerprinting устройства, попытка установки веб-шелла и загрузка Rust-based FreeBSD x64 malware на скомпрометированный appliance.

Исследователи видели всплеск попыток как минимум с 26 source IP, но не установили, сколько устройств было скомпрометировано и координировал ли это один актор. Главная ловушка: патч не равно «чисто» Citrix выпустила исправленные сборки: 14.1-73.37 и 13.1-64.23 (или более поздние в этих ветках). Zscaler 16 октября указал более поздние сборки — 14.1-73.46 и 13.1-64.29 — и отдельно предупредил: патчинг не удаляет уже установленные веб-шеллы и malware。 Это значит: если устройство было скомпрометировано до обновления, после патча атакующий может остаться внутри. Нужно не просто обновиться, а проверить на компрометацию: искать веб-шеллы, необычные процессы, признаки FreeBSD-импланта. Gurucul опубликовал 28 IP-индикаторов для проверки. Что делать

🔵Обновиться до актуальной исправленной сборки для вашей ветки. Если вы на 14.1 — до 14.1-73.46 или позже. Если на 13.1 — до 13.1-64.29 или позже. 🔵Не считать патч ремедиацией. Изолируйте потенциально скомпрометированные appliance, сохраните форензик-артефакты, ищите веб-шеллы и импланты. 🔵Проверить логи на предмет poisoned access logs и необычных authentication-запросов. Если видите попытки эксплуатации — это уже инцидент, а не просто уязвимость.

😈 CodeGuard: PySec Edition | Чат

GitLab: CVSS 10.0, RCE без пароля и 12 лет уязвимых релизов. Патч вышел, но не для всех Пока все обсуждают PHP2Shell, GitLab тихо закрыл вторую за девять дней дыру с максимальной оценкой. И эта — глубже. Она затрагивает каждую self-managed инсталляцию, начиная с версии 7.0, выпущенной в 2014 году. Двенадцать лет релизов в одном advisory. Если ваш GitLab смотрит в интернет — это не «подожду до понедельника». Что за уязвимость

🤨 CVE-2026-110264 — integer overflow в компиляторе регулярных выражений. CVSS v3.1 10.0. Атакующий без аутентификации может выполнить произвольный код на сервере GitLab. Не «прочитать репозиторий», не «получить доступ к CI/CD» — выполнить команду от имени сервиса.

Уязвимый компонент присутствует в кодовой базе с версии 7.0 (2014). Это значит, что под ударом — практически каждый self-managed инстанс, который когда-либо был развёрнут и не пропатчен. GitLab.com и Dedicated-тенанты на актуальных внутренних релизах уже защищены. Почему это важно именно сейчас

🔵Это вторая CVSS 10.0 RCE за девять дней. Первая — CVE-2026-97229 от 12 октября, тоже в regex-компиляторе CI/CD. GitLab бэкпортировал фикс сразу в семь веток: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3, 19.5.1. Такой шаг компания делает только для самых серьёзных проблем.

Сканирование интернета показывает около 60 000 self-managed GitLab-инстансов онлайн. На момент публикации подтверждённых атак в дикой природе не зафиксировано, но PoC-код уже существует. Окно между патчем и эксплойтом сокращается. 😈 CodeGuard: PySec Edition | Чат

VanGuard: один бинарник, который заменяет 28 инструментов при расследовании инцидента Ты приезжаешь на инцидент. На флешке — десяток утилит, каждая со своими флагами. Пока разбираешься, время уходит. VanGuard пытается это изменить: один бинарник на Go, внутри — 28 готовых сценариев IR, управление Velociraptor и генерация таймлайна. Работает без интернета. Бесплатно (open-source). Что внутри

🔵28 предустановленных сценариев — ransomware, BEC, lateral movement, credential theft, rootkit detection. Каждый с маппингом на MITRE ATT&CK и пофазовым сбором артефактов. 🔵Velociraptor как первоклассный гражданин — полный жизненный цикл сервера, развёртывание агентов, офлайн-коллекторы, VQL-запросы из одного меню. 🔵Быстрый триаж — 20+ категорий артефактов Windows (процессы, службы, журналы событий, планировщик, браузеры, реестр) и 15+ Linux (процессы, cron, systemd, SSH, auth-логи, модули ядра). Всё хешируется и регистрируется как доказательство. 🔵Threat hunting — встроенные Hayabusa (Sigma-анализ логов), Chainsaw, Loki и YARA. Анализ живого состояния: LOLBin, подозрительные автозапуски, аномалии named pipes, rogue systemd units, SUID-бинарники, C2-паттерны. 🔵Форензика памяти — DumpIt, WinPMEM (Windows), AVML, LiME (Linux). Анализ через Volatility3. Air-gapped — каждая функция работает офлайн. Сеть — это улучшение, а не требование.

Практический пример

🤨 Ты на месте инцидента. Запускаешь VanGuard с флешки. Он предлагает TUI или веб-интерфейс. Выбираешь сценарий Ransomware. Инструмент собирает артефакты, хеширует их, строит таймлайн и генерирует HTML-отчёт с цепочкой custody. Всё — из одного бинарника, без установки и без интернета. Через час у тебя готовый отчёт, а не папка с разнородными файлами.

😈 CodeGuard: PySec Edition | Чат

Программисты, это вам 👇 Держите 5 каналов, которые реально помогают изучать программирование и IT с полного нуля: 🖥 Easy Coder — все направления IT. 👩‍💻 Easy Python — всё о Python. 🌐 Easy WebDev — Frontend, Backend. 🔠 Easy InfoSec — ИБ, Хакинг. 🖥 Easy GitHub — лучшее с GitHub. Тонны бесплатной инфы для любого уровня подготовки ✔️

6️⃣ команд Linux, которые нужны в первые 10 минут расследования Алерт: на сервере что-то не так. Ты открываешь терминал. Время идёт. Вот шесть команд, которые дают первичную картину — от активных соединений до файлов, которые кто-то только что изменил. Без них ты будешь гадать. С ними — увидишь, куда смотреть. 1. Кто сейчас в сети и куда стучится

ss -tulpn

ss — современная замена netstat. Показывает слушающие порты, установленные соединения и PID процессов. Если видишь незнакомый процесс, слушающий порт — это первая зацепка. 2. Кто открыл файлы и сокеты

lsof -i

lsof -i показывает все сетевые соединения, привязанные к процессам. Если какой-то процесс держит соединение с подозрительным IP — ты увидишь это сразу. Для конкретного порта: lsof -i :80. 3. Что изменилось только что

find / -mmin -30 -type f 2>/dev/null

Файлы, изменённые за последние 30 минут. Атакующий мог оставить скрипт, конфиг или бэкдор. Эта команда покажет свежие следы. Для более точного окна — -mmin -5. 4. Кто пытался войти и с какого IP

grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head

Классика. Показывает топ IP по числу неудачных SSH-логинов. Если один IP долбит сотнями попыток — это брутфорс. Если после этого есть Accepted с того же IP — это уже компрометация. 5. Что делал пользователь после входа

grep "Accepted" /var/log/auth.log | tail -5

Смотри, с каких IP заходили и под какими пользователями. Если видишь вход с незнакомого IP под root — эскалируй немедленно. 6. Куда уходят данные

tcpdump -i any -c 100 -nn

Быстрый захват 100 пакетов. Если видишь исходящие соединения на неизвестные IP с большим объёмом данных — это потенциальная эксфильтрация. Для глубокого анализа — -w capture.pcap и открыть в Wireshark. Практический пример Сервер начал тормозить. Запускаешь ss -tulpn — видишь процесс python3на незнакомом порту. lsof -i показывает, что он держит соединение с внешним IP. find / -mmin -30 находит скрипт в /tmp. grep по auth.logпоказывает брутфорс и успешный вход. Цепочка собрана за 10 минут. 😈 CodeGuard: PySec Edition | Чат

AhsayCBS: CVSS 10.0, веб-шелл в бэкапе и патч, который не удаляет то, что уже закреплено Пока все патчат PHP, есть цепочка, которая бьёт по инфраструктуре, которую обычно трогают в последнюю очередь — по серверам резервного копирования. AhsayCBS (Ahsay Cloud Backup Suite) — это серверная часть, которая принимает и хранит бэкапы клиентов. Атакующие используют две уязвимости вместе: обход аутентификации и инъекцию команд. Результат — веб-шелл в веб-доступной директории и потенциальный доступ ко всем бэкапам, которые через этот сервер проходят. Что за цепочка 🔵CVE-2026-105133 — improper authentication в функции checkSysPwd. CVSS v4 5.5. Сама по себе не критична, но открывает дверь. 🔵CVE-2026-105134 — OS command injection в компоненте Replication Receiver (/rps/api/json/UpdateReceivers.do). VulDB оценивает в CVSS 10.0, NVD — 9.3 по CVSS v4. Позволяет выполнить команды ОС или записать файл, например JSP веб-шелл, в директорию, которую отдаёт веб-сервер. Вместе: атакующий обходит аутентификацию, затем пишет шелл и получает выполнение кода. Условие для CVE-2026-105134: сервер должен быть настроен или лицензирован как replication receiver. Если у вас AhsayCBS без этой роли — второй этап не сработает, но первый всё равно остаётся риском. Хронология

✨ 4 октября 2026 — обе CVE опубликованы в NVD. В записях указано, что публичный эксплойт существует. ✨ 7–8 октября — первые инциденты в Bitdefender MDR. Совпадают с первыми публичными сообщениями об эксплуатации и первыми advisory от Ahsay. ✨ 12 октября — Ahsay выпускает хотфиксы: v10.3.4.45 для v10 и v9.15.2.70 для v7/v8/v9. В том же advisory указано, что предыдущие патчи v10.3.4.0 и v9.15.2.59 не закрывали уязвимости полностью. ✨ 14 октября — CISA добавляет обе CVE в KEV.

Почему это важно

🤨 Бэкап-сервер — это концентрат данных. Если атакующий получает на нём выполнение кода, он потенциально видит все резервные копии, которые через него проходят. Это не «ещё одна CVE в веб-приложении». Это доступ к страховке, которая должна спасать от ransomware. И если она скомпрометирована — восстанавливаться не из чего.

Ссылка 🔗 Bitdefender: Technical Advisory — AhsayCBS Exploitation Chain — бесплатно 🔗 Horizon3: CVE-2026-105133 & CVE-2026-105134 — AhsayCBS — бесплатно 🔗 CERT.GOV.VU: Advisory 356 — бесплатно 😈 CodeGuard: PySec Edition | Чат

PHP2Shell: ИИ нашёл дыру, которой больше десяти лет. Теперь её эксплуатируют миллионами попыток Пока одни обсуждают очередную CVE в VPN-шлюзе, произошло то, что затрагивает около 70% сайтов в интернете. Две критические уязвимости в PHP — языке, на котором работает WordPress, большинство кастомных движков и огромная часть бэкендов. CVSS 9.2. Без аутентификации. Без клика. И — самое неприятное — эксплуатировать их начали за четыре дня до того, как о них стало известно. Что произошло

🤨 21 октября 2026 года команда PHP выпустила экстренные обновления вне цикла для двух уязвимостей: CVE-2026-109618 и CVE-2026-109619. Обе получили CVSS 9.2 по версии 4.0 — максимальная категория «критическая».

В отличие от уязвимостей в CMS или плагинах, эти дыры находятся в самом рантайме PHP. Обновление WordPress или сторонней библиотеки их не закрывает. Под ударом — любая установка PHP, которая обслуживает веб-запросы: Apache с mod_php, NGINX с PHP-FPM, LiteSpeed. Как это работает Обе уязвимости связаны с обработкой памяти.

🔥CVE-2026-109618 — ошибка при нехватке памяти (out-of-memory). Когда PHP не может корректно завершить инициализацию данных запроса, он неправильно интерпретирует частично заполненные структуры как валидные. Это приводит к повреждению памяти и выполнению кода. 🔥CVE-2026-109619 — use-after-free. После аномального завершения запроса PHP не сбрасывает глобальное состояние. Следующий запрос может обратиться к уже освобождённой памяти. Это позволяет читать чувствительные данные (пароли, токены, API-ключи) или выполнить произвольный код.

Для mod_php рабочий эксплойт уже подтверждён. Для PHP-FPM эксплуатация зависит от приложения, но исследователи также демонстрировали RCE. Почему это важно: ИИ изменил правила Уязвимости существовали более десяти лет. Их нашли не люди, а модели искусственного интеллекта — OpenAI и Google. В блоге OpenAI говорится, что компания координировала усилия исследователей и security-провайдеров в течение двух месяцев, чтобы закрыть дыры до раскрытия.

🤨 Но есть нюанс. Amazon зафиксировала попытку эксплуатации 17 октября — за четыре дня до публичного раскрытия. Либо произошла утечка, либо атакующие тоже используют AI для анализа патчей. Вице-президент BSI Томас Касперс заявил, что массовая эксплуатация вероятна в течение нескольких часовпосле выхода обновлений, потому что атакующие могут анализировать патчи AI-инструментами и быстро генерировать эксплойты.

😈 CodeGuard: PySec Edition | Чат

Перестань страдать от белых списков ❌ Нашли лучший способ обойти все ограничения и даже заработать на этом‼️ STRELKA VPN — обходит все блокировки и даже белые списки Забирай бесплатный пробный период:

🤯 PHP2Shell: две критические RCE-уязвимости в PHP, которые затрагивают половину интернета Пока все обсуждают очередную CVE в VPN-шлюзе, в PHP нашли две дыры, которые эксплуатируются без пароля и без единого клика. CVSS 9.2. Под ударом — Apache с mod_php, NGINX с PHP-FPM, FrankenPHP и LiteSpeed. Если ваш сайт или сервис работает на PHP — это не «где-то там», это ваш периметр. Что произошло

🤨 21 октября 2026 года команда безопасности PHP выпустила экстренное обновление вне цикла для двух критических уязвимостей удалённого выполнения кода (RCE): CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9.2 по CVSS v4.0 и не требуют аутентификации.

Уязвимости затрагивают ветки PHP 8.2–8.5. Более старые версии, включая PHP 5.x и неподдерживаемые ветки, не получат исправлений — их нужно мигрировать. Как это работает Обе уязвимости связаны с внутренними механизмами управления памятью и обработки запросов в PHP.

🔵CVE-2026-109618 — ошибка обработки out-of-memory. Когда PHP сталкивается с нехваткой памяти во время частичной инициализации данных запроса, при очистке он может неправильно интерпретировать частично инициализированные данные как валидные. Это приводит к повреждению памяти и, как следствие, к выполнению кода с привилегиями рабочего процесса PHP. 🔵CVE-2026-109619 — stale global state и use-after-free. После аномального завершения запроса PHP не сбрасывает внутреннее глобальное состояние. Следующий запрос может обратиться к уже освобождённой памяти. Это позволяет читать чувствительные данные из памяти процесса (пароли, токены, API-ключи) или выполнить произвольный код.

Важно: рабочий эксплойт подтверждён для Apache mod_php. Для PHP-FPMэксплуатация зависит от поведения конкретного приложения, но исследователи также демонстрировали RCE. Почему это критично

👀 PHP работает на значительной части веба, включая WordPress и огромное количество кастомных приложений. Обновление CMS, плагинов или зависимостей не закрывает эти уязвимости — они находятся в самом рантайме PHP.

На момент публикации патча публичного подтверждённого взлома не зафиксировано, но Cloudflare уже сообщал о ранних попытках эксплуатации. Окно для безопасного обновления закрывается быстро. Что делать 1️⃣Проверить версию PHP. Если вы на 8.2–8.5 — обновиться до патченной версии сегодня. 2️⃣Если вы на неподдерживаемой ветке (8.1 и ниже, 7.x, 5.x) — патча не будет. Планируйте миграцию. До миграции — минимизируйте поверхность: уберите публичный доступ к среде, где это возможно. 3️⃣Проверить логи на предмет аномальных запросов, которые могли вызвать out-of-memory или аномальное завершение. Особенно если в логах есть всплески 500-х ошибок без очевидной причины. Ссылки 🔗 Critical PHP2Shell Vulnerabilities Threaten Web Servers — CIRT.GY — бесплатно 🔗 PHP Ships Emergency Out-of-Cycle Patch — CERT.UG — бесплатно 😈 CodeGuard: PySec Edition | Чат

😈 CodeGuard: PySec Edition | Чат

🤔 Pentool: пентест в терминале, который выглядит как Burp Suite Большинство инструментов для веб-пентеста — это либо громоздкие IDE, либо консольные утилиты без нормального интерфейса. Pentool пытается совместить оба мира: TUI-интерфейс с прокси, сканером, репитером и AI-ассистентом. Всё работает прямо в терминале. Бесплатно(open-source), но есть платный PRO-режим с дополнительными фичами. Что внутри

👍Перехват трафика — HTTP/HTTPS-прокси с возможностью менять запросы на лету, Match & Replace, WebSocket. 👍Сканер — активный и пассивный: SQLi, XSS, SSTI, LFI, RCE, SSRF, XXE, JWT-флаги. С обходом WAF и time-based/blind-техниками. 👍Repeater и Intruder — повторная отправка запросов и автоматизированные атаки полезными нагрузками (Sniper, Battering Ram, Pitchfork, Cluster Bomb). 👍Spider — обход сайта с рендерингом JavaScript (Lightpanda), сбор форм, API-эндпоинтов и JS-файлов. 👍AI-ассистент — подсказывает, какие проверки запустить, помогает обходить WAF и искать скрытые эндпоинты. 👍Plugin System — расширения без изменения ядра. PRO-плагины добавляют продвинутые сканеры и генераторы отчётов.

Как установить

uv tool install pentool

Одна команда. Работает на Linux, macOS и Windows (лучше через WSL). Требуется современный терминал с поддержкой мыши и true color — GNOME Terminal, Kitty, Alacritty, WezTerm, Windows Terminal. Практический пример Запускаешь pentool в терминале. Указываешь URL цели. Инструмент сам поднимает прокси, генерирует и импортирует CA-сертификат в headless-браузер, отправляет первый запрос. Дальше — работаешь как в Burp Suite, но без переключения окон: вкладки, история, сканер, репитер — всё в одном TUI. Платность

🤨 Бесплатно: базовый функционал — прокси, сканер, репитер, интрудер (без Turbo Mode), спайдер, декодер, компаратор. 🤨 Платно (PRO): Turbo Mode (10× скорость через Keep-Alive и пул соединений), продвинутые сканеры, умные полезные нагрузки, генераторы отчётов. Для обучения и большинства задач хватает бесплатной версии.

Ссылка 🔗 GitHub: DrXOps/pentool — бесплатно (PRO-функции платные) 😈 CodeGuard: PySec Edition | Чат

✍️ PentestGPT: как запустить автономного AI-агента для пентеста за 15 минут Ты слышал про AI-агентов, которые «сами ломают». PentestGPT — один из них. Это open-source фреймворк, который указывает LLM на цель и позволяет ей работать: разведка, эксплуатация, отчёт. Без ручного вмешательства. Но перед тем как направить его на реальный периметр, нужно понять, как он устроен и где может навредить. Что это

🔥 PentestGPT — open-source агент для автоматизированного пентеста. Оригинальная версия вышла на USENIX Security 2024, текущая — развивается как agentic-фреймворк. Он запускает LLM (Claude Code или Codex) и даёт ей инструменты: сканирование, эксплуатацию, сбор результатов. Модель сама решает, что делать дальше.

Два режима: 👀Default: recon → exploit → walkthrough. Каждый этап передаёт данные следующему. 👀Pentest mode: asset discovery → vulnerability identification → report. Более формальный пайплайн. Важно: в автономном режиме человек не сидит в цикле. Агент сам выбирает действия. Что нужно для установки 🤨 Python 3.12+ uv — менеджер пакетов (быстрее pip) 🤨 Claude Code или Codex CLI — с аутентификацией. Это платные сервисы, но для базового использования хватает бесплатных лимитов. 🤨 Docker (опционально) — образ уже содержит оба CLI, логины сохраняются в volumes. Сам PentestGPT бесплатный (open-source, GitHub). Платить нужно только за API-доступ к LLM, если выходите за бесплатные квоты. Как запустить (кратко)

# Клонировать
git clone https://github.com/GreyDGL/PentestGPT.git
cd PentestGPT

# Установить зависимости через uv
uv sync

# Аутентифицировать Claude Code или Codex
claude login   # или codex login

Дальше — запуск. В Docker-образе логины уже прокинуты, если вы их сделали один раз. Ссылки 🔗 PentestGPT — GitHub — бесплатно (нужны API-ключи Claude/Codex) 🔗 PentestGPT — обзор Help Net Security — бесплатно 😈 CodeGuard: PySec Edition | Чат

ЛУЧШИЙ ВПН — ОБХОДИТ БЕЛЫЕ СПИСКИ🤖 В момент, когда интернет так нужен - его попросту нет. Но ребята из STRELKA VPN уже сделали стабильный проход на любые сайты. 🔘 Обходим белые списки любого региона [Подключиться] 🔘 Бесплатный пробный период [Для наших подписчиков] 🔘 Подключение за пару минут [Инструкция] 🔗Подпишись, уже сейчас @Strelka_vpn_bot