CodeGuard: PySec Edition

CVE-2026-119977: обновление WordPress стало вектором RCE. CISA требует патч до 6 ноября, атаки идут прямо сейчас Пока все обсуждают Ivanti и PHP2Shell, CISA добавила в KEV ещё одну уязвимость — на этот раз в ядре WordPress. Оценка CVSS 8.1, но дело не в цифре. Атакующему не нужен аккаунт на сайте. Достаточно дождаться окна обновления и предсказать временный путь. За первые сутки после публикации зафиксировано более 60 000 попыток эксплуатации. Для федеральных агентств США дедлайн — 6 ноября. Что за уязвимость

🤨 CVE-2026-119977 — TOCTOU (time-of-check to time-of-use) race condition в процессе обновления ядра WordPress. Проблема в том, что путь к временной директории, который используется во время установки обновления, предсказуем и доступен по сети. Атакующий может успеть записать свой setup-config.php в эту директорию до того, как WordPress его использует. Результат — выполнение произвольного кода без аутентификации.

Уязвимость исправлена в WordPress 7.1.4, выпущенном 28 октября. Бэкпорты для веток начиная с 4.7 выходят постепенно. Масштаб атак Wordfence сообщает, что за первые 21 час после раскрытия зафиксировано более 18 500 запросов к предсказуемому пути setup-config.php. За первые 24 часа — 12 632 заблокированных попытки эксплуатации. Previdian подтвердила как минимум три успешные попытки на honeypot, источник — IP в Великобритании. CISA добавила уязвимость в KEV 3 ноября. Федеральные гражданские агентства обязаны установить патч до 6 ноября и проверить системы на признаки компрометации. Что делать 1️⃣ Проверьте версию WordPress. Если ядро ниже 7.1.4 — обновитесь немедленно. 2️⃣Не откладывайте на «после выходных». Дедлайн CISA — 6 ноября, но атаки идут сейчас. 3️⃣После обновления — проверка на компрометацию. Ищите необычные файлы в wp-content/uploads, mu-plugins, изменения в .htaccess, новых пользователей с правами администратора. 4️⃣Если обновление невозможно — ограничьте доступ к wp-admin по IP или включите WAF-правила для блокировки запросов к setup-config.php извне. 🤒 CodeGuard: OSINT | Чат

🧩 Загадка: «Патч установлен, а данные всё равно зашифрованы». Что пошло не так? Рубрика «Загадка». Ситуация, которая повторяется в реальных инцидентах чаще, чем хотелось бы. Прочитай сценарий и ответь: почему обновление не спасло? Сценарий

🔵 Компания получила уведомление об уязвимости в NAS-хранилище Synology. Администратор обновил прошивку до последней версии в тот же день. Через месяц все данные на NAS оказались зашифрованы ransomware-группой. Бэкапы тоже были зашифрованы — они хранились на том же устройстве.

Вопрос: Что администратор сделал не так, если формально «патч был установлен»? Варианты: A) Неправильно выбрал версию прошивки. B) Патч закрыл уязвимость, но не удалил уже существующий бэкдор, который атакующие оставили до обновления. C) Ransomware не использовал уязвимость — он попал через фишинг. D) Synology выпускает патчи, которые не работают. 😈 CodeGuard: PySec Edition | Чат

ЛУЧШИЙ СПОСОБ ПОТРАТИТЬ 20$ Я оплачиваю сразу три подписки — ChatGPT, Claude и Gemini. Недавно все они выкатили крупные обновления, и я решил сравнить их в деле по пяти задачам: кодинг, работа с данными, мультимодальность, быстрый поиск и фильтрация контента. Кратко по результатам:

• Код: лидирует Claude (без комментариев) • Работа с данными: Gemini (легко переваривает тяжелые файлы без ошибок по лимитам). • Мультимодальность: ChatGPT (генерация и распознавание картинок работают стабильнее всего). • Быстрый поиск: паритет между ChatGPT и Gemini.

Фильтрация контента для меня сейчас важнее всего, поэтому на нее ушло больше всего времени. Скинул всем трем моделям массив своих подписок в тг (промпт на скрине), чтобы отсеять бесполезные каналы и оставить только полезных авторов-практиков. В итоге нейронки сошлись на 80% и выдали практически один список. Я лично проверил каждого автора — за подборку ручаюсь, многих читаю сам. Подписаться на подборку в 1 клик 👉️️️️️️https://t.me/addlist/vw3x-Xhc04NjYzAy

Цепочка из трёх zero-day в Ivanti Connect Secure даёт root без пароля. CISA требует патч, но атаки начались раньше Пока все обсуждают PHP2Shell, CISA добавила в KEV ещё две уязвимости Ivanti Connect Secure. Порознь они выглядят скромно: 8.8 и 4.3. Вместе с третьей, которая была в KEV с 13 октября, они дают неаутентифицированный root на VPN-шлюзе, который стоит на периметре. Threat actor UTA0576 использует эту цепочку с начала октября — и, что важно, не оставляет малвари, а живёт в системе и подчищает логи. Что за цепочка

🔵 CVE-2026-104935 (CVSS 8.6) — authentication bypass. Уже в KEV с 13 октября. Это точка входа: атакующий обходит аутентификацию и получает доступ к административному интерфейсу. 🔵 CVE-2026-111357 (CVSS 8.8) — privilege escalation. Позволяет аутентифицированному пользователю повысить привилегии. 🔵 CVE-2026-118527 (CVSS 4.3) — позволяет загрузить файл с контролируемым содержимым в известное место на диске.

Вместе: обход аутентификации → повышение привилегий → загрузка и выполнение кода с правами root. Почему это важно именно сейчас

🤨 Первое: атаки начались до патча. Volexity сообщает, что UTA0576 использует цепочку как минимум с 3 октября, ещё до того, как исправления стали доступны. 🤨 Второе: тактика отличается от типичной. Вместо веб-шеллов и малвари — кража учётных данных, метаданных Active Directory, администраторских паролей и ключей восстановления BitLocker. Атакующий повторно эксплуатирует устройство для каждой команды и подчищает логи, чтобы обойти встроенный Integrity Checker Tool от Ivanti. Это не «оставить бэкдор». Это «собрать всё, что нужно для дальнейшего доступа». 🤨 Третье: патч вышел, но не для всех веток сразу. Ivanti выпустила исправления, но компания признала, что изначально сосредоточилась на CVE-2026-104935, а фикс для повышения привилегий ещё разрабатывался, когда началась эксплуатация.

Что делать

🤨 Проверьте версию Ivanti Connect Secure. Если вы на уязвимой ветке — обновитесь до исправленной сборки. 🤨 Не считайте патч ремедиацией. Любой appliance, который был доступен из интернета в период эксплуатации, нужно отправить на форензик-ревью. Патч закрывает дверь, но не выгоняет того, кто уже внутри. 🤨 Ищите признаки кражи учётных данных. BitLocker recovery keys, администраторские пароли, метаданные AD — это то, что искал UTA0576.

Для федеральных агентств США: дедлайн по CVE-2026-111357 — 2 ноября 2026, по CVE-2026-118527 — 13 ноября 2026. Для всех остальных — рекомендация не ждать. Ссылка 🔗 Ivanti patches two more Connect Secure zero-days chained in attacks — BleepingComputer — бесплатно 😈 CodeGuard: PySec Edition | Чат

В России можно посещать IT-мероприятия хоть каждый день: как оффлайн, так и онлайн Но где их находить? Как узнавать о них раньше, чем когда все начнут выкладывать фотографии оттуда? Переходите на канал IT-Мероприятия России. В нём каждый день анонсируются мероприятия со всех городов России 📆 в канале размещаются как онлайн, так и оффлайн мероприятия; 👩‍💻 можно найти ивенты по любому стеку: программирование, frontend-backend разработка, кибербезопасность, дата-аналитика, osint, devops и другие; 🎙 разнообразные форматы мероприятий: митапы с коллегами по цеху, конференции и вебинары с известными опытными специалистами, форумы и олимпиады от важных представителей индустрии и многое другое А чтобы не искать по разным форумам и чатам новости о предстоящих ивентах: 🚀 IT-мероприятия России — подписывайся и будь в курсе всех предстоящих мероприятий!

Три уязвимости Ivanti Connect Secure, собранные в цепочку, дают root без пароля. CISA требует патч сегодня Пока все обсуждают PHP2Shell, CISA тихо добавила в KEV ещё две уязвимости Ivanti Connect Secure. Порознь они выглядят скромно: 8.8 и 4.3. Вместе с третьей, которая была в KEV с 13 октября, они дают неаутентифицированный root на VPN-шлюзе, который стоит на периметре. Исследователи из Volexity уже связали цепочку с активностью threat actor UTA0576. Для федеральных агентств США дедлайн по одной из них — сегодня, 2 ноября. Что за цепочка

🔵 CVE-2026-104935 (CVSS 8.6) — authentication bypass. Уже в KEV с 13 октября. Это точка входа: атакующий обходит аутентификацию и получает доступ к административному интерфейсу. 🔵 CVE-2026-111357 (CVSS 8.8) — missing authentication for a critical function. Позволяет аутентифицированному пользователю повысить привилегии. Сама по себе не критична, но в цепочке становится шагом к RCE. 🔵 CVE-2026-118527 (CVSS 4.3) — predictable numbers or identifiers. Позволяет загрузить файл с контролируемым содержимым в известное место на диске. Это завершающий шаг: загрузка полезной нагрузки, которая затем исполняется.

Вместе: обход аутентификации → повышение привилегий → загрузка и выполнение кода с правами root. Без валидных учётных данных. Что делать

1️⃣ Проверьте версию Ivanti Connect Secure. Если вы на 25.1.1.2 или 22.8R2.5 — обновитесь до 25.1.1.3 или 22.8R2.6 соответственно. 2️⃣ Не считайте патч ремедиацией. Любой appliance, который был доступен из интернета в период эксплуатации, нужно отправить на форензик-ревью. Патч закрывает дверь, но не выгоняет того, кто уже внутри. 2️⃣ Ищите признаки кражи учётных данных. BitLocker recovery keys, администраторские пароли, метаданные AD — это то, что искал UTA0576. 4️⃣ Для федеральных агентств США: дедлайн по CVE-2026-111357 — 2 ноября 2026, по CVE-2026-118527 — 13 ноября 2026. Для всех остальных — рекомендация не ждать.

😈 CodeGuard: PySec Edition | Чат

Потолок зарплаты в IT — ВСЁ Даже Senior-разработчики упираются в потолок. Дальше — менеджмент, смена компании или годы ожидания повышения. Но есть другой путь — зарабатывать больше на уже накопленном IT-опыте. И для этого необязательно переучиваться с нуля. Как именно, рассказывает Артём Алехин — экс-тимлид Сбера, работавший на валютных удаленках. Он совмещал российский найм с валютным контрактом, зарабатывая $8–9 тысяч в месяц. Артем создал проект в рамках которого получил для своих 200 учеников 40+ офферов на 200к+. Три направления, с которыми работает Артём: — Валютная удалёнка: выход на зарубежный рынок и поиск офферов от $5 000. — Монетизация экспертизы: превращать свой IT-опыт в доход через обучение и менторство — Свой IT-продукт: запуск SaaS с проверкой спроса сервиса для селлеров. Артём помогает выбрать подходящий путь и выстроить стратегию роста дохода, чтобы перестать зависеть от одного работодателя. Переходи в канал Артёма и изучай: @artem_itishnaya

😈 CodeGuard: PySec Edition | Чат

Япония переходит на упреждающий мониторинг трафика. Причина — AI-атаки, которые ломают старую инфраструктуру Пока мы обсуждаем KEV и патчи, в Японии происходит тектонический сдвиг в подходе к кибербезопасности. Правительство объявило о переходе от «реагирования после инцидента» к мониторингу телеком-трафика для предотвращения атак. Причина — волна AI-атак, которые бьют по компаниям от брокеров до служб доставки. И это не «ещё одна новость». Это признание: старая модель защиты больше не работает. Что произошло

✨ 28 октября правительство Японии подтвердило: официальный сайт торговли электроэнергией и газом был взломан. За несколько дней до этого хакеры заявили о публикации данных клиентов GMO Internet Group — той самой истории с отказом платить $50 млн. На прошлой неделе критическая уязвимость в PHP вынудила Mizuho Financial Group и других срочно принимать меры. По данным Macnica Security Research Center, с июля в Японии зафиксировано минимум 81 атака. Почти треть всех атак за последние три года пришлась именно на этот период. Эксперты связывают всплеск с AI-агентами и открытыми хакерскими инструментами: они снижают порог входа и помогают обходить языковые барьеры и устаревшую инфраструктуру.

Что меняется

🤨 Премьер-министр Сано Такаичи ещё летом сделал кибербезопасность национальным приоритетом. Теперь Япония сдвигается от пост-инцидентного реагирования к мониторингу телекоммуникационного трафика для блокировки угроз до того, как они нанесут ущерб. Для этого пришлось снять законодательные ограничения, которые запрещали правительству мониторить коммуникации.

Профессор Keio University Мотохиро Цучия дал жёсткую оценку: «Япония гораздо слабее других стран G7». Главный секретарь кабинета министров Минору Кихарa 29 октября заявил, что обеспечение квалифицированных security-специалистов — срочная задача. Почему это касается всех

🤨 Первое: это прецедент. Если G7-страна меняет законодательство ради упреждающего мониторинга трафика, другие могут последовать. Для специалистов по ИБ это означает сдвиг в сторону network detection and response и мониторинга на уровне операторов. 🤨 Второе: AI-атаки перестают быть теорией. Япония — не «страна третьего мира» с точки зрения ИТ. Если её инфраструктура не выдерживает, вопрос не в том, «когда» это дойдёт до других, а в том, «насколько мы готовы». 🤨 Третье: нехватка кадров. Заявление Кихарa — это прямое признание: технологий недостаточно, нужны люди. Для тех, кто входит в ИБ, это сигнал: спрос будет расти.

😈 CodeGuard: PySec Edition | Чат

🧩 Загадка: три уязвимости, одна цепочка. Собери атаку На этой неделе CISA добавила в KEV две уязвимости Ivanti Connect Secure. Порознь они опасны. Вместе — дают root без аутентификации. Твоя задача: собрать цепочку из трёх шагов. Что происходит на каждом этапе? Вводные

🔥 Атакующий нашёл internet-facing Ivanti Connect Secure. Устройство уязвимо к трём проблемам: обход аутентификации, выполнение кода и повышение привилегий. Вопрос: в каком порядке он их использует, и что получает на выходе?

Варианты ответа: A) Сначала RCE, потом обход аутентификации, потом повышение привилегий. B) Сначала обход аутентификации, потом RCE, потом повышение привилегий. C) Сначала повышение привилегий, потом обход аутентификации, потом RCE. D) Порядок не важен — любая последовательность даёт root. 😈 CodeGuard: PySec Edition | Чат

5️⃣ GitHub-репозиториев, которые заменяют десяток подборок по ИБ Ты устал от списков «100 инструментов, которые тебе нужны»? В них всегда чего-то не хватает: то облачной безопасности, то AI/LLM, то нормальной навигации. Эти пять репозиториев решают проблему иначе. Один — интерактивная карта, второй — единая платформа, третий — кураторский список. Все — бесплатные (open-source), все на GitHub. 1. 5h4d0wn1k/cybersecurity-framework — интерактивная карта всего ИБ

🤨 Бесплатно. Не просто список, а живой атлас: 27 доменов, 776 категорий, 1067 курируемых инструментов с оценкой усилий и подсказками «когда использовать». 517 инструментов помечены как best-in-class, чтобы новичок не тонул в выборе. Если не знаешь, с чего начать в новой области — открываешь карту и видишь, какие инструменты там вообще есть.

🔗 GitHub: 5h4d0wn1k/cybersecurity-framework — бесплатно 2. TheSecuredAnalyst/security-suite (SecSuite) — одна платформа вместо зоопарка

🤨 Бесплатно. Объединяет OSINT-разведку, сканирование веб-уязвимостей, аудит API, проверку комплаенса и AI-анализ в одном инструменте. 11 OSINT-модулей, 6 веб-сканеров, 4 инструмента для API. Вместо того чтобы переключаться между пятью утилитами, ты работаешь в одной среде. Open-source, AGPL-3.0.

🔗 GitHub: TheSecuredAnalyst/security-suite — бесплатно 3. zinvite/awesome-cybersecurity — кураторский список без мусора

🤨 Бесплатно. Проверенные ресурсы, инструменты и фреймворки для защиты систем, сетей и данных. Внутри — не «всё подряд», а отобранные проекты: Burp Suite, Wireshark, Suricata, Shodan, theHarvester, Amass. Если нужен надёжный список для старта, а не 500 ссылок из гугла — этот репозиторий экономит часы фильтрации.

🔗 GitHub: zinvite/awesome-cybersecurity — бесплатно 4. Think-Cube/awesome-security — от сети до веба, без белых пятен

🤨 Бесплатно. Компиляция инструментов, библиотек и ресурсов для безопасности. Покрывает сетевую и веб-безопасность, пентест и защиту. Metasploit, Nmap, Nuclei, Lynis — всё с описаниями. Хорош как отправная точка, если ты только выбираешь направление и хочешь увидеть ландшафт целиком.

🔗 GitHub: Think-Cube/awesome-security — бесплатно 5. CyberDefenderAI/AI-Security-Tools-Applied-Scenarios — AI в ИБ не на словах, а в сценариях

Бесплатно. Не просто список AI-инструментов, а прикладные сценарии: как применять LLM и ML для решения конкретных задач в security operations. Codium PR-Agent, GitHub Advanced Security, Snyk Code, Bito, Fabric — с примерами использования. Если ты хочешь понять, где AI реально помогает в ИБ, а не «где хайп», это репозиторий с ответами.

🔗 GitHub: CyberDefenderAI/AI-Security-Tools-Applied-Scenarios — бесплатно 😈 CodeGuard: PySec Edition | Чат

⚠️ Внимание: Опубликована слитая недавно База из 1000+ топовых курсов и материалов для айтишников Отсортировали их для вашего удобства и выложили в телеграм-каналы по категориям: 🤖 Нейросети – 855+ материалов 🖥 Python — 1558+ материалов 👩‍💻 Frontend — 1241+ материалов 👩‍💻 Backend — 1095+ материалов ⚙️ Программы — 978+ материалов 📚 Книги по IT — 779+ материалов ⌛️ Ссылки будут активны 48 часов, сохрани себе, чтобы не потерять!

12 команд Linux, которые нужны в первые 10 минут расследования Алерт: на сервере что-то не так. Ты открываешь терминал. Время идёт. Вот шпаргалка по трём ключевым областям — процессы, сеть и файлы. Все команды read-only (если не помечено иное), так что ты ничего не сломаешь, пока разбираешься. Бесплатно. Процессы — кто запущен и откуда 🟣 ps auxww — все процессы с полной командной строкой. Сразу видно, что именно запущено, а не только имя бинарника. 🟣 ps -eo pid,ppid,user,cmd --forest — дерево процессов. Помогает найти «сирот» и понять, кто кого породил. 🟣 cat /proc/<pid>/cmdline | tr '\0' ' ' — точная командная строка процесса. Полезно, когда ps обрезает аргументы. 🟣 readlink /proc/<pid>/exe — путь к бинарнику. Если в конце (deleted) — процесс работает из удалённого файла. Это красный флаг. 🟣 lsof -p <pid> — все открытые файлы процесса. Видно, что он читает и пишет прямо сейчас. Сеть — с кем говорит сервер 🤨 ss -tulpn — все слушающие порты и процессы, которые их держат. Замена устаревшему netstat. 🤨 ss -tunpa state established — только установленные соединения. Сразу видно, куда сервер уже подключён. 🤨 lsof -i :80 — какой процесс использует конкретный порт. Быстрее, чем перебирать ss. 🤨 tcpdump -i any -n port 4444 — живой захват трафика на подозрительном порту. Для глубокого анализа — -w capture.pcap и открыть в Wireshark. Файлы и логи — что изменилось 🟠 find /var/www -mtime -1 — файлы, изменённые за последние 24 часа. Первое, что смотрят при подозрении на веб-шелл. 🟠grep -ri "malicious_ip" /var/log/ — рекурсивный поиск по логам. Без него поиск инцидента превращается в перебор файлов вручную. 🟠last -n 10 и w — кто заходил и кто сейчас в системе. w показывает ещё и активные сессии. Практический пример Сервер тормозит. Запускаешь:

ss -tulpn | grep -v "127.0.0.1"

Видишь процесс python3 на незнакомом порту. Дальше:

lsof -p <PID> | grep -i deleted

Если процесс держит удалённый бинарник — это майнер или бэкдор. find / -mmin -30 -type f покажет, что ещё появилось за последние полчаса. 😈 CodeGuard: PySec Edition | Чат

6 бесплатных инструментов октября, которые закрывают то, что пропустили сканеры Октябрь выдался плотным: PHP2Shell, GitLab RCE, Brotli, ядро Linux. Но вместе с уязвимостями вышли и инструменты, которые помогают защищаться. Собрали шесть open-source решений, которые появились или обновились за последний месяц. Все — бесплатные, без лицензионных платежей и per-asset pricing. 1. PrivacySafe Foundation — 57 скриптов против PHP2Shell и не только

🔥 Бесплатно (open-source). Некоммерческий фонд выпустил набор из 57 защитных скриптов, которые покрывают 139 уязвимостей в 67 проектах на 10 языках (PHP, Node.js, Python, Ruby). Главный фокус — PHP2Shell, критическая дыра, затрагивающая почти 70% веб-доменов. Скрипты работают недеструктивно: аудит конфигураций и оценка экспозиции без изменения кода.

🔗 Security Today: PrivacySafe Foundation Releases Free Open Source Cybersecurity Tools — бесплатно 2. CVEngine — attack surface assessment, который отвечает на вопрос «что из этого реально моё?»

🔥 Бесплатно (open-source, self-hosted). Один Docker Compose — и у тебя непрерывный цикл: discovery (bbot, certificate transparency), fingerprinting (nmap, nuclei), сопоставление с live-фидами эксплуатируемых CVE (CISA KEV, ENISA EUVD). Вместо горы алертов — вердикт: «эта CVE есть на твоём ассете, и вот доказательство». Инвентарь остаётся на твоём сервере, AI-ключи — твои.

🔗 GitHub: hevnsnt/CVEngine — бесплатно 3. Zero-Breach Toolkit — проверка на Pegasus, Predator и другие шпионские программы

🔥 Бесплатно (open-source). Офлайн-проверка на следы mercenary spyware (Pegasus, Predator, Graphite, Candiru) на Windows, macOS, Linux, Android и iPhone-бэкапах. Работает read-only, без сетевых запросов во время скана. Каждый отчёт честно указывает, что найдено и насколько сильны доказательства. Полезно для журналистов, активистов и всех, кто в группе риска.

🔗 GitHub: interplains/Zero-Breach-Toolkit — бесплатно 4. DevGuard — управление уязвимостями в цепочке поставок

🔥 Бесплатно (open-source, OWASP Incubating Project). Собирает security-находки проекта в одном месте: secret scanning, SAST, dependency checks, IaC, container scanning, лицензии. Работает через один CLI, который оборачивает существующие open-source инструменты (Trivy, Grype, Semgrep). Findings синхронизируются с GitHub Issues, GitLab и Jira. Можно self-host.

🔗 Help Net Security: DevGuard — Open-Source Vulnerability Management — бесплатно 🔗 GitHub: l3montree-dev/devguard — бесплатно 5. ProjectDiscovery Neo Triage — валидация уязвимостей в изолированной песочнице

🔥 Бесплатно (часть open-source платформы ProjectDiscovery). Вместо того чтобы верить сканеру на слово, Neo Triage воспроизводит находку в sandbox: показывает запросы и ответы, которые доказывают, что уязвимость существует. Дальше — определяет реальную severity, предлагает фикс и автоматически перепроверяет после исправления. По данным вендора, превращает ~50 000 часов ручного триажа в ~8 300 часов ревью.

🔗 Security Boulevard: ProjectDiscovery Adds Free Tool to Validate Vulnerabilities — бесплатно 6. brotli2shell_Hunter — поиск уязвимых декодеров Brotli, включая встроенные копии

🔥 Бесплатно (open-source). Пока все патчат системные библиотеки, уязвимость CVE-2026-111497 (Brotli2Shell / HTTP2Shell) часто живёт во встроенных копиях декодера — в Node.js, Bun, PyPI-пакетах, бинарниках. Этот сканер находит такие копии, определяет, достижимы ли они из недоверенного ввода, и ранжирует по серьёзности. Работает read-only, поддерживает SBOM (CycloneDX/SPDX) и вывод в SARIF.

🔗 GitHub: dansaurabh/brotli2shell_Hunter — бесплатно Как использовать

➡️ Не пытайся внедрить всё сразу. Выбери одну цель: ➡️ Защита от PHP2Shell → PrivacySafe Foundation ➡️ Мониторинг внешнего периметра → CVEngine ➡️ Проверка на шпионское ПО → Zero-Breach Toolkit ➡️ Supply chain security → DevGuard ➡️ Валидация сканера → Neo Triage ➡️ Brotli2Shell → brotli2shell_Hunter

Все шесть — с бесплатным доступом и открытым кодом. Начни с того, что закрывает текущую боль. 😈 CodeGuard: PySec Edition | Чат

🔍 Тест: Сможете ли вы заметить атаку в CI/CD? Пятничный формат — не мем, а короткий тест на внимательность. Вчера CISA выпустила advisory по критической уязвимости в GitLab. Атакующий может выполнить код на сервере без аутентификации — через специально сформированное регулярное выражение в CI/CD-конфигурации. Вопрос: если бы вы увидели этот конфиг, заметили бы подвох? Ситуация: Вы — администратор GitLab. В логах CI/CD появляется подозрительная активность. Открываете .gitlab-ci.yml и видите:

stages:
  - test
  - deploy

test_job:
  stage: test
  script:
    - echo "Running tests..."
    - ./run_tests.sh
  rules:
    - if: '$CI_PIPELINE_SOURCE == "merge_request_event"'

Вопрос: Что в этом конфиге выглядит подозрительно, если учесть, что уязвимость CVE-2026-97229 связана с недостаточной валидацией регулярных выражений в CI/CD? Варианты ответа: A) stages — слишком мало этапов B) script — нет кавычек вокруг ./run_tests.sh C) rules: if: — регулярное выражение $CI_PIPELINE_SOURCE не валидируется должным образом, и атакующий может внедрить свой код через специально сформированное значение D) stage: test — не указан allow_failure 😈 CodeGuard: PySec Edition | Чат

Node2Shell / HTTP2Shell: CISA подтвердила эксплуатацию. Уязвимость в Brotli затрагивает Node.js, Python и .NET Пока все патчат PHP и GitLab, CISA добавила в KEV ещё одну критическую уязвимость. На этот раз — в Brotli, библиотеке сжатия, которая используется почти везде: в Node.js, Python-пакетах, .NET, Bun, PHP-сборках для Windows и даже в некоторых прокси. CVSS 4.0 — 9.2. Атака не требует аутентификации: достаточно отправить специально сформированные сжатые данные. Что за уязвимость

🔵CVE-2026-111497 — out-of-bounds write в декодере Brotli. Уязвимость позволяет неаутентифицированному атакующему вызвать падение процесса, раскрыть память или выполнить код через специально сжатые данные. Проблема в том, что Brotli часто обрабатывает входящие запросы и ответы доаутентификации и контроля на уровне приложения.

Затронуты встроенные копии декодера в Node.js, Python-пакетах, .NET, Bun, PHP для Windows, а также в некоторых прокси и инструментах обработки файлов. Почему это критично именно сейчас

🔵27 октября CISA добавила CVE-2026-111497 в каталог Known Exploited Vulnerabilities. Это значит, что эксплуатация подтверждена — не теоретическая, а реальная.

По данным ThreatLabz, за первые 24 часа после раскрытия зафиксировано 402 события разведки и попыток эксплуатации с 20 source IP против 12 клиентов. Imperva продемонстрировала выполнение кода на контейнере Node.js, а ELLIO — получение shell на официальных сборках Node.js 24.22.0 для x86-64 в конфигурации по умолчанию. Главная ловушка: обновление системной библиотеки может не помочь Многие думают: «Я обновил brotli в системе — значит, закрыл». Это не так. Уязвимость часто живёт в встроенных копиях декодера, которые поставляются вместе с Node.js, Python-пакетами или контейнерными образами. Обновление системной библиотеки не трогает эти встроенные копии. Что делать:

1️⃣Обновить все зависимости Brotli — не только системную, но и те, что идут в составе приложений. 2️⃣Пересобрать контейнеры — старые образы могут содержать уязвимый декодер. 3️⃣Перезапустить процессы — чтобы уязвимый код не остался в памяти. 4️⃣Проверить, что уязвимые компоненты больше не запущены — обновление файла не всегда означает, что процесс использует новую версию.

Временная мера: если патч отложен, можно временно отклонять Brotli-сжатые запросы или отключить пути декодирования — включая обработку ответов. Ссылка 🔗 CISA Adds Critical Brotli Decoder Flaw Node2Shell to Exploited Vulnerabilities Catalog — Mallory — бесплатно 🔗 CVE-2026-111497: Node2Shell / HTTP2Shell — Zscaler ThreatLabz — бесплатно 🔗 Brotli2Shell: A Compression Library Flaw Becomes Cross-Runtime RCE — CSA Labs — бесплатно 😈 CodeGuard: PySec Edition | Чат

🤯 Server Hardening за 8 шагов: чек-лист для тех, кто только получил VPS Ты арендовал сервер. Через час в auth.log — сотни попыток подбора пароля. Это не паранойя, это норма для публичного IP. Вот процесс hardening, который закрывает почти все автоматические атаки. Бесплатно (все шаги — стандартные команды и open-source инструменты). Что такое hardening и зачем он нужен

🔵Hardening — это не «поставить антивирус». Это приведение сервера к состоянию, где осталось только то, что нужно для его роли: убраны лишние сервисы, закрыты ненужные порты, настроены права доступа, включено логирование. По данным Atlantic.net, большинство проблем возникает ещё на этапе установки: дефолтные конфигурации содержат сервисы и аккаунты, которые серверу не нужны.

8 шагов, которые стоит сделать в первый час 1. Обнови всё сразу.

sudo apt update && sudo apt upgrade -y

Если обновилось ядро — перезагрузись. 2. Создай пользователя с sudo. Не работай под root постоянно. Одна ошибка может сломать систему.

adduser deploy
usermod -aG sudo deploy

3. Перейди на SSH-ключи. Ключ подобрать несравнимо сложнее, чем пароль.

ssh-keygen -t ed25519 -a 100
ssh-copy-id deploy@ТВОЙ_IP

4. Отключи root-логин и вход по паролю. Только после того, как ключ работает. В /etc/ssh/sshd_config.d/ создай файл:

PermitRootLogin no
PasswordAuthentication no
AuthenticationMethods publickey
MaxAuthTries 3

Проверь конфиг перед перезапуском: sudo sshd -t. 5. Включи файрвол. Разреши только то, что используешь.

sudo ufw allow OpenSSH
sudo ufw allow 80,443/tcp
sudo ufw enable

6. Поставь Fail2ban. Он читает логи и блокирует IP после нескольких неудачных попыток.

sudo apt install fail2ban -y
sudo systemctl enable --now fail2ban

7. Включи логирование и мониторинг. Без логов ты не узнаешь, что происходит. Настрой auditd или хотя бы убедись, что journald пишет всё необходимое. 8. Проверь открытые порты. После настройки — ещё раз посмотри, что слушает:

ss -tulpn

Если видишь что-то, чего не ожидал — выключи. Практический пример

🤨 Свежий VPS. Через час в auth.log — 5000 неудачных попыток. После шагов 3–6: ключ вместо пароля, root закрыт, файрвол пропускает только 22/80/443, Fail2ban банит IP после трёх промахов. Через сутки попытки продолжаются, но ни одна не проходит. Это не «пуленепробиваемость». Но это база, с которой можно работать.

😈 CodeGuard: PySec Edition | Чат

😈 CodeGuard: PySec Edition | Чат

Ваш VPS уже просканировали. Вот что делать после базовой настройки SSH и файрвола Ты закрыл root, отключил пароли, включил UFW. Думаешь, сервер в безопасности? Публичный IP сканируют автоматически — не потому что ты интересен, а потому что это поток. Базовый hardening закрывает очевидное, но оставляет асимметрию: IPv4 защищён, IPv6 — часто нет; ingress закрыт, egress — открыт. Вот что стоит добавить, если хочешь выйти за пределы чек-листа. Бесплатно (все инструменты — стандартные или open-source). 1. SSH: не просто ключи, а Ed25519 + модульный конфиг Пароли отключены — хорошо. Но если ты всё ещё на RSA-ключах, есть смысл перейти на Ed25519: короче, быстрее, устойчивее к коллизиям.

ssh-keygen -t ed25519 -a 100 -C "secops-bastion-admin"

Не правь /etc/ssh/sshd_config напрямую. Современный OpenSSH подхватывает файлы из /etc/ssh/sshd_config.d/. Создай 01-hardened.conf:

PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
AuthenticationMethods publickey
MaxAuthTries 3
ClientAliveInterval 300
ClientAliveCountMax 2
X11Forwarding no
AllowTcpForwarding no

Перед перезапуском — sshd -t, чтобы не потерять доступ. 2. IPv6: не забывай про вторую половину стека Классическая ошибка: IPv4 закрыт stateful-файрволом, а IPv6 — открыт. Атакующие это знают. nftables позволяет описать симметричные правила для обоих стеков в одном файле. Пример для /etc/nftables.conf:

table inet filter {
  chain input {
    type filter hook input priority filter; policy drop;
    ct state established,related accept
    ct state invalid drop
    ip protocol icmp accept
    ip6 nexthdr ipv6-icmp accept
    tcp dport { 22, 80, 443 } accept
  }
}

inet означает, что таблица применяется и к IPv4, и к IPv6. Не нужно дублировать правила. 3. Egress: не только «кто может войти», но и «куда можно выйти»

🔵 Если сервис скомпрометирован, майнеру или reverse shell нужен исходящийдоступ. Базовый файрвол это часто игнорирует. Добавь ограничение egress: разреши только то, что нужно приложению (обновления, API, DNS), остальное — drop.

Практический пример Свежий VPS. Через час в auth.log — сотни попыток. После Ed25519, модульного sshd_config.d, симметричного nftables и egress-фильтра: попытки продолжаются, но ни одна не проходит. Reverse shell, если вдруг появится, не сможет «позвонить домой». 😈 CodeGuard: PySec Edition | Чат

👩‍💻 Всем программистам посвящается! Вот 14 авторских обучающих IT каналов по самым востребованным областям программирования: Выбирай своё направление: 👩‍💻 Python — t.me/python_ready 🤔 InfoSec & Хакинг — t.me/hacking_ready 🖥 SQL & Базы Данных — t.me/sql_ready 👩‍💻 IT Новости — t.me/it_ready 🤖 AI & ML — t.me/neuro_ready 👩‍💻 Frontend — t.me/frontend_ready 👩‍💻 C/C++ — https://t.me/cpp_ready 👩‍💻 C# & Unity — t.me/csharp_ready 👩‍💻 Linux — t.me/linux_ready 👩‍💻 Java — t.me/java_ready 📖 IT Книги — t.me/books_ready 📱 JavaScript — t.me/javascript_ready 🖼️ DevOps — t.me/devops_ready 🖥 Design — t.me/design_ready 📌 Гайды, шпаргалки, задачи, ресурсы и фишки для каждого языка программирования!