🏴☠️ Ваш WordPress можно взломать без пароля за пару запросов
Цепочка RCE без авторизации объединяет CVE-2026-63030 (путаница маршрутов в REST API) и CVE-2026-60137 (SQL инъекция в WP_Query). Атакующий через REST API и параметр "author__not_in" извлекает хеши паролей, подбирает пароль админа, загружает вредоносный плагин и выполняет команды. Уязвимы версии 6.9.0-6.9.4 и 7.0.0-7.0.1. Патчи вышли в 6.9.5 и 7.0.2. Эксплуатация в дикой природе уже зафиксирована.
└$ Для WordPress Core вышли публичные эксплойты к связке двух уязвимостей "wp2shell".
Цепочка RCE без авторизации объединяет CVE-2026-63030 (путаница маршрутов в REST API) и CVE-2026-60137 (SQL инъекция в WP_Query). Атакующий через REST API и параметр "author__not_in" извлекает хеши паролей, подбирает пароль админа, загружает вредоносный плагин и выполняет команды. Уязвимы версии 6.9.0-6.9.4 и 7.0.0-7.0.1. Патчи вышли в 6.9.5 и 7.0.2. Эксплуатация в дикой природе уже зафиксирована.
This media is not supported in your browser
VIEW IN TELEGRAM
🏴☠️ Ваше лицо больше не отлетит
Раньше лица отправляли на сервер и это создавало риски перехвата, утечек и инсайдеров. Теперь архитектура исключает сбор биометрии. С 2024 по 2026 год доля атак с участием ИИ агентов выросла с 3% до 40% и превысит 90% в ближайшие 18 месяцев. Incode блокирует 99% дипфейков, инъекций и подмен.
└$ Incode запустила технологию оценки возраста, где алгоритмы работают прямо на смартфоне. Биометрия теперь не передается и не хранится.
Раньше лица отправляли на сервер и это создавало риски перехвата, утечек и инсайдеров. Теперь архитектура исключает сбор биометрии. С 2024 по 2026 год доля атак с участием ИИ агентов выросла с 3% до 40% и превысит 90% в ближайшие 18 месяцев. Incode блокирует 99% дипфейков, инъекций и подмен.
This media is not supported in your browser
VIEW IN TELEGRAM
🏴☠️ Хакеры используют ViPNet для атак на российские гос. учреждения.
В папку ViPNet положили wtsapi32.dll (HelloInjector). При старте системы легитимный itcsrvup64.exe подгружает его, и DLL внедряется в svchost.exe с правами системы. Дальше подгружаются модули: HelloProxy (C2), HelloExecutor (удаленные команды и разведка), HelloCleaner (стирает логи ViPNet), HelloBackdoor (загрузка/выгрузка файлов). Следы ведут в Китай, но доказательства слабые, возможно фейк флаг.
└$ Хакеры подменили файл обновления ViPNet (сертифицирован для госорганов). Под видом легитимного обновления ставят бэкдор. Под ударом правительство, энергетика, транспорт.
В папку ViPNet положили wtsapi32.dll (HelloInjector). При старте системы легитимный itcsrvup64.exe подгружает его, и DLL внедряется в svchost.exe с правами системы. Дальше подгружаются модули: HelloProxy (C2), HelloExecutor (удаленные команды и разведка), HelloCleaner (стирает логи ViPNet), HelloBackdoor (загрузка/выгрузка файлов). Следы ведут в Китай, но доказательства слабые, возможно фейк флаг.
This media is not supported in your browser
VIEW IN TELEGRAM
🏴☠️ $500 000 за RCE в WordPress. ИИ нашeл его за $25
Баг в Batch API (с 2020 года) позволяет сместить валидацию параметров между запросами. Через рекурсивный вызов API исследователь обходит проверку метода и передаёт скалярный author_exclude в SQL запрос получая пред авторизационную SQLi. Затем через UNION инъекцию подменяет кэш WP_Post и с помощью функции Embeds добивается RCE.
└$ Исследователь с помощью GPT-5.6 Sol Ultra за 6 часов обнаружил цепочку уязвимостей в WordPress, ведущую к удаленному выполнению кода без авторизации.
Баг в Batch API (с 2020 года) позволяет сместить валидацию параметров между запросами. Через рекурсивный вызов API исследователь обходит проверку метода и передаёт скалярный author_exclude в SQL запрос получая пред авторизационную SQLi. Затем через UNION инъекцию подменяет кэш WP_Post и с помощью функции Embeds добивается RCE.
🏴☠️ Ваша AI платформа уже под ударом. Патч вышел неделю назад
Это пред авторизационный RCE с побегом из песочницы (OWASP A03:2021, Injection). Атакующие бьют в конечную точку /assessment_thanks.do и используют обходной путь, отличный от опубликованного PoC. ServiceNow заявляет, что не видит атак на своих мощностях, но призывает всех срочно обновиться.
└$ Критическая уязвимость CVE-2026-6875 в ServiceNow AI Platform активно эксплуатируется хакерами с прошлой пятницы.
Это пред авторизационный RCE с побегом из песочницы (OWASP A03:2021, Injection). Атакующие бьют в конечную точку /assessment_thanks.do и используют обходной путь, отличный от опубликованного PoC. ServiceNow заявляет, что не видит атак на своих мощностях, но призывает всех срочно обновиться.
This media is not supported in your browser
VIEW IN TELEGRAM
🏴☠️ ИИ агент взломал Hugging Face
Злоумышленники загрузили вредоносный датасет в конвейер обработки данных и через две уязвимости (инъекция шаблона и загрузчик RCE) выполнили код на воркере. Украли облачные и кластерные ключи, после чего двигались по внутренним кластерам. ИИ агент выполнил тысячи действий через swarm из короткоживущих песочниц, а C2 размещал на публичных сервисах. Hugging Face закрыл уязвимости, отозвал все скомпрометированные ключи и перестроил узлы.
└$ Хакеры использовали автономный ИИ фреймворк для взлома инфраструктуры Hugging Face. Украдены внутренние датасеты и учетные данные.
Злоумышленники загрузили вредоносный датасет в конвейер обработки данных и через две уязвимости (инъекция шаблона и загрузчик RCE) выполнили код на воркере. Украли облачные и кластерные ключи, после чего двигались по внутренним кластерам. ИИ агент выполнил тысячи действий через swarm из короткоживущих песочниц, а C2 размещал на публичных сервисах. Hugging Face закрыл уязвимости, отозвал все скомпрометированные ключи и перестроил узлы.
This media is not supported in your browser
VIEW IN TELEGRAM
🏴☠️ Утечка в косметической компании
Эксплуатация критической уязвимости CVE-2025-61882 (обход аутентификации и RCE) в компоненте BI Publisher. Хакеры из группировки Clop массово атаковали корпорации, получая доступ к HR системам. Украдены имена, SSN, паспорта, банковские счета и данные о здоровье.
└$ Косметический гигант Estée Lauder раскрыл утечку персональных данных сотрудников через Oracle E-Business Suite. Атака произошла в августе 2025 года, но обнаружили её только спустя 10 месяцев.
Эксплуатация критической уязвимости CVE-2025-61882 (обход аутентификации и RCE) в компоненте BI Publisher. Хакеры из группировки Clop массово атаковали корпорации, получая доступ к HR системам. Украдены имена, SSN, паспорта, банковские счета и данные о здоровье.
🏴☠️ Официального патча нет, но 0Patch уже закрыл дыру
Для свежей zero-day в Windows User Profile Service (LegacyHive) вышли бесплатные патчи от ACROS Security. Microsoft пока только расследует инцидент.
Не-админ может смонтировать чужой реестр классов в режиме полного доступа. При следующем входе администратора код выполняется автоматически. Уязвимы Windows 10 2004+ и Server 2022+. Патч от 0Patch перенаправляет монтирование на временный профиль, делая атаку бесполезной.
Для свежей zero-day в Windows User Profile Service (LegacyHive) вышли бесплатные патчи от ACROS Security. Microsoft пока только расследует инцидент.
Не-админ может смонтировать чужой реестр классов в режиме полного доступа. При следующем входе администратора код выполняется автоматически. Уязвимы Windows 10 2004+ и Server 2022+. Патч от 0Patch перенаправляет монтирование на временный профиль, делая атаку бесполезной.
🏴☠️ Один VPN шлюз открыл дверь для Qilin
CVE-2026-0257 (CVSS 7.8) позволяет без пароля создать VPN-сессию через SSL-портал. Дальше через PsExec и админские шары (C:\PerfLogs) расходятся по сети. Перед шифрованием отключают Defender и чистят логи. Часть атак крадут данные в MEGA через Rclone, другие просто шифруют всё подчистую. Патч вышел в июне.
└$ Хакеры Qilin (Agenda) с июня 2026 ломают сети через уязвимость в PAN OS. Ставят вымогатель за часы, стирая логи.
CVE-2026-0257 (CVSS 7.8) позволяет без пароля создать VPN-сессию через SSL-портал. Дальше через PsExec и админские шары (C:\PerfLogs) расходятся по сети. Перед шифрованием отключают Defender и чистят логи. Часть атак крадут данные в MEGA через Rclone, другие просто шифруют всё подчистую. Патч вышел в июне.
🏴☠️ Критическая дыра, которую взломали за два часа
Это Path Traversal (CWE-22, OWASP - Broken Access Control), CVE-2026-48282, CVSS 10. Уязвим обработчик RDS FILEIO на эндпоинте /CFIDE/main/ide.cfm - он не проверяет пути к файлам. Если у сервера включен RDS без авторизации, атакующий без учетки отправляет специальный запрос и записывает в веб директорию CFML вебшелл с тегом cfexecute. Дальше выполняет команды от имени сервиса, на Windows это уровень SYSTEM. Первую атаку с IP из Индии зафиксировали через два часа после раскрытия деталей.
└$ Adobe закрыла в ColdFusion серию максимально опасных багов, но один из них хакеры начали эксплуатировать почти сразу после публикации деталей.
Это Path Traversal (CWE-22, OWASP - Broken Access Control), CVE-2026-48282, CVSS 10. Уязвим обработчик RDS FILEIO на эндпоинте /CFIDE/main/ide.cfm - он не проверяет пути к файлам. Если у сервера включен RDS без авторизации, атакующий без учетки отправляет специальный запрос и записывает в веб директорию CFML вебшелл с тегом cfexecute. Дальше выполняет команды от имени сервиса, на Windows это уровень SYSTEM. Первую атаку с IP из Индии зафиксировали через два часа после раскрытия деталей.
This media is not supported in your browser
VIEW IN TELEGRAM
🏴☠️ Chrome читает ваши переписки в WhatsApp
Атака построена на связке уязвимостей CVE-2026-48294 (HermeticReader), это Broken Access Control (расширение позволяло любой странице встроить свой внутренний HTML как iframe и слать команды через URL-параметр, не проверяя, что запрос пришел от настоящего Adobe). Так сайт активировал спящий модуль Hermes, отвечающий за интеграцию с WhatsApp, и направлял его команды в открытую вкладку WhatsApp Web по предсказуемому Tab ID. Дальше через манипуляции DOM в переписку внедряли скрытую форму, а из-за отсутствия ограничения form action в CSP WhatsApp браузер сам отправлял содержимое чата на сервер атакующих. Для срабатывания жертве достаточно было просто открыть вредоносную страницу.
└$ Исследователи Guardio нашли способ, которым обычный сайт мог тайком забирать переписку жертвы из WhatsApp Web через расширение Adobe Acrobat, установленное в браузере.
Атака построена на связке уязвимостей CVE-2026-48294 (HermeticReader), это Broken Access Control (расширение позволяло любой странице встроить свой внутренний HTML как iframe и слать команды через URL-параметр, не проверяя, что запрос пришел от настоящего Adobe). Так сайт активировал спящий модуль Hermes, отвечающий за интеграцию с WhatsApp, и направлял его команды в открытую вкладку WhatsApp Web по предсказуемому Tab ID. Дальше через манипуляции DOM в переписку внедряли скрытую форму, а из-за отсутствия ограничения form action в CSP WhatsApp браузер сам отправлял содержимое чата на сервер атакующих. Для срабатывания жертве достаточно было просто открыть вредоносную страницу.
🏴☠️ Stadler Rail отказалась платить хакерам 12,3 миллиона долларов выкупа
Атака прошла не напрямую на Stadler, а через платформу обмена данными, которую компания использовала совместно с одним из поставщиков. Через этот канал Everest украли только техническую информацию поставщика, не относящуюся к безопасности, персональных данных и данных о поездах в эксплуатации нет. Everest - группа, которая давно отказалась от шифрования файлов и работает по схеме чистой кражи данных с последующим шантажом публикацией, а раньше еще и продавала доступ к взломанным сетям другим хакерам как брокер первоначального доступа.
└$ Швейцарский производитель поездов Stadler Rail получил письмо с требованием выкупа от вымогателей Everest, но заявил, что платить не будет, и обратился в полицию кантона Тургау.
Атака прошла не напрямую на Stadler, а через платформу обмена данными, которую компания использовала совместно с одним из поставщиков. Через этот канал Everest украли только техническую информацию поставщика, не относящуюся к безопасности, персональных данных и данных о поездах в эксплуатации нет. Everest - группа, которая давно отказалась от шифрования файлов и работает по схеме чистой кражи данных с последующим шантажом публикацией, а раньше еще и продавала доступ к взломанным сетям другим хакерам как брокер первоначального доступа.
🏴☠️ Девятилетняя дыра в Linux дает root в обход всех защит
Это race condition (CWE-362, OWASP - Broken Access Control), CVE-2026-64600, названа RefluXFS. Работает на системах с XFS и включенным reflink при ядре от 4.11. Атакующий клонирует через reflink целевой файл, например /etc/passwd или бинарник su с SUID, в свою временную копию, а затем запускает гонку из параллельных O_DIRECT записей. Из-за короткого окна снятия блокировки в пути copy-on-write одна из записей попадает не в свое хранилище, а прямо в физический блок оригинального файла. Изменение остается на диске после перезагрузки, не трогает inode, поэтому SUID бит сохраняется, и не пишет ничего в журнал ядра.
└$ Qualys нашла в файловой системе XFS уязвимость, которая жила в ядре Linux с 2017 года и позволяет обычному локальному пользователю получить root на большинстве корпоративных дистрибутивов.
Это race condition (CWE-362, OWASP - Broken Access Control), CVE-2026-64600, названа RefluXFS. Работает на системах с XFS и включенным reflink при ядре от 4.11. Атакующий клонирует через reflink целевой файл, например /etc/passwd или бинарник su с SUID, в свою временную копию, а затем запускает гонку из параллельных O_DIRECT записей. Из-за короткого окна снятия блокировки в пути copy-on-write одна из записей попадает не в свое хранилище, а прямо в физический блок оригинального файла. Изменение остается на диске после перезагрузки, не трогает inode, поэтому SUID бит сохраняется, и не пишет ничего в журнал ядра.
🏴☠️ Хакеры прячут малварь внутри обычного Notepad++
Есть ссылка на CVE-2025-56383 для версии 8.8.3, именно ее использовали в атаках. Жертва получает архив с VBS скриптом, замаскированным под PDF, тот скачивает второй архив с настоящим Notepad++ 8.8.3, вредоносной библиотекой NppExport.dll и запароленным RAR. Скрипт ставит все это в случайную папку и запускает редактор, который через штатный механизм подгружает вредоносную DLL - это и есть LunchPoke, создающий задачу в планировщике и распаковывающий из RAR загрузчик BurnyBear, который уже разворачивает MatchBoil V2.
└$ Украинский CERT-UA раскрыл кампанию группы UAC-0099, связанной с выдачей начального доступа для Sandworm, где вредонос маскируется под плагин к легитимному текстовому редактору.
Есть ссылка на CVE-2025-56383 для версии 8.8.3, именно ее использовали в атаках. Жертва получает архив с VBS скриптом, замаскированным под PDF, тот скачивает второй архив с настоящим Notepad++ 8.8.3, вредоносной библиотекой NppExport.dll и запароленным RAR. Скрипт ставит все это в случайную папку и запускает редактор, который через штатный механизм подгружает вредоносную DLL - это и есть LunchPoke, создающий задачу в планировщике и распаковывающий из RAR загрузчик BurnyBear, который уже разворачивает MatchBoil V2.
This media is not supported in your browser
VIEW IN TELEGRAM
🏴☠️ Xакеры воруют почту, даже не заставляя жертву кликнуть
CVE-2025-66376 в классическом интерфейсе Zimbra. Хакеры использовали ее как zero-day до патча в ноябре 2025. Жертве достаточно просто открыть специально сформированное HTML-письмо - встроенный JavaScript выполняется автоматически без клика по ссылке. Скрипт собирает и отправляет почту за последние 90 дней, адрес, пароль, глобальную адресную книгу и токены 2FA, а заодно создает новый пароль приложения для обхода MFA через легаси-клиенты вроде IMAP. Мелкие данные уходят через DNS A-записи, крупные архивы почты - по HTTPS на инфраструктуру фреймворка Flowerbed. Отдельно группа использует AiTM-фишинг с фейковыми страницами входа Zimbra для кражи сессионных кук.
└$ CISA предупредила, что группа Laundry Bear, известная также как Void Blizzard, атакует организации на Zimbra Collaboration, комбинируя фишинг с эксплуатацией уже закрытой уязвимости.
CVE-2025-66376 в классическом интерфейсе Zimbra. Хакеры использовали ее как zero-day до патча в ноябре 2025. Жертве достаточно просто открыть специально сформированное HTML-письмо - встроенный JavaScript выполняется автоматически без клика по ссылке. Скрипт собирает и отправляет почту за последние 90 дней, адрес, пароль, глобальную адресную книгу и токены 2FA, а заодно создает новый пароль приложения для обхода MFA через легаси-клиенты вроде IMAP. Мелкие данные уходят через DNS A-записи, крупные архивы почты - по HTTPS на инфраструктуру фреймворка Flowerbed. Отдельно группа использует AiTM-фишинг с фейковыми страницами входа Zimbra для кражи сессионных кук.
🏴☠️ Новый троян сам решает, у какой жертвы стоит вымогать больше
Панель управления содержит 329 функций в десяти категориях и крадет данные из 300+ приложений: браузеры, 100 расширений криптокошельков, 65 десктопных кошельков, менеджеры паролей, облачные CLI тулзы, .env файлы и SSH ключи. Ключевая новинка - AI Profiler: он анализирует активность приложений, использование браузера и установленный софт на зараженной машине, присваивает риск скор и присылает атакующим ежедневную сводку с ранжированными жертвами. Так операторы сразу видят, у кого доступ к криптокошелькам или корпоративным облакам, и бьют туда в первую очередь, не перебирая тысячи логов вручную. Какой именно ИИ движок используется, Varonis установить не смогла.
└$ Исследователи Varonis нашли на хакерском форуме троян удаленного доступа Dolphin X с фичей, которая сортирует зараженных пользователей по ценности с помощью ИИ.
Панель управления содержит 329 функций в десяти категориях и крадет данные из 300+ приложений: браузеры, 100 расширений криптокошельков, 65 десктопных кошельков, менеджеры паролей, облачные CLI тулзы, .env файлы и SSH ключи. Ключевая новинка - AI Profiler: он анализирует активность приложений, использование браузера и установленный софт на зараженной машине, присваивает риск скор и присылает атакующим ежедневную сводку с ранжированными жертвами. Так операторы сразу видят, у кого доступ к криптокошелькам или корпоративным облакам, и бьют туда в первую очередь, не перебирая тысячи логов вручную. Какой именно ИИ движок используется, Varonis установить не смогла.
This media is not supported in your browser
VIEW IN TELEGRAM
🏴☠️ ИИ агенты сами приглашают хакеров в код через несуществующие пакеты
ИИ агент генерирует имя пакета, репозитория или домена, и это имя можно предсказать заранее, как в радужных таблицах для хешей паролей. Атакующий заранее регистрирует такое “галлюцинированное” имя и кладет туда вредоносный код, а агент потом сам его скачивает и выполняет без проверки человеком. Исследователи показали, что имена репозиториев совпадают в 85% случаев, а для установки скиллов - в 100%. В июне Trail of Bits обошли сканеры магазинов скиллов меньше чем за час, потому что те проверяют заявленное содержимое, а не скрытую полезную нагрузку. SSL и DNSSEC тоже не спасают - сертификат можно бесплатно получить и на свежезарегистрированный домен-ловушку.
└$ Материал от ActiveState описывает, как один и тот же баг архитектуры скрывается за тремя разными названиями атак на ИИ агентов в коде - слопсквоттинг, фантомные домены и халлюсквоттинг.
ИИ агент генерирует имя пакета, репозитория или домена, и это имя можно предсказать заранее, как в радужных таблицах для хешей паролей. Атакующий заранее регистрирует такое “галлюцинированное” имя и кладет туда вредоносный код, а агент потом сам его скачивает и выполняет без проверки человеком. Исследователи показали, что имена репозиториев совпадают в 85% случаев, а для установки скиллов - в 100%. В июне Trail of Bits обошли сканеры магазинов скиллов меньше чем за час, потому что те проверяют заявленное содержимое, а не скрытую полезную нагрузку. SSL и DNSSEC тоже не спасают - сертификат можно бесплатно получить и на свежезарегистрированный домен-ловушку.
🏴☠️ Взлом Wi-Fi в отеле обходит MFA даже без кражи пароля
Получив доступ админа, атакующие меняют DNS на устройстве и перенаправляют жертв на четыре фишинговых домена вроде m365-owa[.]com. Самое опасное - в части случаев используют device code flow: жертве показывают якобы официальный код Microsoft, а после ввода одобряется не ее сессия, а сессия, инициированная атакующим. Так на устройство хакера выдается настоящий OAuth токен без единого украденного пароля, полностью в обход MFA.
└$ ReliaQuest раскрыла кампанию, где хакеры взламывают Wi-Fi-шлюзы в отелях и конференцях, чтобы подсунуть командировочным сотрудникам поддельную страницу входа в Microsoft 365.
Получив доступ админа, атакующие меняют DNS на устройстве и перенаправляют жертв на четыре фишинговых домена вроде m365-owa[.]com. Самое опасное - в части случаев используют device code flow: жертве показывают якобы официальный код Microsoft, а после ввода одобряется не ее сессия, а сессия, инициированная атакующим. Так на устройство хакера выдается настоящий OAuth токен без единого украденного пароля, полностью в обход MFA.
🏴☠️ ИИ агент в режиме YOLO взламывал Минфин Таиланда без присмотра человека
Aтакующие включили в Hermes так называемый YOLO mode - режим, убирающий запрос подтверждения от человека перед опасными командами. Дальше агент действовал сам: искал способы повышения привилегий, сканировал ядро на уязвимости, перечислял сервисы, искал SUID/SGID-бинарники, изучал контейнеры и файловую систему, используя кастомную версию скрипта LinPEAS. В другой задаче агента направили рекурсивно обшарить веб директорию с личными делами сотрудников с 2012 года файлы каталогизировали, но следов эксфильтрации не нашли. В найденных файлах также был PHP вебшелл на сервере министерства и Go имплант Hades под Windows и Linux. Инфраструктуру связали через общий JA4X-отпечаток TLS сертификатов с серверами в Малайзии и Гонконге.
└$ Исследователи нашли открытые в сеть директории с 585 файлами, которые указывают на взлом систем Министерства финансов Таиланда с помощью открытого ИИ агента Hermes. Само министерство взлом не подтвердило.
Aтакующие включили в Hermes так называемый YOLO mode - режим, убирающий запрос подтверждения от человека перед опасными командами. Дальше агент действовал сам: искал способы повышения привилегий, сканировал ядро на уязвимости, перечислял сервисы, искал SUID/SGID-бинарники, изучал контейнеры и файловую систему, используя кастомную версию скрипта LinPEAS. В другой задаче агента направили рекурсивно обшарить веб директорию с личными делами сотрудников с 2012 года файлы каталогизировали, но следов эксфильтрации не нашли. В найденных файлах также был PHP вебшелл на сервере министерства и Go имплант Hades под Windows и Linux. Инфраструктуру связали через общий JA4X-отпечаток TLS сертификатов с серверами в Малайзии и Гонконге.
🏴☠️ Малварь теперь не надо скачивать, вы можете собрать его в своем браузере
Фильтр на входе отсекает исследователей и ботов, пропуская только трейдеров из 12 стран. На странице через ReactJS библиотеку регистрируется service worker как менеджер загрузки, а SharedWorker запрашивает у себя же эндпоинт /config с рандомными для каждой сессии seed и size - это не обычный ответ с файлом, а шаблон и инструкции, как собрать бинарник локально из чистого исполняемого файла Bun. Из-за уникальных параметров хэш итогового файла каждый раз разный, что обходит статичные детекты. Финальный экзешник собирается тем же service worker и скачивается с домена самой страницы, поэтому с точки зрения браузера это обычная same-origin загрузка с меткой mark-of-the-web.
└$ Confiant раскрыла кампанию SourTrade - фейковые сайты Solana, Luno и TradingView, где вредонос не передается по сети готовым файлом, а буквально собирается внутри браузера из кусочков.
Фильтр на входе отсекает исследователей и ботов, пропуская только трейдеров из 12 стран. На странице через ReactJS библиотеку регистрируется service worker как менеджер загрузки, а SharedWorker запрашивает у себя же эндпоинт /config с рандомными для каждой сессии seed и size - это не обычный ответ с файлом, а шаблон и инструкции, как собрать бинарник локально из чистого исполняемого файла Bun. Из-за уникальных параметров хэш итогового файла каждый раз разный, что обходит статичные детекты. Финальный экзешник собирается тем же service worker и скачивается с домена самой страницы, поэтому с точки зрения браузера это обычная same-origin загрузка с меткой mark-of-the-web.
🏴☠️ Критическую RCE в Fastjson уже атакуют, а патча для 1.x версии до сих пор нет.
CVE-2026-16723, CVSS 9.0. 3начение [@]type превращается в путь поиска class-ресурса, а через специально сформированный путь во вложенном JAR внутри fat-JAR можно подгрузить чужой байткод. Аннотация [@]JSONType в этом ресурсе воспринимается парсером как признак доверия, и класс проходит проверку типов. На новых версиях JDK есть еще скачивание удаленного JAR через /proc/self/fd. ThreatBook и Imperva фиксируют реальные атаки на финансовые и медицинские компании в США.
└$ Alibaba подтвердила уязвимость в своей Java библиотеке Fastjson, которую эксплуатируют без учетной записи в приложениях на Spring Boot, а официального фикса для ветки 1.x попросту не существует.
CVE-2026-16723, CVSS 9.0. 3начение [@]type превращается в путь поиска class-ресурса, а через специально сформированный путь во вложенном JAR внутри fat-JAR можно подгрузить чужой байткод. Аннотация [@]JSONType в этом ресурсе воспринимается парсером как признак доверия, и класс проходит проверку типов. На новых версиях JDK есть еще скачивание удаленного JAR через /proc/self/fd. ThreatBook и Imperva фиксируют реальные атаки на финансовые и медицинские компании в США.