7679
Анализируем и делимся новейшими уязвимостями в ПО и системах, предоставляя рекомендации по их устранению.
В Adobe Reader обнаружили критическую уязвимость, которая запускается при открытии PDF
Исследователь безопасности Haifei Li обнаружил активно эксплуатируемую уязвимость в Adobe Reader. Атака запускается автоматически при открытии вредоносного PDF — никакого дополнительного взаимодействия от пользователя не требуется.
Вредоносный документ сначала собирает данные о системе жертвы, а затем подбирает подходящий способ взлома. Такой адаптивный подход позволяет обходить защитные механизмы и сохранять эффективность атаки на разных конфигурациях.
Атаки фиксируются как минимум с декабря: злоумышленники похищают данные и загружают дополнительные инструменты для взлома, а PDF-документы маскируют под деловую переписку с упоминанием нефтегазовой отрасли. Adobe уже уведомили о проблеме, однако патч пока не выпущен. До его появления рекомендуется не открывать PDF из непроверенных источников.
#adobereader #уязвимость #кибербезопасность #зловредныйpdf @ZerodayAlert
Критическая уязвимость в платформе для ИИ-разработки Flowise уже атакуется
8 апреля система VulnCheck зафиксировала первые попытки эксплуатации CVE-2025-59528 в Flowise — популярной платформе для создания ИИ-решений. Уязвимость получила максимальную оценку 10 из 10 и позволяет внедрить произвольный JavaScript-код с его последующим выполнением на стороне сервера.
Проблема содержится в логике работы сервера CustomMCP и затрагивает сразу несколько версий платформы. В открытом доступе сейчас находится от 12 000 до 15 000 установок Flowise, при этом вся замеченная вредоносная активность исходит с одного IP-адреса, связанного со спутниковым интернетом Starlink.
Разработчики закрыли уязвимость в версии Flowise 3.0.6, однако далеко не все пользователи успели установить обновление. Помимо CVE-2025-59528, злоумышленники параллельно эксплуатируют ещё две уязвимости Flowise, ранее также внесённые в список активно используемых.
#flowise #уязвимость #ИИ #zeroday
@ZerodayAlert
Нулевая уязвимость Windows опубликована на GitHub
В Windows обнаружили новую уязвимость повышения привилегий, а затем в сети появился и код для эксплуатации. Ситуацию обостряет не только отсутствие патча, но и сам контекст публикации: уязвимость сначала передали Microsoft через закрытый канал, а потом эксплойт оказался в открытом доступе на фоне конфликта вокруг процесса уведомления.
С технической точки зрения BlueHammer интересна не названием, а устройством. Речь не о «магическом взломе любой Windows», а о локальном повышении привилегий через ошибку класса TOCTOU и путаницу с путями. Даже если код работает нестабильно, сама схема атаки уже опасна: она открывает путь к получению прав SYSTEM или повышенного администратора, а затем и к извлечению хешей из SAM.
Для отрасли случай важен по другой причине. Когда рабочий код публикуют до выхода исправления, спор о раскрытии быстро превращается в практический риск для защитников. BlueHammer напоминает о простой вещи: самый опасный этап атаки часто начинается уже после первого проникновения.
#windows #bluehammer #github #кибербезопасность
@ZerodayAlert
Обход авторизации в Control Web Panel — достаточно знать имя пользователя
В панели управления хостингом Control Web Panel обнаружена уязвимость CVE-2025-70951, позволяющая выполнять команды на сервере без аутентификации. Для атаки достаточно знать имя существующего пользователя — пароль и сессия не требуются.
Уязвимость выросла из предыдущей CVE-2025-48703: тогда разработчики закрыли опасный код в файловом менеджере, но не проверили модуль addons. Этот модуль по-прежнему принимал запросы без проверки подлинности, если в адресе указывалось корректное имя пользователя.
Атака строилась на том, что модуль addons не проверял содержимое параметра пути при установке дополнения. Злоумышленник встраивал в этот параметр произвольную команду, которую сервер затем выполнял через системную оболочку. Уязвимость подтверждена на версиях 0.9.8.1218, 0.9.8.1219 и 0.9.8.1222 и устранена в версии 0.9.8.1224, вышедшей в марте 2026 года.
#уязвимость #zeroday #хостинг #CWP
@ZerodayAlert
0day в Chrome: WebGPU стал точкой входа
В Chrome обнаружили уязвимость нулевого дня CVE-2026-5281, которую уже используют в реальных атаках. Проблема затрагивает компонент Dawn, через который реализован WebGPU и работа с графикой в браузере. Google выпустила обновление и не рекомендует откладывать установку.
Ошибка относится к классу use-after-free. В графическом стеке такие баги особенно неприятны из-за асинхронной работы с памятью и GPU. Если атакующий ловит момент между освобождением и повторным использованием объекта, браузер начинает обращаться к уже невалидной памяти. Дальше возможен выход из песочницы визуализатора и выполнение кода в системе, особенно в связке с другими уязвимостями.
Показателен сам вектор атаки. WebGPU — новый и сложный слой, где ещё не устоялись практики защиты. Интерес атакующих к таким компонентам растёт, и подобные уязвимости, к сожалению, будут появляться всё чаще.
#chrome #webgpu #0day #уязвимости
@ZerodayAlert
Для Telegram начался отсчёт до публичного раскрытия критической уязвимости
Zero Day Initiative зафиксировала в Telegram критическую уязвимость и запустила обратный отсчёт на исправление. Подробности пока закрыты, но оценка 9,8 из 10 уже выводит находку в категорию самых опасных. Публичное раскрытие назначено на 24 июля 2026 года. И если разработчики не закроют проблему до этого срока, подробности о ней станут доступны каждому.
Даже без описания механики картина выглядит тревожно. Предварительный CVSS-вектор указывает на удалённую атаку через сеть, низкую сложность эксплуатации, отсутствие привилегий и даже участия пользователя. Для защитника такой набор означает худший тип неопределённости: уязвимость ещё не раскрыли, а контур возможного ущерба уже выглядит максимально широким.
В таких случаях рынок следит не за формулировками пресс-службы, а за скоростью инженерной реакции. Критическая ошибка в мессенджере не бьёт точечно. Критическая ошибка ставит под вопрос устойчивость всей среды, через которую проходят личные сообщения, рабочие обсуждения и чувствительные данные. Времени на спокойный разбор у Telegram почти нет.
#telegram #cvss #уязвимость #кибербезопасность
@ZerodayAlert
Хакеры атакуют Apple, Craft CMS и Laravel
Три уязвимости затрагивают продукты Apple и уже применяются в сложных цепочках взлома. Специально подготовленные веб-страницы и ошибки синхронизации позволяют повредить память устройства, выйти из изоляции процессов и выполнить произвольный код.
Уязвимость в Craft CMS получила максимальные 10 баллов опасности и позволяет выполнить код на сервере без авторизации. Достаточно одного специально сформированного запроса – и злоумышленник получает полный контроль над системой.
Схожая проблема обнаружена в Laravel Livewire: ошибка в обработке компонентов открывает доступ к командам сервера без входа в систему. Такие уязвимости становятся точкой входа для захвата серверов, кражи данных и закрепления в инфраструктуре жертвы.
#zeroday #уязвимости #CMS #apple
@ZerodayAlert
Шесть уязвимостей и три бэкдора — как DarkSword взламывает iPhone
🕵️ На рынке кибершпионажа появился новый инструмент — DarkSword, набор эксплойтов для iPhone, который уже используют несколько хакерских группировок, в том числе предположительно связанных с государственными структурами. Об угрозе сообщили исследователи Google, iVerify и Lookout. По их данным, атаки ведутся как минимум с ноября 2025 года.
⚠️ DarkSword эксплуатирует шесть уязвимостей в iOS 18.4–18.7 и устанавливает три разных бэкдора. Заражение происходит через переход на вредоносный сайт: цепочка эксплойтов последовательно пробивается от браузера до ядра системы, после чего вредонос похищает переписку, фото, геолокацию, данные криптокошельков, журналы звонков и многое другое.
🛡Особую тревогу вызывает то, что DarkSword одновременно применяют несколько независимых группировок — в кампаниях против пользователей из Саудовской Аравии, Турции и Малайзии. Apple уже закрыла все шесть уязвимостей, поэтому специалисты настоятельно рекомендуют немедленно обновить iOS.
#кибербезопасность #iPhone #шпионскоеПО
CISA зафиксировала атаки через "безобидную" утечку в Wing FTP
🎯 Агентство по кибербезопасности США добавило в каталог активно эксплуатируемых уязвимостей CVE-2025-47813 — дефект в Wing FTP Server, который на первый взгляд выглядит безобидно. Он просто раскрывает полный путь установки приложения на сервере. Никакого удаленного выполнения кода, никакой кражи данных. Но злоумышленники используют эту утечку как разведку перед основным ударом: сервер сам подсказывает, где лежат нужные файлы и как устроена структура. А дальше в ход идет CVE-2025-47812 — критическая RCE-уязвимость, которая дает полный контроль.
🔗 Wing FTP стоит на внешнем периметре у ВВС США, Sony, Airbus, Reuters и еще десяти тысяч клиентов по всему миру. Сервер работает с чувствительными файлами, часто доступен извне, и любая брешь здесь — это прямая дорога внутрь инфраструктуры. Исследователь Жюльен Аренс опубликовал демонстрационный код для CVE-2025-47813, после чего связка из двух уязвимостей стала работать как конвейер: сначала вытащить служебную информацию, потом использовать ее для точного удара через RCE. CISA не раскрывает детали текущих атак, но само включение в KEV уже много значит.
⏰ Патч вышел в мае 2025 года — версия 7.4.4 закрыла сразу три дыры, включая обе из этой цепочки. Но между публикацией технических деталей и началом атак прошел буквально день. У администраторов не осталось привычного запаса времени на спокойное обновление. Федеральным ведомствам США дали две недели на установку патча, всем остальным CISA настоятельно рекомендует не затягивать.
#wingftp #cisa #kev #цепочкаатак
@CyberStrikeNews
«Zombie ZIP»: как один байт ломает проверку архивов
Специалист Bombadil Systems Крис Азиз показал необычный способ обхода антивирусов через ZIP-архивы. Метод «Zombie ZIP» меняет значение поля, которое описывает способ сжатия файла. Проверяющие системы видят в заголовке «данные без сжатия» и анализируют содержимое в таком виде.
Архив при этом хранит файл в стандартном формате Deflate. Антивирусы читают поток данных как несжатый, получая бессмысленный набор байтов, из-за чего сигнатуры не совпадает и детектирование не срабатывает. Дополнительная деталь — подменённая контрольная сумма CRC. Из-за несоответствия популярные архиваторы считают файл повреждённым и отказываются распаковывать содержимое.
С технической точки зрения проблема лежит не в ZIP как формате, а в логике проверки. Многие защитные движки анализируют архив «по паспорту», а не по фактической структуре данных. Zombie ZIP наглядно показывает последствия такого подхода. Если метаданные формата можно подделать, значит проверка должна уметь игнорировать заголовки и проверять реальную структуру архива.
#malware #zip #архивы #кибербезопасность
Дыра в pac4j-jwt. Теперь буквально каждый — «admin»
В библиотеке pac4j-jwt обнаружили критическую уязвимость CVE-2026-29000 (10,0). Злоумышленник может выдать себя за любого пользователя, включая администратора. Пароли и закрытые ключи не нужны.
Фокус в том, как библиотека обрабатывает JWT. Если сделать токен без подписи (PlainJWT) и зашифровать публичным RSA-ключом сервера, код «теряет» признак подписи и пропускает её проверку. Сервер читает роль из токена и верит ей.
История не только про один пакет. Шифрование часто добавляют как «усиление», но шифрование не доказывает источник. Если подпись проверяют не в самом начале, любая ошибка превращается во вход с любыми правами. Обновление зависимостей здесь реально закрывает входную дверь.
#jwt #java #auth #аутентификация
Zero Day в Android уже используется в целенаправленных атаках
Наиболее опасная уязвимость бюллетеня – CVE-2026-0006 – находится в системном компоненте Android. Именно через него злоумышленник способен выполнить произвольный код на устройстве удалённо, без каких-либо прав и без участия пользователя.
Уязвимость CVE-2026-21385, обнаруженная в системных службах и инфраструктуре платформы Android, уже применяется в реальных целенаправленных атаках. Google подтвердила факты эксплуатации, однако подробности о механизме атак не раскрывает.
Критические ошибки в ядре Linux, которое лежит в основе Android, затрагивают подсистемы виртуализации, гипервизора и файловых систем, позволяя повысить привилегии и получить контроль над системой. Отдельные уязвимости выявлены в компонентах чипсетов и графических процессоров от Arm, MediaTek, Qualcomm и Unisoc.
#android #безопасность #уязвимости #исправление
@ZerodayAlert
Пять стран скоординировали ответ на массовые атаки против Cisco SD-WAN
CISA выпустила экстренную директиву, обязательную для всех гражданских федеральных ведомств США. Документ предписывает выявить затронутые системы, проверить их на признаки компрометации и установить обновления до 27 февраля 2026 года.
В основе атак лежат две уязвимости в Cisco Catalyst SD-WAN — CVE-2026-20127, позволяющая удалённо обойти аутентификацию и получить административные права, и CVE-2022-20775, открывающая путь к правам root. Злоумышленники внедряют в инфраструктуру фиктивный узел, который выполняет доверенные действия и обеспечивает долгосрочное закрепление в системе.
К совместному предупреждению присоединились агентства Великобритании, Канады, Новой Зеландии, Австралии и США. Австралийская разведка установила, что как минимум один атакующий использовал уязвимость нулевого дня в Cisco SD-WAN с 2023 года — обнаружить её удалось лишь в конце 2025 года.
#cisco #zeroday #sdwan #уязвимости
@ZerodayAlert
Почтовый клиент Roundcube стал вектором активных кибератак
CISA предупредило о двух уязвимостях в Roundcube Webmail — популярном почтовом клиенте, широко используемом в корпоративных сетях. Обе бреши уже применяются в реальных атаках, что и послужило основанием для обновления списка известных активно эксплуатируемых уязвимостей.
Первая — CVE-2025-49113 с оценкой CVSS 9.9 — позволяет авторизованному пользователю выполнить произвольный код на сервере через модуль загрузки файлов и затрагивает версии до 1.5.10 и 1.6.x до 1.6.11 включительно. Вторая — CVE-2025-68461 с оценкой CVSS 7.2 — эксплуатирует XSS через SVG-теги и позволяет выполнять вредоносный код прямо в браузере жертвы без её ведома. Эксплуатация обеих брешей была зафиксирована ещё до их попадания в каталог.
Федеральные ведомства США обязаны устранить уязвимости в установленные сроки согласно директиве 2021 года. Остальным организациям рекомендуется как можно скорее обновить Roundcube до безопасных версий, поскольку взлом почтового сервера открывает доступ к переписке и учётным данным.
#кибербезопасность #roundcube #уязвимости #cisa
@ZerodayAlert
🔓 Рынок 0day: как продают уязвимости за миллионы
Zero-day — уязвимость в программе, о которой разработчик еще не знает. Патча нет, защиты нет, а у атакующего уже есть путь внутрь.
Именно такой доступ и продают.
Схема рынка простая:
Исследователь находит баг → брокер проверяет и продает → покупатель получает доступ
Что влияет на цену? Главный фактор, нужно ли жертве что-то сделать.
• Атака с кликом — от $500 000
Жертва должна открыть ссылку, вложение или сообщение.
Звучит как мелочь, но такой клик часто легко организовать через фишинг, подставной контакт или просто хорошо написанное письмо.
• Без единого клика — от $1 500 000
Сообщение пришло, и устройство уже скомпрометировано.
Жертва ничего не открывала, не нажимала и даже не смотрела на экран. Такие уязвимости стоят дороже всего, потому что советы в духе «будь осторожен» здесь почти не работают.
• Полная цепочка под ключ — от $4 000 000
Речь не про одну уязвимость, а про связку из нескольких багов, собранных в готовый маршрут атаки:
сначала выполняется код в приложении, потом атака выходит из изоляции, затем получает права администратора.
Результат: полный контроль над устройством, без действий со стороны жертвы и почти без следов. Покупатель получает готовый инструмент и просто указывает цель.
🤑 Покупатели на таком рынке разные: спецслужбы, военные подрядчики, корпоративная разведка и криминальные группы.
Иногда один и тот же инструмент в итоге оказывается сразу у всех.
@ZerodayAlert
Один хитрый суффикс в запросе — и все файлы сервера Vite открыты для атакующего
Специалисты SANS Internet Storm Center зафиксировали в ловушках характерные запросы, нацеленные на серверы Vite — популярного инструмента для создания веб-интерфейсов. Все запросы содержали путь с префиксом /@fs/ и суффиксом ??raw?, позволяющим обойти ограничения доступа к файловой системе сервера.
Цель атакующих — конфигурационные файлы и облачные секреты: ключи доступа, переменные окружения и учётные данные сервисов. Хотя сервер разработки Vite по умолчанию должен быть доступен только локально через порт 5173, на практике тысячи таких установок оказываются открыты в интернет.
В основе атак лежит уязвимость CVE-2025-30208, раскрытая ещё летом 2025 года. Добавление специального суффикса к запросу позволяет обойти ограничения встроенного механизма @fs и загрузить практически любой файл с сервера без каких-либо дополнительных привилегий.
#vite #разработка #утечкаданных #кибербезопасность
@ZerodayAlert
Дыра в Ninja Forms дала доступ к тысячам сайтов WordPress
В популярном плагине Ninja Forms для WordPress нашли критическую уязвимость с идентификатором CVE-2026-0740. Ошибка позволяет загружать файлы на сервер без авторизации, а значит, атакующему не нужен ни аккаунт, ни пароль.
Однако проблема не в самой загрузке, а в том, что вместе с загруженным файлом можно прислать исполняемый код и заставить сервер его выполнить. Плагин проверяет содержимое, но не контролирует расширение и почти не очищает имя файла. В результате файл сохраняется как PHP-скрипт в доступной директории и сразу становится точкой входа.
Дальше всё быстро: доступ к серверу, работа с базой, внедрение вредоносного кода. Главная проблема — масштаб и простота атаки. Пока сайты не обновились, автоматические сканеры будут находить такие точки входа без особых усилий.
#ninjaforms #wordpress #cve #rce
@ZerodayAlert
Критическая уязвимость в FortiClient EMS уже эксплуатируется
В FortiClient EMS обнаружена ошибка контроля доступа, позволяющая любому желающему без авторизации отправить специальный запрос на сервер. Это даёт атакующему возможность выполнять произвольные команды и полностью управлять системой удалённо.
Уязвимость затрагивает версии FortiClient EMS 7.4.5 и 7.4.6, тогда как более ранняя ветка 7.2 проблеме не подвержена. Fortinet подтвердила, что атаки с использованием этой бреши уже фиксируются в реальных условиях, однако детали сценариев пока не раскрываются.
Компания выпустила срочное исправление, которое полностью устраняет риск до выхода версии 7.4.7. В новой версии уязвимость будет закрыта по умолчанию, однако Fortinet настоятельно рекомендует не ждать и установить исправление прямо сейчас.
#fortinet #уязвимость #zeroday #патч
@ZerodayAlert
❓Как часто ваши SIEM и WAF работают так, как обещано в презентациях? А как у коллег по рынку?
Официальные отчёты не показывают реальную практику. Кибердом и Yandex Cloud запустили анонимный опрос, чтобы собрать честную картину — без маркетинга и без привязки к компаниям.
Участники смогут сравнить свои подходы с рынком после публикации результатов, а ещё получат промокод на форум «ИИ: режим доверия» 13 апреля в Кибердоме.
Все данные обрабатываются в обобщённом виде. Никаких утечек.
➡️Пройти опрос
В популярной CRM права администратора превращались в полный контроль над хостом
В EspoCRM 9.3.3 выявлена уязвимость CVE-2026-33656, связанная со встроенным движком формул. В отличие от стандартного API, этот движок записывает данные напрямую, не проверяя ограничения на уровне отдельных полей.
Через движок формул атакующий мог подменить поле sourceId у вложений, которое задаёт путь к файлу на диске. Это открывало возможность читать и записывать файлы в произвольные места — а подмена .htaccess позволяла заставить сервер исполнять загруженный файл как сценарий.
В версии EspoCRM 9.3.4 разработчик устранил проблему, добавив очистку имён файлов с помощью функции basename. Патч вышел в течение суток после получения сообщения об уязвимости.
#espocrm #уязвимость #crm #обходзащиты
@ZerodayAlert
🔑 UserGate меняет подход: от вендора к архитектору сетевого доверия
Импортозамещение в ИБ вывело рынок на новый этап. Базовые задачи уже закрыты, и теперь заказчики смотрят шире: кому можно отдать сетевую и цифровую инфраструктуру на годы вперёд. Исследование UserGate подтверждает — ключевой фактор выбора сегодня не происхождение продукта, а доверие: стабильность, быстрое решение проблем, понятное развитие.
На конференции UserGate Open Conf 2026 компания объявила о новой роли — архитектор сетевого доверия — и представила пятилетнюю дорожную карту развития.
Цифры говорят сами за себя: 20+ лет собственных разработок, каждая третья компания из РБК-500 уже использует решения UserGate, 4 000 аппаратных платформ продано только за последний год, свыше 20 000 устройств за всю историю. Единственный в России разработчик NGFW класса Enterprise, на подходе — сертификация РБПО ФСТЭК.
«Доверие — не декларация, а совокупность факторов: стабильная работа решений, своевременное устранение проблем и последовательное развитие продуктов» — Юлия Косова, руководитель отдела стратегической аналитики UserGate Юлия Косова.Читать полностью…
Специалисты раскрыли 0Day-атаку вымогателей против Cisco
🕵️ Подразделение Amazon по анализу угроз обнаружило активную кампанию вымогателей, связанную с уязвимостью CVE-2026-20131 в Cisco Secure Firewall Management Center. Ошибка позволяет удалённо выполнять Java-код с максимальными правами без авторизации – Interlock начала её эксплуатировать ещё 26 января, тогда как Cisco раскрыла проблему лишь 4 марта.
🔓 Один из серверов группировки оказался плохо настроен и раскрыл всю инфраструктуру атакующих. Это позволило исследователям увидеть полный арсенал Interlock: RAT на JavaScript и Java, бесфайловую веб-оболочку, скрипты разведки на PowerShell и легальные инструменты ScreenConnect, Volatility и Certify.
🌍 Анализ временных меток с вероятностью 75–80% указывает на часовой пояс UTC+3 с пиком активности с 12:00 до 18:00. После взлома группировка собирает данные о системе, упаковывает их и отправляет на внешний ресурс – явная подготовка к атаке на всю инфраструктуру жертвы.
#cisco #zeroday #вымогатели #interlock
@ZerodayAlert
Критическая уязвимость Telnet: код выполняется до ввода пароля
🔓 В GNU InetUtils telnetd нашли критическую уязвимость CVE-2026-32746, которая ломает все привычные правила. Обычно для взлома нужно хотя бы пройти аутентификацию, подобрать пароль, получить доступ к системе. Здесь достаточно подключиться к порту 23 и отправить специально сформированное сообщение на этапе начального согласования протокола — еще до появления приглашения ко входу. Проблема в обработчике подопции LINEMODE, который из-за некорректной работы с данными допускает переполнение буфера. Дальше — стандартная цепочка до удаленного выполнения кода.
⚡️ После захвата открываются все двери: установка постоянных закладок, кража данных, перемещение по инфраструктуре и использование скомпрометированного узла как точки опоры для новых атак. Израильская компания Dream передала информацию разработчикам 11 марта, исправление обещают к 1 апреля.
🚨 Самое тревожное — это уже вторая критическая дыра в telnetd за два месяца. В январе раскрыли CVE-2026-24061 с той же оценкой 9.8, которую позже начали активно эксплуатировать. Telnet считается устаревшим протоколом, но продолжает жить в старых Unix-системах, встраиваемых устройствах, лабораторных стендах и забытой инфраструктуре. Пока патча нет, единственный надежный способ защиты — полностью отключить службу. Если это невозможно, нужно запускать telnetd без прав root, закрыть порт 23 на периметре и изолировать доступ настолько, насколько позволяет архитектура.
#telnet #rce #preauth #критическаяуязвимость
Уязвимость в Ally показала слабое место экосистемы WordPress
В WordPress-плагине Ally от Elementor обнаружили критическую уязвимость CVE-2026-2413. Ошибка позволяет получать доступ к данным без авторизации через внедрение SQL-запросов. На первый взгляд новость про очередную SQL-инъекцию, но в реальности случай интереснее: проблема возникла в массовом расширении, которое ставят не ради экспериментов, а как штатный инструмент для повышения доступности сайта.
Корень проблемы связан с обработкой пользовательского параметра URL. Функция get_global_remediations() добавляла значение в SQL-запрос без полноценной очистки, а применённая защита через esc_url_raw() оказалась защитой не от той угрозы. Для разработчика разница принципиальная: одна функция проверяет корректность URL, другая задача требует жёстко исключить влияние пользовательского ввода на структуру SQL. Когда эти уровни защиты путают, появляются уязвимости, которые удобно эксплуатировать даже без прямого доступа к панели управления. В данном случае речь идёт о слепой SQL-инъекции по времени ответа, а такой подход часто недооценивают до первого реального инцидента.
Показательнее всего статистика после выхода патча. Исправление доступно в Ally 4.1.0, но обновление установила лишь часть сайтов, и более 250 тысяч ресурсов продолжают работать на уязвимых версиях. Для рынка WordPress проблема давно шире конкретного плагина: окно между публикацией исправления и массовым обновлением остаётся достаточно большим, чтобы любая технически несложная ошибка превращалась в массовый риск. Именно поэтому подобные истории читаются уже не как локальный сбой одного продукта, а как симптом всей модели сопровождения расширений.
#wordpress #elementor #уязвимость #безопасность
Зафиксированы реальные атаки через продукты Omnissa, SolarWinds и Ivanti
Агентство CISA пополнило каталог активно эксплуатируемых уязвимостей сразу тремя проблемами в продуктах Omnissa Workspace One UEM, SolarWinds Web Help Desk и Ivanti Endpoint Manager. Попадание в этот список – прямой сигнал того, что атаки с использованием этих брешей уже идут, а не являются гипотетическими.
Наиболее критична уязвимость CVE-2025-26399 в SolarWinds Web Help Desk с оценкой CVSS 9.8: ошибка десериализации позволяет злоумышленнику выполнять произвольные команды на сервере. Ошибку уже применяет группа вымогателей Warlock для первоначального проникновения в инфраструктуру жертв.
CISA обязало закрыть уязвимость в SolarWinds Web Help Desk до 12 марта 2026 года, а две оставшиеся – до 23 марта. Ведомство особо отмечает, что подобные ошибки регулярно становятся точкой входа для атак на федеральные информационные системы.
#CISA #уязвимости #эксплуатация #вымогатели
@ZerodayAlert
Один символ Unicode обошёл защиту популярной системы поддержки
В системе поддержки FreeScout обнаружена критическая уязвимость CVE-2026-28289 (оценка CVSS 10). Для атаки достаточно отправить письмо с вложением на любой подключённый к системе адрес – авторизация не требуется.
Проблема связана с обходом проверки имени файла при помощи невидимого символа Unicode U+200B – пробела нулевой ширины. Система пропускает такой файл как безопасный, а затем удаляет невидимый символ и сохраняет его уже как исполняемый скрытый файл.
Разработчики выпустили исправление в версии FreeScout 1.8.207 – все более ранние версии остаются уязвимыми. Дополнительно администраторам рекомендуют отключить параметр AllowOverrideAll в настройках Apache для снижения рисков.
#уязвимость #freescout #unicode #zeroday
@ZerodayAlert
Coruna: анатомия идеального взлома iPhone
Специалисты Google Threat Intelligence обнаружили сложный инструмент Coruna – набор из 5 цепочек атак и 23 уязвимостей для iOS, работающий против iPhone на версиях от iOS 13 до iOS 17.2.1. Инструмент использует уязвимости WebKit, обходит Pointer Authentication Code и маскирует полезную нагрузку под JavaScript-файлы.
История Coruna охватывает три разные кампании: точечная слежка через коммерческую компанию-разработчика шпионского ПО, кибершпионаж против украинских пользователей через заражённые сайты, а также кража криптоактивов через сеть поддельных китайских финансовых сайтов. Один набор – три разных оператора.
Финальная полезная нагрузка PlasmaLoader внедряется в системный процесс powerd и охотится за фразами восстановления криптокошельков BIP39, перехватывает MetaMask, Trust Wallet, Exodus и Phantom.
#iphone #ios #кибершпионаж #zeroday
@ZerodayAlert
🆕 Топ-10 компаний, которые создают кибероружие: могут ли они стоять за невидимыми и мощными атаками?
В мире действует множество компаний, которые разрабатывают наступательное кибероружие: zero-click эксплойты, комплексы перехвата информации и управления, готовые инструменты для взлома iOS/Android и браузеров. Формально им разрешают работать, потому что они созданы “для спецслужб”. Фактически - это никем не контролируемый серый рынок глобального масштаба.
Топ-10 ключевых игроков и их инструменты:
🇮🇱 NSO Group - утилиты Pegasus, QuaDream; выполняют взлом iPhone/Android без единого клика пользователя.
🇮🇱 Candiru - скрытые эксплойты для Chrome и Edge.
🇨🇾🇬🇷🇮🇱 Intellexa / Cytrox - Predator, активные zero-day.
🇮🇹 Hacking Team → теперь Memento Labs — удалённое управление для ПК и мобильных устройств.
🇩🇪🇬🇧 FinFisher / Gamma Group - FinSpy, перехват зашифрованного трафика.
🇪🇸 Variston IT - эксплойты для Chrome/Firefox/Windows (раскрыты Google TAG).
🇮🇹 RCS Lab / Tykelab - IMSI-catchers, lawful intercept, SS7-перехват.
🇮🇱 Circles - полный доступ к SS7, определение локации и перехват SMS.
🇦🇪 DarkMatter - offensive-разработка под заказ.
🇮🇳 BellTroX, Appin - «цифровые наёмники», фишинг + эксплойты.
И это только вершина айсберга!
Почему эти компании работают открыто?
🔹Их клиенты - правительства. Страны сами заинтересованы в подобных инструментах.
🔹Экспортный контроль формален: разрешения выдаёт тот же регулятор, которому выгодно их наличие.
🔹Легальное позиционирование (“lawful intercept” - полицейские функции) создаёт серую зону, где сложно предъявить обвинения.
🔹Рынок огромен: миллионы долларов за одну цепочку zero-day — сильный экономический стимул.
🔹Их технологии используют не только разведки, но и многие силовые ведомства — никто не хочет закрывать источник.
Но есть проблема
Поставщиков кибероружия тоже ломают. Если 10 лет назад ломали итальянскую компанию Hacking Team, то недавно, утекло кибероружие из китайской компании Knowsec.
К сожалению, кибероружие из подобных утечек уже использовалось в массовых атаках. Например, WannaCry и NotPetya не появились бы, если бы не утечка эксплойта EternalBlue - инструмента, украденного у Equation Group, подразделения NSA.
Рекомендую специалистам по кибербезопасности учитывать риск того, что против топ-менеджеров российских компаний могут применять коммерческое или государственное кибероружие. Как показывают утечки последних лет, такие инструменты разрабатываются в десятках стран и рано или поздно оказываются в руках тех, кому они не предназначались. И я лшь констатирую факт. Без паники. Защиты просто нет. И это нормально.
Это продолжение серии постов о кибероружии.
В следующих заметках - как эти инструменты применяются против бизнеса и топ-менеджеров. И почему сегодня опасно лететь со своим телефоном в некоторые страны. Предыдущий пост про утилиты ЦРУ был тут.
Канал Топ Кибербезопасности
#кибербезопасность #ДляВсех #разведка #хакеры #кибероружие #кибероружие
RoguePilot: атака через описание задачи
В GitHub выявили способ обойти защиту репозитория через связку GitHub Copilot и GitHub Codespaces. Исследователи из Orca Security показали, что достаточно запустить среду разработки из специально подготовленной задачи, чтобы ассистент начал выполнять скрытые инструкции.
Злоумышленник добавлял вредоносный фрагмент в описание issue. Copilot автоматически получал этот текст при старте Codespace и воспринимал его как рабочую подсказку. Далее модель переходила к созданному pull request, считывала внутренний файл через символическую ссылку и отправляла данные, включая GITHUB_TOKEN, на внешний сервер. Всё происходило в рамках штатного сценария, без модификации кода и расширений.
История наглядно показывает, что текст в ИИ-интеграциях всё чаще становится каналом управления. Microsoft изменила обработку входных данных, но сам риск никуда не делся. Чем глубже ассистенты встроены в процессы разработки, тем выше цена ошибки в архитектуре доверия.
#copilot #github #цепочкапоставок #иб
@ZerodayAlert
Атаки на Ivanti EPMM вышли на промышленный масштаб
🌐 В сети доступно более 4400 серверов Ivanti EPMM, и злоумышленники массово сканируют их в автоматическом режиме. Под удар попали государственные структуры, медицинские организации и промышленные компании в США, Германии, Австралии и Канаде.
🐚 Обе уязвимости связаны с небезопасной обработкой данных в bash-сценариях Apache — атакующий внедряет команду прямо в HTTP GET-запрос. После подтверждения выполнения кода через команду sleep 5 злоумышленники устанавливают веб-оболочки, обратные шеллы и агенты ботнета Nezha.
🔧 Ivanti выпустила патч ещё в январе 2026 года, и он устанавливается без остановки сервисов. Однако производитель предупреждает: даже после обновления нужно проверить систему на следы закрепления — атакующие могут сохранять скрытый доступ.
#ivanti #zeroday #кибербезопасность #исправление
@ZerodayAlert