82251
SecurityLab — ваш надежный проводник в мире кибербезопасности, технологий и науки. РКН: https://vk.cc/cFXCkO Наши каналы: https://t.me/addlist/G_0tnwZJOrA3MzEy Голосуйте за канал: https://t.me/SecLabNews?boost
Завтра было вчера. Анонс №0
Открываем новую рубрику «Завтра было вчера», где будем обсуждать научные достижения человечества в знакомом формате #csl.
О чём:
Критический взгляд на прорывные научные новости за последний месяц. Допустимая суточная доза лазеров, киберимплантов, квантов и генной инженерии.
Специальный гость:
Максим Острась, эксперт в области квантовых технологий, экс-генеральный директор Российского квантового центра.
Ведущие:
Катя Тьюринг,
Ева Кузнецова,
Александр Антипов,
Антон Клочков.
Когда: 24.10.2026 11:00 – ссылка на наш календарь
----------------------------
Слушайте новые эпизоды там, где вам удобно:
🗣 https://itradio.su/streaming (прямой эфир)
🗣 https://stream.itradio.su (прямой эфир)
☁️ https://pc.st/1729572913 (архив выпусков)
----------------------------
До встречи в эфире!
@ITRadiosu #twy
Зачем взламывать периметр, если можно просто войти?
Украденный пароль, перехваченная сессия или скомпрометированный токен — и злоумышленник может получить доступ к корпоративным системам под видом легитимного пользователя.
Для защиты от таких сценариев CURATOR запустил CURATOR.IDENTITY — облачное решение для управления доступом и аутентификацией.
Что оно умеет:
🔹 подключать MFA и SSO для корпоративных сервисов, VPN и веб-приложений;
🔹 настраивать права доступа для разных категорий пользователей;
🔹 учитывать контекст входа и устройство;
🔹 защищать пользовательские сессии и выстраивать Zero Trust-сценарии.
Решение расширяет защиту CURATOR: теперь она охватывает не только инфраструктуру и приложения, но и доступ к ним.
👉 Подробнее о CURATOR.IDENTITY — по ссылке.
🆘Рубильник вместо патча: ФСБ приказала вырубать сайты КИИ при проблемах с PHP
Появилась жесткая директива через ГосСОПКУ. Не получается закрыть две критические уязвимости с девяткой по шкале CVSS в течение пары часов — глушите серверы КИИ. Угроза реальная, атака отрабатывает на лету, а уязвимости зашиты глубоко в фундамент веб-технологий. Спасать старые сайты переустановкой плагинов бесполезно, потому что дырявый сам интерпретатор.
Для крупных ведомств и энергетиков это катастрофа масштаба стихийного бедствия. Попробуй обнови PHP на каком-нибудь заброшенном корпоративном портале, который писали еще при царе Горохе. Все упадет моментально, а разбираться некому. Именно поэтому призыв гасить свет выглядит логичным актом отчаяния. Пока одни вендоры пилят экстренные патчи для веток 8.2-8.5, хакеры уже сканируют сеть в поисках незакрытых cайтов.
Ситуация бьет по больному месту любого сисадмина. Жить на устаревших версиях софта больше не прокатит, а бизнес привык экономить на поддержке инфраструктуры. Придется пересматривать подходы к безопасности, иначе следующий рубильник опустят уже навсегда, без права на включение.
#ФСБ #PHP #Кибербезопасность @SecLabnews
🩶 Поймать скрытую атаку до ущерба
Вебинар 29 октября в 11:00
Злоумышленник может неделями оставаться в сети незамеченным. Его действия часто выглядят как штатная активность. Но благодаря Гарда Deception среди серверов скрыты ловушки: одно обращение к ложной цели — и SOC обнаружит атакующего.
На вебинаре эксперты покажут, как выявить атаку до ущерба.
Вы узнаете:
🟣почему атаки долго остаются незаметными;
🟣как приманки защищают Linux без агентов;
🟣какие ловушки повышают реалистичность ложного слоя;
🟣как встроить deception в сегментированные сети и улучшить метрики SOC.
Разберем кейсы и ответим на вопросы.
Регистрируйтесь!
💩Спецслужбы придумали, как посадить любого за чистый телефон без улик
Пока многие спорят о стойкости шифрования и накатывают защищённые прошивки, реальность подкинула сюжет похлеще любого шпионского триллера. Пассажира прижали в аэропорту, потребовали пинкод от трубки, а тот послушно набрал комбинацию. Только вместо галереи с фотками система моментально превратилась в безжизненный кирпич. Фирменная фича GrapheneOS под названием Duress PIN сработала как часы, за секунду похоронив ключи шифрования, пользовательские файлы и профили eSIM. Красивая победа приватности? Как бы не так.
Силовики знатно опешили от такого поворота, но быстро сориентировались и выкатили обвинение в умышленном уничтожении улик и препятствовании правосудию. Сам факт штатной очистки устройства по принудительному коду они превратили в состав полноценного преступления.
Чем надёжнее смартфон защищает ваши данные, тем больше проблем может возникнуть у его владельца при встрече с силовиками. Причём не так важно, в какой стране происходит досмотр. . Сам факт применения инструмента защиты от принуждения может обернуться уголовным преследованием. Можно сколько угодно совершенствовать шифрование, прятать данные и придумывать пароли на случай чрезвычайной ситуации, но вся техническая защита теряет смысл, если за её применение приходится отвечать перед судом. И главный вопрос теперь не в том, смогут ли силовики взломать ваш смартфон, а в том, что произойдёт, если у них ничего не получится.
#Кибербезопасность, #GrapheneOS, #Приватность
ИИ закрыл все тревоги. А атаки точно остановлены?
ИИ-расследователь в SOC может собирать доказательства и разгружать аналитиков. Но неполные журналы, инструкции злоумышленника внутри улик и слепое доверие вердикту «безопасно» превращают автоматизацию в риск.
❗️ Где проходит граница между самостоятельным расследованием и опасным реагированием? Почему отправленная команда блокировки ещё не означает устранённую угрозу? Разбираем в статье на SecurityLab — и объясняем, как оценивать пользу ИИ, а не красоту отчётов.
💻 Читать статью
18+. Реклама. Рекламодатель ООО «Интеллектуальная безопасность», ИНН 7719435412, erid: 2SDnjee4qFz
😇Для PHP готовят экстренные патчи. Опубликован рабочий эксплоит
Загрузить фотографию, прикрепить документ или отправить файл через веб-форму. За привычными действиями может скрываться опасная ошибка в PHP, которая, по утверждению независимого исследователя, позволяет добраться до выполнения команд на сервере.
Предполагаемая уязвимость связана с механизмом отслеживания загрузок. PHP запоминает адреса участков оперативной памяти, но при определённых условиях продолжает обращаться к ним даже после освобождения. Если атакующему удастся занять освободившуюся область подготовленными данными, программа может начать выполнять совсем не те инструкции, которые задумал разработчик.
Автор PHP-UP-2026 уже опубликовал инструменты для проверки такого сценария. Однако полноценный взлом произвольного сервера пока не подтверждён, как и связь исследования с двумя критическими ошибками, которые PHP собирается исправить 21 октября.
Самое неприятное в предполагаемой атаке заключается в том, что опасность может исходить не от содержимого загружаемого файла, а от самого механизма его обработки.
#PHP, #Уязвимости, #Кибербезопасность @SecLabNews
🙈Уязвимость VMmanager открыла хакерам доступ к серверам десятков хостингов
Масштабная атака на российские хостинг-провайдеры оказалась куда серьёзнее первоначального взлома FirstVDS. Через уязвимости в VMmanager 6 злоумышленники проникали в управляющую инфраструктуру операторов и похищали клиентские данные. По оценке одного из пострадавших провайдеров, кампания могла затронуть несколько десятков хостингов.
Хакерам не требовалось взламывать каждый виртуальный сервер. Достаточно было получить контроль над системой управления, чтобы добраться до дисков клиентов со стороны оборудования провайдера. Специальная программа искала пароли, SSH-ключи, криптокошельки и другие секреты. При этом виртуальные машины продолжали работать, а владельцы могли даже не подозревать о краже.
Разработчик VMmanager подтвердил проблему, но исправления пока не позволили всем провайдерам снять ограничения. Взломанные провайдеры продолжают держать панель закрытой, а пострадавшим клиентам рекомендуют срочно заменить ключи и пароли. Даже после устранения уязвимости украденные доступы останутся пригодными для новых атак, пока владельцы их не отзовут.
#VMmanager, #Хостинг, #Кибератака @SecLabNews
➡️ТСПУ против бабушкиных чатов: счет 0:1 в пользу зелёной трубки
Ограничения звонков, замедление и проблемы с подключением не заставили россиян окончательно отказаться от привычных мессенджеров. Telegram на Android за год увеличил месячную аудиторию на 26%, до 114 млн пользователей. WhatsApp после продолжительного падения впервые за год показал признаки восстановления.
По данным, в июле аудитория WhatsApp выросла на 1,7%, а в августе ещё на 4,4%. Аналитики предполагают, что пользователи постепенно приспособились к ограничениям и нашли способы сохранить привычное общение. Telegram удерживает аудиторию ещё и благодаря каналам, новостям и ботам, ради которых приложение продолжают открывать даже при неработающих звонках.
Впрочем, праздновать победу над блокировками рано. За год WhatsApp потерял 30% месячной аудитории, а Telegram заметно просел по ежедневной посещаемости. Ограничения работают, но не так, как можно было ожидать. Россияне не спешат отказываться от привычных сервисов и предпочитают приспосабливаться.
#Telegram, #WhatsApp, #Блокировки @SecLabNews
ИИ-агенты взломали больше 100 компаний почти без участия человека
ИИ-агенты атаковали более 1200 интернет-магазинов в США, Канаде, Австралии и Японии. По оценке исследователей NorForge, злоумышленнику удалось проникнуть более чем в 100 компаний. Среди подтверждённых пострадавших оказались Deere и SharkNinja.
Для запуска кампании оператору хватило инструкции менее чем из 100 китайских иероглифов. После этого агенты часами самостоятельно проверяли сайты, искали SQL-инъекции, обходы прав доступа и ошибки загрузки файлов, меняли тактику после неудач и продолжали атаку без постоянного участия человека. Успешная операция занимала в среднем около 23 часов, отдельные атаки продолжались больше пяти суток.
По данным исследователей, в связке работали DeepSeek V4.1 Flash и Claude Code. Вся кампания могла обойтись примерно в $5000, то есть около $50 за успешный взлом. При этом часть панелей самих атакующих была открыта в интернете и раскрывала пароли, ключи и данные о целях.
#ИИ #Кибербезопасность #Хакеры
@SecLabNews
ИИ обещал заменить программистов, но вынудил Bank of America экстренно нанять тысячу разработчиков
Крупные корпорации очень любят рассказывать инвесторам, как внедрение нейросетей вот-вот принесет им сотни миллионов чистой выгоды. В Bank of America тоже запустили 130 внутренних ИИ-проектов и рассчитывали сэкономить до 300 миллионов долларов уже в 2026 году. Однако знакомство с новыми аналитическими моделями вроде Claude Mythos быстро вернуло руководство на землю. Вместо красивых графиков оптимизации банк получил суровый аудит собственной инфраструктуры, который потребовал немедленных и очень дорогих вложений.
Оказалось, что умные алгоритмы идеально находят многолетние просчеты в архитектуре, закрывать глаза на которые после обнаружения уже нельзя. Чтобы залатать дыры в своем и чужом софте, банку пришлось увеличить команду исправления ошибок на треть, экстренно привлекая тысячу человек со стороны. В результате за один только третий квартал затраты на доработку программного обеспечения и устранение претензий по линии финансового мониторинга перевалили за пару сотен миллионов долларов. А сверху еще и регуляторы из FinCEN и OCC выписали штраф на 1,2 миллиарда за слабый контроль транзакций.
Бизнес воспринимал нейросети исключительно как инструмент сокращения издержек, а получил безжалостного ревизора. Прежде чем искусственный интеллект принесет те самые расчетные 700 миллионов долларов эффекта к концу 2027 года, компаниям придется потратить сопоставимые суммы на расчистку старых авгиевых конюшен в своем коде. Иначе любая экономия сгорит на первом же серьезном инциденте или проверке.
#BankOfAmerica, #ИИ, #кибербезопасность
@SecLabNews
🆕 Еженедельный обзор киберновостей
Google на несколько часов выпал из зоны .RU, а после атак беспилотников на дата-центры «Яндекса» и Сбера крупнейшие маркетплейсы попросили разрешить хранить данные россиян за рубежом. Во Франции хакеры на шесть часов разогрели холодильники сотен супермаркетов до 50 градусов, а Microsoft через суд разгромила фишинговый конвейер, разославший больше миллиарда мошеннических сообщений — собрали самые интересные новости недели в одном месте, чтобы вы ничего не пропустили.
🌎В мире
Хакеры удалённо включили режим разморозки на холодильных контроллерах, и в 150 супермаркетах Intermarché пришлось уничтожить продукты, которые шесть часов простояли при 50 градусах.
Данные 8,8 млн человек из реестра населения Дании утекли через учётки IT-подрядчика, у которых, по данным журналистов, стоял пароль «123456».
Microsoft с разрешения суда разгромила фишинговые сервисы YAM Store, CoGUI и Iron Man и теперь блокирует больше 100 тысяч их доменов.
ФБР накрыло «фермы ноутбуков» по 40 с лишним адресам в Техасе, через которые IT-работники КНДР устраивались в американские компании, и предъявило обвинения 14 фигурантам.
Трое 17-летних французов построили поисковик Stryx по 730 млн записей из утечек, а после их задержания полиция получила данные о покупателях сервиса.
🇷🇺В России
Ozon, Wildberries и «Яндекс Маркет» через свою ассоциацию попросили Мишустина временно разрешить держать данные россиян в зарубежных ЦОДах, если российские площадки выйдут из строя.
Утром 14 октября google.ru, youtube.ru и gmail.ru на несколько часов выпали из зоны .RU, и до сих пор неизвестно, кто снял их делегирование.
Минцифры хочет с 2032 года пускать в российские сети 5G только смартфоны с поддержкой шифра «Кузнечик», хотя массовые модемы его пока не поддерживают.
Рособрнадзор остановил федеральное исследование качества образования: во время анкетирования на школьных экранах вместо вопросов появились антигосударственные призывы.
По данным Citizen Lab, израильская Discover-Tech, связанная с доставкой шпионского ПО, закупала рекламу в основном через сеть «Яндекса», но доказательств, что «Яндекс» об этом знал, нет.
ℹ️Новости в сфере ИБ
Microsoft закрыла рекордные 1411 уязвимостей за один Patch Tuesday, и одну из них уже используют в атаках для обхода защиты Mark of the Web.
Четыре группировки, включая китайскую APT31, собирали эксплойты по свежим исправлениям Chromium и атаковали тех, кто не успел обновиться.
Cisco подтвердила атаки на почтовые шлюзы Secure Email Gateway, где для выполнения команд с правами root хватает одного специально подготовленного письма.
Больше 1500 npm-пакетов можно было угнать, просто заняв на GitHub имя переименованного или удалённого репозитория.
Джо Гранд нашёл в кошельках Trezor из неофициальных магазинов подменённые чипы, которые выдавали владельцу сид-фразу, заранее известную злоумышленникам.
🔒Почитать
Как DLL загружают прямо в память процесса в обход системного загрузчика и почему следы такой атаки ищут в памяти и поведении процесса, а не на диске.
Как защитить аккаунт на Госуслугах вторым фактором и что делать по шагам, если его всё-таки взломали.
Почему у CDN нет универсального победителя и как сравнивать провайдеров по TTFB, p95, кешу, защите от DDoS и реальной стоимости.
Как команда akPots расследовала атаки на телеком в кибербитве Standoff 17 с помощью R-Vision SIEM, который большинство участников видели впервые.
🔥 Мероприятия
20 октября разработчики MWS Cloud Platform на бесплатном вебинаре покажут, как выгружать аудитные логи из облака в SIEM-системы.
21 октября Security Vision и «Газинформсервис» на бесплатном вебинаре расскажут, как сертифицированная СУБД Jatoba помогает защищать данные в ГИС, ИСПДн и КИИ.
22 октября SECURITM и Кауч на вебинаре покажут, как понять, какие небезопасные настройки ИТ-систем опаснее всего для бизнеса и что исправлять в первую очередь.
Делитесь в комментариях, как прошла ваша неделя и какая новость больше всего удивила.
@SecLabNews
Рекламная сеть «Яндекса» провела 67% ставок организаторов шпионской кампании AdFection
Более двух третей всей вредоносной рекламной активности израильской компании Discover-Tech пришлось на инфраструктуру российского техногиганта. Авторы расследования выяснили, что через рекламную сеть «Яндекса» проходило 67,4% ставок на показ объявлений, за которыми стояла система доставки шпионского ПО AdFection, а основной поток подозрительных обращений фиксировался при посещении российских сайтов.
Связь шпионской инфраструктуры с отечественной площадкой подтвердилась не только архивами рекламных аукционов через платформу MyDSP. Оказалось, что операторы кампании напрямую синхронизировали профили и идентификаторы пользователей с помощью специального технического адреса внутри домена «Яндекса» и собственного сервиса myweb3id.io. Только с мая 2025 года в открытых базах сканирования сохранилось свыше десяти тысяч таких запросов, которые позволяли злоумышленникам точно вычислять нужных людей на просторах Рунета.
Никаких доказательств того, что «Яндекс» знал о реальных целях покупателя трафика или сознательно помогал хакерам, исследователи не нашли. Тем не менее эта история наглядно показывает, насколько уязвимы современные рекламные сети: любой крупный сервис обмена трафиком может вслепую стать удобным инструментом в руках иностранных операторов слежки, которым для охоты за пользователями даже не нужно взламывать саму площадку.
#Яндекс #слежка #информационнаябезопасность
@SecLabNews
Оруэлл плачет в уголке: стартап решил заставить ИИ шпионить за вашими клиентами (и вами бонусом)
В Сан-Франциско нашли новый способ выжимать максимум из корпоративных клиентов. Основатели стартапа Outlit решили, что привычные продажи уперлись в тупик, и предложили приставить к каждому ключевому клиенту виртуального надзирателя на базе искусственного интеллекта, который будет круглосуточно мониторить его активность. Спрашивать разрешения у самих объектов наблюдения при этом никто не планирует — авторы проекта считают такой подход вполне естественным для современного бизнеса.
Система агрегирует не только рабочие звонки и тикеты в саппорт, но и парсит LinkedIn, публикации в медиа и открытые данные. Если у заказчика сменился ключевой сотрудник, сократился штат или упала активность в сервисе хотя бы на 38 процентов, алгоритм моментально выдаст менеджеру готовый сценарий удержания сделки. В интервью основатель компании Джош Эрл прямо говорит: технология способна вытаскивать из сети любые сведения, и никаких технических барьеров для защиты личной информации пользователей здесь изначально не предусмотрено.
Индустрия стремительно катится к модели, где забота о клиенте окончательно подменяется промышленным шпионажем. Граница между аналитикой продаж и банальной слежкой стерлась окончательно, оставив людей без права голоса. Компании получают инструмент тотального контроля, а разработчики пожимают плечами и ссылаются на неизбежность прогресса. В итоге человеческие отношения в бизнесе сводятся к холодному расчету алгоритмов, которые знают о вас больше, чем собственная мать.
#AI #BigTech #Outlit
@SecLabNews
20 октября в 12:00 (мск) пройдёт бесплатный вебинар «Мониторинг событий безопасности в MWS Cloud Platform».
Разработчики сервиса:
✅ Расскажут про возможности сервиса аудитных логов в облаке MWS Cloud Platform
Покажут в прямом эфире, как экспортировать их в SIEM-системы
✅ Вебинар будет полезен CISO, ИБ-специалистам, DevOps-инженерам и SOC-специалистам. Регистрируйтесь, подключайтесь к прямому эфиру и задавайте вопросы в чате.
🗓 20 октября в 12:00
Убивать быстрее, чем думать: Красный Крест увидел в военном ИИ новую угрозу
Международный комитет Красного Креста предупредил, что системы искусственного интеллекта на поле боя уже приводят к росту разрушений и жертв среди мирного населения. Главная опасность кроется не в появлении полностью самостоятельных роботов, а в экстремальном ускорении военного планирования, когда алгоритмы обрабатывают разведданные и предлагают цели быстрее, чем человек успевает критически осмыслить информацию.
Формально окончательное решение об атаке всё ещё принимает оператор, но под давлением времени и усталости военные склонны слепо доверять машинным рекомендациям. Показательным примером стала израильская система Lavender, которая разметила как потенциальных участников вооружённых группировок до 37 тысяч палестинцев, причём сотрудники разведки иногда тратили всего около 20 секунд на проверку человека перед разрешением удара.
Хотя израильская армия настаивает, что программа служит лишь вспомогательной базой данных и не принимает самостоятельных решений, сама тенденция вызывает серьёзную тревогу у правозащитников. Когда время на проверку цели сокращается до пары десятков секунд, присутствие человека в цепочке управления превращается в формальность, а любая ошибка алгоритма напрямую ведёт к гибели людей.
#ВоенныйИИ, #КрасныйКрест, #АвтономноеОружие @SecLabnews
«Алиса», ты свободна! Российский разработчик взломал «Яндекс Станцию» без разборки
Российский разработчик bitracker нашёл способ обойти ограничения «Яндекс Станции» и получить доступ к её внутренней системе. Колонку даже не пришлось вскрывать. Благодаря криптографическому провалу индийского центра eMudhra закрытое устройство удалось заставить доверять поддельному серверу, а затем запускать собственные программы.
Разработчик создал инструмент eQuasar, который перенаправляет сетевые запросы колонки на локальный сервер, выдающий себя за инфраструктуру «Яндекса». После перезагрузки совместимого устройства открывается интерфейс отладки ADB, позволяющий управлять внутренней системой. Секрет оказался в настолько слабых криптографических ключах eMudhra, что один из них представлял собой обычное число 4.
Энтузиасты уже сообщают о запуске Spotify, AirPlay и даже сервера Minecraft прямо на колонке. Следующая цель вполне предсказуема, заменить штатную «Алису» собственным голосовым помощником и избавиться от зависимости от облака «Яндекса». Правда, полноценной автономной версии пока нет, а появившееся обновление прошивки, по сообщениям сообщества, уже мешает повторить взлом.
#ЯндексСтанция, #Взлом, #УмныйДом @SecLabnews
🖕Столичная полиция нашла нового чемпиона по потере денег
В Москве зафиксирован абсолютный максимум одиночного ущерба от кибермошенников. Женщина лишилась четырехсот пятидесяти миллионов рублей. История всплыла из архивов весенних дел двадцать пятого года, но детали дела по-прежнему покрыты мраком. Ни сроков обмана, ни имен фигурантов публика так и не увидела.
Подобные прецеденты показывают эволюцию криминальных технологий. Аферисты перестали размениваться на пустяки и нацелились на состоятельных граждан. Социальная инженерия работает безотказно, если у жертвы есть что закладывать и продавать. Никакая техническая защита не поможет, пока человек сам добровольно открывает дверь злоумышленникам.
Официальные сводки успокаивают снижением доли таких преступлений в общей массе. Однако тридцать три миллиарда рублей убытка за неполный год говорят об обратном. Отрасль цифровых краж чувствует себя прекрасно, адаптируясь к любым фильтрам безопасности. Безопасных счетов не существует, а бдительность граждан остается на прежнем уровне.
@SecLabNews #мошенники, #кибербезопасность, #криминал
🫣Армия США хочет создать кибероружие, которое само выбирает путь к цели
Обычный компьютерный червь распространяется по заранее заложенным правилам. Американские военные хотят пойти дальше и создать программу, которая сама исследует заражённую сеть, анализирует обстановку и выбирает следующие действия. Причём конечная задача может заключаться не в краже информации, а в отключении или уничтожении цифровой цели.
На презентации ECHOTRIBBLE показали характерный сценарий. Агент оказывается на ноутбуке, обнаруживает соседние устройства и создаёт варианты собственного кода для iPad, компьютера Apple и машины с Windows 11. По замыслу разработчиков, программа должна адаптироваться к окружению без постоянных указаний человека.
ECHOTRIBBLE пока существует на стадии разработки, а показанный сценарий не доказывает способность системы проводить полноценные автономные атаки. Однако сама концепция меняет привычную логику кибероружия. Вместо инструмента, который исполняет последовательность команд, военные хотят получить цифрового исполнителя, способного самостоятельно искать способ выполнить приказ.
#ECHOTRIBBLE, #ВредоносноеПО, #Кибербезопасность @SecLabNews
😍 ИИ помог найти дыру в PHP. Теперь весь интернет спешно устанавливает патчи
Захватить сервер без авторизации, выполнить на нём произвольный код и получить доступ к конфиденциальной информации. Подобные возможности открывают две критические уязвимости PHP, исправления для которых вышли сегодня. Ошибки затрагивают сам интерпретатор, поэтому под потенциальной угрозой оказались миллионы сайтов, включая ресурсы на WordPress, Drupal и Joomla.
Опасность оказалась настолько серьёзной, что европейские правительства начали самостоятельно отключать сайты. В Нидерландах недоступными стали парламентский портал, системы взаимодействия граждан с государством, сайты больниц и ведомств. Финляндия, Франция и Дания также ограничили работу части государственных платформ. Национальный центр кибербезопасности Нидерландов даже временно отключил собственный ресурс.
Ограничения затронули и крупные интернет-площадки. Wikimedia приостановила вспомогательные сервисы для разработчиков, 4chan отключил публикацию сообщений и авторизацию. При этом подтверждений массового взлома пока нет. Организации закрывают доступ к системам, чтобы не дать злоумышленникам воспользоваться уязвимостями до установки исправлений.
Получился цифровой кризис без подтверждённой волны успешных атак. Две ошибки в распространённом серверном компоненте заставили целые государства перейти к чрезвычайным мерам. Насколько глубока зависимость современного интернета от PHP, стало особенно заметно, когда привычные государственные и коммерческие сервисы начали один за другим исчезать из сети.
Короткий чек-лист
Обновиться до 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 — единственное полное решение.
До обновления: upload_progress=0 (если функция не используется) и memory_limit=-1 с ограничением post_max_size на фронте; перезапустить воркеры.
Мониторить предупреждения фазы старта запроса («PHP Request Startup: … in Unknown on line 0») — маркер дообновлённой поверхности.
Не применять RLIMIT_AS/RLIMIT_DATA.
К «утёкшим PoC» из соцсетей относиться как к непроверенным до A/B-прогона.
#PHP2Shell, #Уязвимости, #Интернет
🚰 Закрытый ключ оказался числом 4. Добро пожаловать в мир серьёзной криптографии
Криптография высшей пробы. Берём эллиптическую кривую P-384, обеспечивающую при правильной реализации стойкость порядка 192 бит, и каким-то образом получаем закрытый ключ со значением 115. Или 4. Или 56. У удостоверяющего центра eMudhra восемь закрытых ключей промежуточных центров сертификации оказались обычными числами от 4 до 237. Исследователь Скотт Хелме восстановил все восемь по открытым данным сертификатов менее чем за секунду, просто перебрав возможные значения. Ни взлома серверов, ни компрометации аппаратных модулей безопасности не потребовалось. Сама криптография работала безупречно, просто её стойкость свели к восьми битам. Причём шесть скомпрометированных ключей предназначались для выдачи TLS-сертификатов, а ещё два для подписи программного кода. В результате любой обладатель таких ключей мог выпускать криптографически корректные сертификаты от имени доверенного центра.
Самое интересное обнаруживается в истории инцидента. Ещё в мае 2025 года шесть тех же промежуточных центров публиковали списки отзыва сертификатов с некорректными цифровыми подписями. Ошибку тогда исправили и публично разобрали, но главную проблему с ключами не замечали около 17 месяцев. Теперь выяснилось, что всё это время злоумышленник потенциально мог подделывать сертификаты для произвольных доменов. Chrome и Firefox оперативно заблокировали скомпрометированные ключи, а обязательная проверка Certificate Transparency дополнительно защищала браузеры от незарегистрированных подделок. С небраузерным программным обеспечением ситуация хуже. Многие TLS-клиенты, включая распространённые конфигурации curl, Python и Node.js, не проверяют ни журналы CT, ни статус отзыва сертификатов. Хелме продемонстрировал, как такие приложения принимают поддельный сертификат для API Stripe. Для реальной атаки потребовалась бы возможность перехватывать или перенаправлять трафик, но дальше злоумышленник уже мог бы получать токены авторизации и другие конфиденциальные данные.
Вся история прекрасно иллюстрирует слабое место инфраструктуры открытых ключей PKI. Можно использовать надёжные алгоритмы, аппаратные криптомодули и многоступенчатые процедуры, а затем испортить результат одной ошибкой в сценарии генерации ключей. По предварительному объяснению eMudhra, скрипт создал дополнительные слабые ключевые пары, а сотрудники перепутали их с полноценными из-за похожих названий. Ошибочные ключи получили сертификаты не только от собственного корневого центра, но и через перекрёстную подпись Sectigo. Теперь Mozilla исключает затронутый корневой сертификат из доверенного хранилища NSS, а Chrome готовит удаление emSign ECC Root CA - G3, из-за чего некоторым законным владельцам сертификатов придётся менять цепочки доверия. Однако главная проблема шире конкретного удостоверяющего центра. Пока приложения полагаются на устаревшие хранилища CA и игнорируют отзыв сертификатов, даже давно скомпрометированный однобайтовый ключ способен оставаться действующим инструментом для подмены доверенных серверов. И никакая математическая стойкость P-384 здесь уже не поможет.
#Криптография, #Сертификаты, #Уязвимости @SecLabNews
👀 РКН утвердил правила трансграничного транзита на 2026 год
Опубликован свежий приказ РКН № 253, регулирующий трансграничную передачу сведений о гражданах по статье 12 закона 152-ФЗ. Список стран с адекватной защитой теперь насчитывает ровно 88 позиций. Ведомство объединило участников европейской конвенции и сторонние государства в единый реестр, окончательно закрепив новый подход к оценке рисков. Украину оттуда ожидаемо убрали, а Штаты туда даже не пытались пускать.
Разница вполне практическая. Если российский бизнес отправляет персональные данные получателю в Китае, передачу можно начинать сразу после обязательного уведомления регулятора. С американским получателем придётся ждать до десяти рабочих дней, а при запросе дополнительных документов и дольше. При этом требования к защите сведений никто не отменял.
Поэтому бизнесу имеет смысл проверить не только договор с иностранным сервисом, но и фактическое местонахождение получателя данных. Само использование зарубежного ПО нарушения не образует. Значение имеют состав передаваемых сведений, страна получателя и соблюдение российских требований, включая локализацию персональных данных.
#роскомнадзор, #персональныеданные, #инфобез @SecLabNews
ℹ️ Практический воркшоп: Бегущий по лезвию 187-ФЗ. Категорируем объекты КИИ без ошибок и риска штрафов
🗓 29 октября в 11:00
Категорирование КИИ - движение по грани: ошибка в выборе объектов или оценке последствий может привести к неверной категории и претензиям регулятора.
В 2026 году важно проверить результаты прежнего категорирования с учётом ПП РФ № 1762 и отраслевых особенностей. Изменения показателей и отраслевых правил требуют пересмотра в затронутой части, даже если пять лет ещё не прошло. Категория может измениться, а перечень объектов и документы нужно привести в соответствие с реальностью.
🎙 Артём Четвертной, руководитель отдела экспертизы, прямо в SECURITM покажет, как:
🔴 Определить сферы деятельности и объекты для категорирования
🔴 Собрать комиссию по категорированию
🔴 Оценить показатели значимости
🔴 Подобрать защитные меры и построить динамическую модель угроз
🔴 Вести объект после категорирования
➡️ Регистрируйтесь - и переходите с лезвия на твёрдую опору.
Великая цифровая стена: Китай не выпустит за границу ИИ, умеющий взламывать системы
Китайские власти закрывают от свободной продажи за рубеж передовые алгоритмы для кибербезопасности и автономных ИИ-агентов. В новый перечень экспортного контроля вошли нейросети, способные самостоятельно находить ошибки в коде, а также системы, умеющие генерировать и модифицировать вредоносные программы. Пекин опасается, что передача таких инструментов за границу создаст прямую угрозу для государственных сетей и оборонных объектов самого Китая.
Под ограничения попали разработки, которые не просто отвечают на вопросы, а сами планируют действия и взаимодействуют с другими программами. Инструменты для автоматизированного поиска уязвимостей создаются для защиты и проверки софта, но в руках атакующих этот же механизм легко превращается в оружие для подготовки взломов. Именно из-за такого двойного назначения власти хотят полностью запретить вывоз ИИ, способного писать вредоносный код, и жестко контролировать передачу агентных систем.
Новые правила серьезно ограничат коммерческий обмен закрытыми китайскими технологиями анализа защищенности на мировом рынке. Зарубежные компании больше не смогут свободно покупать или лицензировать мощные китайские системы автоматического поиска багов. Впрочем, алгоритмы, которые уже стали общедоступными через открытый исходный код или научные публикации, выведут из-под контроля.
#кибербезопасность, #ИИ, #уязвимости
@SecLabNews
Долг платежом страшен: москвичке слали «голые» фото с её лицом и требовали деньги
Долг по кредиту теперь может обернуться не только звонками и сообщениями. В Москве женщине начали ежедневно присылать интимные фото с её лицом, созданные нейросетью, и требовать деньги. Отправители называли себя коллекторами, но действительно ли они имели отношение к кредиторам, пока неизвестно.
Настоящие интимные снимки для такого шантажа вообще не нужны. Достаточно обычной фотографии из соцсетей, нейросеть дорисует остальное, а дальше жертве остаётся угрожать рассылкой знакомым и родственникам. Москвичка уже обратилась в полицию.
И случай далеко не первый. В Оренбурге коллекторов уже штрафовали на 300 тысяч рублей за угрозы распространить похожий ИИ-фейк, а МВД отдельно предупреждало о такой схеме. Если подобное приходит в сообщения, платить не стоит. Лучше сохранить переписку, изображения, номера и реквизиты и передать всё полиции.
#дипфейк #нейросети #мошенничество
@SecLabNews
🫡Хакеры взломали FirstVDS и украли пароли с клиентских серверов
Хостинг-провайдер FirstVDS подтвердил серьёзную атаку на свою инфраструктуру. Злоумышленники воспользовались уязвимостью в VMmanager 6 и получили доступ к файлам клиентских виртуальных серверов. Под угрозой оказались SSH-ключи, пароли, криптокошельки и другие секретные данные. Причём владельцы серверов могли даже не заметить кражу.
Хакеры действовали не через клиентские операционные системы, а непосредственно через инфраструктуру провайдера. Вредоносная программа подключала виртуальные диски в режиме чтения, находила ценные файлы и отправляла их на внешний сервер. Потенциальное окно доступа 17 октября составило более десяти часов. Сайты и приложения при этом могли продолжать работать совершенно нормально.
FirstVDS рекомендует пострадавшим считать скомпрометированными все секреты, хранившиеся на затронутых машинах. Простая смена пароля от VDS не поможет. Придётся отзывать ключи, менять токены и проверять сторонние сервисы. Точное количество пострадавших пока неизвестно, а использованную уязвимость ещё не удалось полностью закрыть.
#FirstVDS, #Хакеры, #УтечкаДанных @SecLabNews
Беспилотники добрались до дата-центра VK. Масштаб повреждений неизвестен
В ночь на 18 октября беспилотники атаковали дата-центр VK в Ленинградской области. Компания подтвердила нападение, но заверила, что все сервисы работают штатно. Правда, пользователи «ВКонтакте» уже сообщают о проблемах с авторизацией, сообщениями и загрузкой фотографий.
Что именно произошло с серверной инфраструктурой, VK не раскрывает. Неизвестно, пострадало ли оборудование, пришлось ли переключать нагрузку на резервные площадки и насколько серьёзными могут оказаться последствия. Связь пользовательских сбоев с атакой также не подтверждена.
После серии разрушительных ударов по дата-центрам «Яндекса» нападение на VK выглядит особенно тревожно. Российская цифровая инфраструктура снова оказалась под ударом, а отсутствие масштабного сбоя пока ничего не говорит о состоянии самой площадки.
#VK, #Беспилотники, #ДатаЦентры @SecLabNews
Освоить SIEM, пока тебя атакуют
Обычно знакомство с новой SIEM начинается на пилоте: специалисты изучают интерфейс, настраивают правила и тестируют сценарии. На кибербитве Standoff всё устроено иначе. Больше десяти атакующих групп в инфраструктуре и поток событий, которые нужно анализировать прямо сейчас.
В таких условиях команда akPots защищала отрасль «Телеком» на кибербитве Standoff 17. Собирать события, выявлять подозрительную активность и расследовать инциденты помогало решение R-Vision SIEM. При этом большинство участников осваивали систему уже по ходу игры.
Расспросили команду о том, чем кибербитва отличается от рутины SOC, как организовать работу, когда событий больше, чем рук, и что показал опыт работы с новым инструментом в боевых условиях.
Опыт akPots — в интервью.
Реклама. 18+. Рекламодатель ООО «Р-Вижн», ИНН: 7723390901
Минцифры исключило из нацплана идею блокировать 95% VPN с помощью ИИ
В черновиках национального плана по внедрению искусственного интеллекта до 2030 года обнаружилась амбициозная цель: анализировать признаки VPN-сервисов с помощью технологий ИИ и довести эффективность их блокировки до 95%. Впрочем, в самом Минцифры уже заявили, что в актуальной версии документа таких сведений нет, а знакомый с обсуждением источник объясняет, что ведомства предлагали включить в нацплаан различные меры, которые могут и не дойти до реализации.
По первоначальной задумке доля сервисов, признаки которых анализируются ИИ, должна была достигнуть 70% от общего числа блокируемых VPN. При этом для разбора трафика на сетях уже сейчас применяются алгоритмы интеллектуального анализа, которые, однако, искусственным интеллектом не являются.
При этом отказ от громких формулировок в нацплане не останавливает финансирование автоматизированных систем контроля трафика. В 2026 году Роскомнадзор планирует направить 2,27 млрд рублей на внедрение механизма фильтрации интернет-трафика с использованием инструментов машинного обучения, а в 2026–2029 годах большая часть из более чем 89,9 млрд рублей бюджета федпроекта «Инфраструктура кибербезопасности» пойдет на развитие системы АСБИ, состоящей из комплексов ТСПУ.
#Минцифры, #регулирование, #рунет
@SecLabNews
Взломали, продали, понесли в Telegram: новые детали атаки на Dodo Pizza
Тверской суд Москвы отправил под домашний арест до декабря 2026 года Д. А. Фридмана, обвиняемого во взломе инфраструктуры Dodo Pizza. По версии следствия, участники группы смогли обойти защиту крупной сети и выгрузить базу клиентских данных для платной передачи в Telegram-канал, но попались из-за пренебрежения базовой цифровой безопасностью уже после завершения атаки.
Ключевую ошибку допустил сам Фридман, когда решил зайти в уже похищенный массив информации. При подключении к украденной базе он не скрыл свои сетевые данные и раскрыл реальный IP-адрес. Этого единственного цифрового следа хватило силовикам, чтобы быстро вычислить местонахождение подозреваемого, прийти к нему с обыском и следом задержать еще двоих предполагаемых соучастников.
Одна техническая оплошность полностью разрушила анонимность группы и привела фигурантов к уголовному делу по статье 272.1 УК РФ о незаконных действиях с персональными данными. Однако поимка предполагаемых исполнителей не отменяет последствий самого взлома: по данным правоохранителей, до визита силовиков похищенную базу уже передали за вознаграждение третьим лицам для публикации в Telegram.
#инфобез, #DodoPizza, #киберпреступность
@SecLabNews