🏴☠️ Один VPN шлюз открыл дверь для Qilin
CVE-2026-0257 (CVSS 7.8) позволяет без пароля создать VPN-сессию через SSL-портал. Дальше через PsExec и админские шары (C:\PerfLogs) расходятся по сети. Перед шифрованием отключают Defender и чистят логи. Часть атак крадут данные в MEGA через Rclone, другие просто шифруют всё подчистую. Патч вышел в июне.
└$ Хакеры Qilin (Agenda) с июня 2026 ломают сети через уязвимость в PAN OS. Ставят вымогатель за часы, стирая логи.
CVE-2026-0257 (CVSS 7.8) позволяет без пароля создать VPN-сессию через SSL-портал. Дальше через PsExec и админские шары (C:\PerfLogs) расходятся по сети. Перед шифрованием отключают Defender и чистят логи. Часть атак крадут данные в MEGA через Rclone, другие просто шифруют всё подчистую. Патч вышел в июне.
🏴☠️ Критическая дыра, которую взломали за два часа
Это Path Traversal (CWE-22, OWASP - Broken Access Control), CVE-2026-48282, CVSS 10. Уязвим обработчик RDS FILEIO на эндпоинте /CFIDE/main/ide.cfm - он не проверяет пути к файлам. Если у сервера включен RDS без авторизации, атакующий без учетки отправляет специальный запрос и записывает в веб директорию CFML вебшелл с тегом cfexecute. Дальше выполняет команды от имени сервиса, на Windows это уровень SYSTEM. Первую атаку с IP из Индии зафиксировали через два часа после раскрытия деталей.
└$ Adobe закрыла в ColdFusion серию максимально опасных багов, но один из них хакеры начали эксплуатировать почти сразу после публикации деталей.
Это Path Traversal (CWE-22, OWASP - Broken Access Control), CVE-2026-48282, CVSS 10. Уязвим обработчик RDS FILEIO на эндпоинте /CFIDE/main/ide.cfm - он не проверяет пути к файлам. Если у сервера включен RDS без авторизации, атакующий без учетки отправляет специальный запрос и записывает в веб директорию CFML вебшелл с тегом cfexecute. Дальше выполняет команды от имени сервиса, на Windows это уровень SYSTEM. Первую атаку с IP из Индии зафиксировали через два часа после раскрытия деталей.
This media is not supported in your browser
VIEW IN TELEGRAM
🏴☠️ Chrome читает ваши переписки в WhatsApp
Атака построена на связке уязвимостей CVE-2026-48294 (HermeticReader), это Broken Access Control (расширение позволяло любой странице встроить свой внутренний HTML как iframe и слать команды через URL-параметр, не проверяя, что запрос пришел от настоящего Adobe). Так сайт активировал спящий модуль Hermes, отвечающий за интеграцию с WhatsApp, и направлял его команды в открытую вкладку WhatsApp Web по предсказуемому Tab ID. Дальше через манипуляции DOM в переписку внедряли скрытую форму, а из-за отсутствия ограничения form action в CSP WhatsApp браузер сам отправлял содержимое чата на сервер атакующих. Для срабатывания жертве достаточно было просто открыть вредоносную страницу.
└$ Исследователи Guardio нашли способ, которым обычный сайт мог тайком забирать переписку жертвы из WhatsApp Web через расширение Adobe Acrobat, установленное в браузере.
Атака построена на связке уязвимостей CVE-2026-48294 (HermeticReader), это Broken Access Control (расширение позволяло любой странице встроить свой внутренний HTML как iframe и слать команды через URL-параметр, не проверяя, что запрос пришел от настоящего Adobe). Так сайт активировал спящий модуль Hermes, отвечающий за интеграцию с WhatsApp, и направлял его команды в открытую вкладку WhatsApp Web по предсказуемому Tab ID. Дальше через манипуляции DOM в переписку внедряли скрытую форму, а из-за отсутствия ограничения form action в CSP WhatsApp браузер сам отправлял содержимое чата на сервер атакующих. Для срабатывания жертве достаточно было просто открыть вредоносную страницу.
🏴☠️ Stadler Rail отказалась платить хакерам 12,3 миллиона долларов выкупа
Атака прошла не напрямую на Stadler, а через платформу обмена данными, которую компания использовала совместно с одним из поставщиков. Через этот канал Everest украли только техническую информацию поставщика, не относящуюся к безопасности, персональных данных и данных о поездах в эксплуатации нет. Everest - группа, которая давно отказалась от шифрования файлов и работает по схеме чистой кражи данных с последующим шантажом публикацией, а раньше еще и продавала доступ к взломанным сетям другим хакерам как брокер первоначального доступа.
└$ Швейцарский производитель поездов Stadler Rail получил письмо с требованием выкупа от вымогателей Everest, но заявил, что платить не будет, и обратился в полицию кантона Тургау.
Атака прошла не напрямую на Stadler, а через платформу обмена данными, которую компания использовала совместно с одним из поставщиков. Через этот канал Everest украли только техническую информацию поставщика, не относящуюся к безопасности, персональных данных и данных о поездах в эксплуатации нет. Everest - группа, которая давно отказалась от шифрования файлов и работает по схеме чистой кражи данных с последующим шантажом публикацией, а раньше еще и продавала доступ к взломанным сетям другим хакерам как брокер первоначального доступа.
🏴☠️ Девятилетняя дыра в Linux дает root в обход всех защит
Это race condition (CWE-362, OWASP - Broken Access Control), CVE-2026-64600, названа RefluXFS. Работает на системах с XFS и включенным reflink при ядре от 4.11. Атакующий клонирует через reflink целевой файл, например /etc/passwd или бинарник su с SUID, в свою временную копию, а затем запускает гонку из параллельных O_DIRECT записей. Из-за короткого окна снятия блокировки в пути copy-on-write одна из записей попадает не в свое хранилище, а прямо в физический блок оригинального файла. Изменение остается на диске после перезагрузки, не трогает inode, поэтому SUID бит сохраняется, и не пишет ничего в журнал ядра.
└$ Qualys нашла в файловой системе XFS уязвимость, которая жила в ядре Linux с 2017 года и позволяет обычному локальному пользователю получить root на большинстве корпоративных дистрибутивов.
Это race condition (CWE-362, OWASP - Broken Access Control), CVE-2026-64600, названа RefluXFS. Работает на системах с XFS и включенным reflink при ядре от 4.11. Атакующий клонирует через reflink целевой файл, например /etc/passwd или бинарник su с SUID, в свою временную копию, а затем запускает гонку из параллельных O_DIRECT записей. Из-за короткого окна снятия блокировки в пути copy-on-write одна из записей попадает не в свое хранилище, а прямо в физический блок оригинального файла. Изменение остается на диске после перезагрузки, не трогает inode, поэтому SUID бит сохраняется, и не пишет ничего в журнал ядра.
🏴☠️ Хакеры прячут малварь внутри обычного Notepad++
Есть ссылка на CVE-2025-56383 для версии 8.8.3, именно ее использовали в атаках. Жертва получает архив с VBS скриптом, замаскированным под PDF, тот скачивает второй архив с настоящим Notepad++ 8.8.3, вредоносной библиотекой NppExport.dll и запароленным RAR. Скрипт ставит все это в случайную папку и запускает редактор, который через штатный механизм подгружает вредоносную DLL - это и есть LunchPoke, создающий задачу в планировщике и распаковывающий из RAR загрузчик BurnyBear, который уже разворачивает MatchBoil V2.
└$ Украинский CERT-UA раскрыл кампанию группы UAC-0099, связанной с выдачей начального доступа для Sandworm, где вредонос маскируется под плагин к легитимному текстовому редактору.
Есть ссылка на CVE-2025-56383 для версии 8.8.3, именно ее использовали в атаках. Жертва получает архив с VBS скриптом, замаскированным под PDF, тот скачивает второй архив с настоящим Notepad++ 8.8.3, вредоносной библиотекой NppExport.dll и запароленным RAR. Скрипт ставит все это в случайную папку и запускает редактор, который через штатный механизм подгружает вредоносную DLL - это и есть LunchPoke, создающий задачу в планировщике и распаковывающий из RAR загрузчик BurnyBear, который уже разворачивает MatchBoil V2.
This media is not supported in your browser
VIEW IN TELEGRAM
🏴☠️ Xакеры воруют почту, даже не заставляя жертву кликнуть
CVE-2025-66376 в классическом интерфейсе Zimbra. Хакеры использовали ее как zero-day до патча в ноябре 2025. Жертве достаточно просто открыть специально сформированное HTML-письмо - встроенный JavaScript выполняется автоматически без клика по ссылке. Скрипт собирает и отправляет почту за последние 90 дней, адрес, пароль, глобальную адресную книгу и токены 2FA, а заодно создает новый пароль приложения для обхода MFA через легаси-клиенты вроде IMAP. Мелкие данные уходят через DNS A-записи, крупные архивы почты - по HTTPS на инфраструктуру фреймворка Flowerbed. Отдельно группа использует AiTM-фишинг с фейковыми страницами входа Zimbra для кражи сессионных кук.
└$ CISA предупредила, что группа Laundry Bear, известная также как Void Blizzard, атакует организации на Zimbra Collaboration, комбинируя фишинг с эксплуатацией уже закрытой уязвимости.
CVE-2025-66376 в классическом интерфейсе Zimbra. Хакеры использовали ее как zero-day до патча в ноябре 2025. Жертве достаточно просто открыть специально сформированное HTML-письмо - встроенный JavaScript выполняется автоматически без клика по ссылке. Скрипт собирает и отправляет почту за последние 90 дней, адрес, пароль, глобальную адресную книгу и токены 2FA, а заодно создает новый пароль приложения для обхода MFA через легаси-клиенты вроде IMAP. Мелкие данные уходят через DNS A-записи, крупные архивы почты - по HTTPS на инфраструктуру фреймворка Flowerbed. Отдельно группа использует AiTM-фишинг с фейковыми страницами входа Zimbra для кражи сессионных кук.
🏴☠️ Новый троян сам решает, у какой жертвы стоит вымогать больше
Панель управления содержит 329 функций в десяти категориях и крадет данные из 300+ приложений: браузеры, 100 расширений криптокошельков, 65 десктопных кошельков, менеджеры паролей, облачные CLI тулзы, .env файлы и SSH ключи. Ключевая новинка - AI Profiler: он анализирует активность приложений, использование браузера и установленный софт на зараженной машине, присваивает риск скор и присылает атакующим ежедневную сводку с ранжированными жертвами. Так операторы сразу видят, у кого доступ к криптокошелькам или корпоративным облакам, и бьют туда в первую очередь, не перебирая тысячи логов вручную. Какой именно ИИ движок используется, Varonis установить не смогла.
└$ Исследователи Varonis нашли на хакерском форуме троян удаленного доступа Dolphin X с фичей, которая сортирует зараженных пользователей по ценности с помощью ИИ.
Панель управления содержит 329 функций в десяти категориях и крадет данные из 300+ приложений: браузеры, 100 расширений криптокошельков, 65 десктопных кошельков, менеджеры паролей, облачные CLI тулзы, .env файлы и SSH ключи. Ключевая новинка - AI Profiler: он анализирует активность приложений, использование браузера и установленный софт на зараженной машине, присваивает риск скор и присылает атакующим ежедневную сводку с ранжированными жертвами. Так операторы сразу видят, у кого доступ к криптокошелькам или корпоративным облакам, и бьют туда в первую очередь, не перебирая тысячи логов вручную. Какой именно ИИ движок используется, Varonis установить не смогла.
This media is not supported in your browser
VIEW IN TELEGRAM
🏴☠️ ИИ агенты сами приглашают хакеров в код через несуществующие пакеты
ИИ агент генерирует имя пакета, репозитория или домена, и это имя можно предсказать заранее, как в радужных таблицах для хешей паролей. Атакующий заранее регистрирует такое “галлюцинированное” имя и кладет туда вредоносный код, а агент потом сам его скачивает и выполняет без проверки человеком. Исследователи показали, что имена репозиториев совпадают в 85% случаев, а для установки скиллов - в 100%. В июне Trail of Bits обошли сканеры магазинов скиллов меньше чем за час, потому что те проверяют заявленное содержимое, а не скрытую полезную нагрузку. SSL и DNSSEC тоже не спасают - сертификат можно бесплатно получить и на свежезарегистрированный домен-ловушку.
└$ Материал от ActiveState описывает, как один и тот же баг архитектуры скрывается за тремя разными названиями атак на ИИ агентов в коде - слопсквоттинг, фантомные домены и халлюсквоттинг.
ИИ агент генерирует имя пакета, репозитория или домена, и это имя можно предсказать заранее, как в радужных таблицах для хешей паролей. Атакующий заранее регистрирует такое “галлюцинированное” имя и кладет туда вредоносный код, а агент потом сам его скачивает и выполняет без проверки человеком. Исследователи показали, что имена репозиториев совпадают в 85% случаев, а для установки скиллов - в 100%. В июне Trail of Bits обошли сканеры магазинов скиллов меньше чем за час, потому что те проверяют заявленное содержимое, а не скрытую полезную нагрузку. SSL и DNSSEC тоже не спасают - сертификат можно бесплатно получить и на свежезарегистрированный домен-ловушку.
🏴☠️ Взлом Wi-Fi в отеле обходит MFA даже без кражи пароля
Получив доступ админа, атакующие меняют DNS на устройстве и перенаправляют жертв на четыре фишинговых домена вроде m365-owa[.]com. Самое опасное - в части случаев используют device code flow: жертве показывают якобы официальный код Microsoft, а после ввода одобряется не ее сессия, а сессия, инициированная атакующим. Так на устройство хакера выдается настоящий OAuth токен без единого украденного пароля, полностью в обход MFA.
└$ ReliaQuest раскрыла кампанию, где хакеры взламывают Wi-Fi-шлюзы в отелях и конференцях, чтобы подсунуть командировочным сотрудникам поддельную страницу входа в Microsoft 365.
Получив доступ админа, атакующие меняют DNS на устройстве и перенаправляют жертв на четыре фишинговых домена вроде m365-owa[.]com. Самое опасное - в части случаев используют device code flow: жертве показывают якобы официальный код Microsoft, а после ввода одобряется не ее сессия, а сессия, инициированная атакующим. Так на устройство хакера выдается настоящий OAuth токен без единого украденного пароля, полностью в обход MFA.
🏴☠️ ИИ агент в режиме YOLO взламывал Минфин Таиланда без присмотра человека
Aтакующие включили в Hermes так называемый YOLO mode - режим, убирающий запрос подтверждения от человека перед опасными командами. Дальше агент действовал сам: искал способы повышения привилегий, сканировал ядро на уязвимости, перечислял сервисы, искал SUID/SGID-бинарники, изучал контейнеры и файловую систему, используя кастомную версию скрипта LinPEAS. В другой задаче агента направили рекурсивно обшарить веб директорию с личными делами сотрудников с 2012 года файлы каталогизировали, но следов эксфильтрации не нашли. В найденных файлах также был PHP вебшелл на сервере министерства и Go имплант Hades под Windows и Linux. Инфраструктуру связали через общий JA4X-отпечаток TLS сертификатов с серверами в Малайзии и Гонконге.
└$ Исследователи нашли открытые в сеть директории с 585 файлами, которые указывают на взлом систем Министерства финансов Таиланда с помощью открытого ИИ агента Hermes. Само министерство взлом не подтвердило.
Aтакующие включили в Hermes так называемый YOLO mode - режим, убирающий запрос подтверждения от человека перед опасными командами. Дальше агент действовал сам: искал способы повышения привилегий, сканировал ядро на уязвимости, перечислял сервисы, искал SUID/SGID-бинарники, изучал контейнеры и файловую систему, используя кастомную версию скрипта LinPEAS. В другой задаче агента направили рекурсивно обшарить веб директорию с личными делами сотрудников с 2012 года файлы каталогизировали, но следов эксфильтрации не нашли. В найденных файлах также был PHP вебшелл на сервере министерства и Go имплант Hades под Windows и Linux. Инфраструктуру связали через общий JA4X-отпечаток TLS сертификатов с серверами в Малайзии и Гонконге.
🏴☠️ Малварь теперь не надо скачивать, вы можете собрать его в своем браузере
Фильтр на входе отсекает исследователей и ботов, пропуская только трейдеров из 12 стран. На странице через ReactJS библиотеку регистрируется service worker как менеджер загрузки, а SharedWorker запрашивает у себя же эндпоинт /config с рандомными для каждой сессии seed и size - это не обычный ответ с файлом, а шаблон и инструкции, как собрать бинарник локально из чистого исполняемого файла Bun. Из-за уникальных параметров хэш итогового файла каждый раз разный, что обходит статичные детекты. Финальный экзешник собирается тем же service worker и скачивается с домена самой страницы, поэтому с точки зрения браузера это обычная same-origin загрузка с меткой mark-of-the-web.
└$ Confiant раскрыла кампанию SourTrade - фейковые сайты Solana, Luno и TradingView, где вредонос не передается по сети готовым файлом, а буквально собирается внутри браузера из кусочков.
Фильтр на входе отсекает исследователей и ботов, пропуская только трейдеров из 12 стран. На странице через ReactJS библиотеку регистрируется service worker как менеджер загрузки, а SharedWorker запрашивает у себя же эндпоинт /config с рандомными для каждой сессии seed и size - это не обычный ответ с файлом, а шаблон и инструкции, как собрать бинарник локально из чистого исполняемого файла Bun. Из-за уникальных параметров хэш итогового файла каждый раз разный, что обходит статичные детекты. Финальный экзешник собирается тем же service worker и скачивается с домена самой страницы, поэтому с точки зрения браузера это обычная same-origin загрузка с меткой mark-of-the-web.
🏴☠️ Критическую RCE в Fastjson уже атакуют, а патча для 1.x версии до сих пор нет.
CVE-2026-16723, CVSS 9.0. 3начение [@]type превращается в путь поиска class-ресурса, а через специально сформированный путь во вложенном JAR внутри fat-JAR можно подгрузить чужой байткод. Аннотация [@]JSONType в этом ресурсе воспринимается парсером как признак доверия, и класс проходит проверку типов. На новых версиях JDK есть еще скачивание удаленного JAR через /proc/self/fd. ThreatBook и Imperva фиксируют реальные атаки на финансовые и медицинские компании в США.
└$ Alibaba подтвердила уязвимость в своей Java библиотеке Fastjson, которую эксплуатируют без учетной записи в приложениях на Spring Boot, а официального фикса для ветки 1.x попросту не существует.
CVE-2026-16723, CVSS 9.0. 3начение [@]type превращается в путь поиска class-ресурса, а через специально сформированный путь во вложенном JAR внутри fat-JAR можно подгрузить чужой байткод. Аннотация [@]JSONType в этом ресурсе воспринимается парсером как признак доверия, и класс проходит проверку типов. На новых версиях JDK есть еще скачивание удаленного JAR через /proc/self/fd. ThreatBook и Imperva фиксируют реальные атаки на финансовые и медицинские компании в США.
This media is not supported in your browser
VIEW IN TELEGRAM
🏴☠️ Cl0p взломал системы производителей через промышленный PLM-софт без единого пароля
CVE-2026-12569, CVSS 9.3, в KEV-каталоге CISA с 25 июня. Атака - двухшаговая цепочка без единой учетки. Сначала атакующие через баг раскрытия информации в WSDL-эндпоинте FlexPLM (CVSS 7.5) разведывают среду и подбирают параметры под конкретную цель. Затем эксплуатируют серверный баг в сервлете логина Windchill, добиваясь неаутентифицированного RCE, и кладут в /Windchill/login/ JSP-вебшеллы с именами из шестнадцатеричных символов. Дальше идет перечисление файловой системы через flst.txt, сбор инженерных данных и эксфильтрация.
└$ Аффилиаты вымогательской группы Cl0p массово атакуют интернет-доступные установки PTC Windchill и FlexPLM - платформ управления жизненным циклом продукта в машиностроении, автопроме, авиации и ритейле, и уже воруют инженерные данные для двойного вымогательства.
CVE-2026-12569, CVSS 9.3, в KEV-каталоге CISA с 25 июня. Атака - двухшаговая цепочка без единой учетки. Сначала атакующие через баг раскрытия информации в WSDL-эндпоинте FlexPLM (CVSS 7.5) разведывают среду и подбирают параметры под конкретную цель. Затем эксплуатируют серверный баг в сервлете логина Windchill, добиваясь неаутентифицированного RCE, и кладут в /Windchill/login/ JSP-вебшеллы с именами из шестнадцатеричных символов. Дальше идет перечисление файловой системы через flst.txt, сбор инженерных данных и эксфильтрация.
🏴☠️ Один клик по ссылке ChatGPT превращал сотрудника в невидимого шпиона на компанию
Это Cross-Site Request Forgery в новой форме - Zenity называет ее Cross-Site Agent Forgery. Уязвимость была в двух параметрах URL: template_name по умолчанию указывал на самый мощный шаблон “Chief of Staff”, а initial_assistant_prompt содержал пронумерованный список инструкций, который Agent Builder выполнял как команды, а не как обычный текст от пользователя. При клике на с виду обычную ссылку ChatGPT сразу создавал агента, подключал уже разрешенные сотруднику коннекторы вроде почты, Slack, Teams и Google Drive, а все запросы на подтверждение действий переключал на “никогда не спрашивать”.
└$ Zenity Labs нашла в Agent Builder, конструкторе автономных ИИ-агентов OpenAI, дыру AgentForger, которая позволяла одной ссылкой развернуть внутри компании агента, полностью подчиняющегося атакующему.
Это Cross-Site Request Forgery в новой форме - Zenity называет ее Cross-Site Agent Forgery. Уязвимость была в двух параметрах URL: template_name по умолчанию указывал на самый мощный шаблон “Chief of Staff”, а initial_assistant_prompt содержал пронумерованный список инструкций, который Agent Builder выполнял как команды, а не как обычный текст от пользователя. При клике на с виду обычную ссылку ChatGPT сразу создавал агента, подключал уже разрешенные сотруднику коннекторы вроде почты, Slack, Teams и Google Drive, а все запросы на подтверждение действий переключал на “никогда не спрашивать”.
🏴☠️ Apple судят за поддельный кошелек Sparrow, который вычистил у людей 1,8 миллиона в биткоине
Жертве предлагают ввести seed фразу для “восстановления” кошелька. Один из истцов потерял 7,4 BTC (около 875 тысяч долларов), сообщил об этом Apple в тот же день, но ответа не получил. Разработчик настоящего Sparrow предупреждал Apple о таких подделках еще в январе 2024 - за полтора года до части инцидентов. Apple заявляет, что оперативно удаляет такие приложения по репортам.
└$ Apple годами пропускала в App Store фейковые приложения под видом настоящего десктопного кошелька Sparrow Wallet, у которого вообще нет официальной версии под iOS.
Жертве предлагают ввести seed фразу для “восстановления” кошелька. Один из истцов потерял 7,4 BTC (около 875 тысяч долларов), сообщил об этом Apple в тот же день, но ответа не получил. Разработчик настоящего Sparrow предупреждал Apple о таких подделках еще в январе 2024 - за полтора года до части инцидентов. Apple заявляет, что оперативно удаляет такие приложения по репортам.
🏴☠️ Обычный пользователь домена мог притвориться контроллером домена и захватить весь Active Directory
CVE-2026-54121. Уязвим механизм “chase” в AD CS: при заявке на сертификат используются атрибуты cdc (сервер, к которому обратится центр сертификации) и rmd (аккаунт, который нужно найти), но система не проверяла, что сервер из cdc - настоящий контроллер домена. Атакующий с обычной низкопривилегированной учеткой создает машинный аккаунт, поднимает поддельные SMB, LSA и LDAP сервисы, направляет туда центр сертификации через cdc и подсовывает ложные данные, будто это аккаунт контроллера домена. ЦС им верит и выдает сертификат для аутентификации как DC через PKINIT. Дальше через этот сертификат атакующий получает Kerberos билет, вытаскивает NT хэш и через secretsdump проводит DCSync, забирая учетные данные krbtgt - это полный компромисс домена.
└$ Исследователи выпустили публичный эксплойт для Certighost - бага в AD CS, службе сертификатов Windows доменов, который Microsoft закрыла в июлe.
CVE-2026-54121. Уязвим механизм “chase” в AD CS: при заявке на сертификат используются атрибуты cdc (сервер, к которому обратится центр сертификации) и rmd (аккаунт, который нужно найти), но система не проверяла, что сервер из cdc - настоящий контроллер домена. Атакующий с обычной низкопривилегированной учеткой создает машинный аккаунт, поднимает поддельные SMB, LSA и LDAP сервисы, направляет туда центр сертификации через cdc и подсовывает ложные данные, будто это аккаунт контроллера домена. ЦС им верит и выдает сертификат для аутентификации как DC через PKINIT. Дальше через этот сертификат атакующий получает Kerberos билет, вытаскивает NT хэш и через secretsdump проводит DCSync, забирая учетные данные krbtgt - это полный компромисс домена.
🏴☠️ SD-WAN платформу Arista ломают без единого пароля, а взлом одной панели дает доступ ко всей сети филиалов
CVE-2026-16812, CVSS 10.0. Причина в том, что внутренняя функциональность, изначально не предназначенная для доступа снаружи, оказалась доступна из обычного веб интерфейса VCO без какой-либо аутентификации. Взлом орчестратора дает доступ не только к самой панели, но и потенциально ко всем подключенным edge устройствам в сети клиента.
└$ Arista закрыла максимально критичную дыру в VeloCloud Orchestrator - централизованной панели управления SD-WAN, которую уже эксплуатируют в реальных атаках. CISA внесла баг в KEV-каталог и обязала федеральные агентства США закрыть его до 30 июля.
CVE-2026-16812, CVSS 10.0. Причина в том, что внутренняя функциональность, изначально не предназначенная для доступа снаружи, оказалась доступна из обычного веб интерфейса VCO без какой-либо аутентификации. Взлом орчестратора дает доступ не только к самой панели, но и потенциально ко всем подключенным edge устройствам в сети клиента.
🏴☠️ Медицинский биллинговый оператор из Джорджии слил данные 1,26 миллиона пациентов
Ответственность взяла на себя вымогательская группа PEAR, заявившая о краже 3.3 терабайта данных. Схема строится на чистой эксфильтрации данных с последующим шантажом публикацией, без парализации инфраструктуры жертвы. У пациентов украли SSN, номера страховых полисов, диагнозы и историю болезни, у самой MCBS - данные HR, платежную информацию и переписку. Данные уже полностью выложены в сеть. Затронуты минимум семь клиник партнеров MCBS.
└$ Компания MCBS, обрабатывающая биллинг и данные для клиник в Джорджии, подтвердила, что взлом сети между 22 и 26 сентября 2025 затронул больше миллиона человек.
Ответственность взяла на себя вымогательская группа PEAR, заявившая о краже 3.3 терабайта данных. Схема строится на чистой эксфильтрации данных с последующим шантажом публикацией, без парализации инфраструктуры жертвы. У пациентов украли SSN, номера страховых полисов, диагнозы и историю болезни, у самой MCBS - данные HR, платежную информацию и переписку. Данные уже полностью выложены в сеть. Затронуты минимум семь клиник партнеров MCBS.
🏴☠️ 24 тысячи серверов светят наружу пароли от материнской платы из-за бага двадцатилетней давности
OWASP - Cryptographic Failures, CVE-2013-4786. Атакующий запрашивает у BMC ответ аутентификации по UDP, а затем подбирает пароль офлайн на GPU-фермах, никак не касаясь самого сервера и не оставляя следов. У 6240 хостов вообще принимался пустой логин, у 2340 словарные пароли. Часть Supermicro серверов защищена 10-и символьным паролем прямо на наклейке корпуса под логином ADMIN. Захват BMC дает контроль над прошивкой и низкоуровневыми настройками физической машины, а в облачных GPU средах один взломанный сервер может задеть сразу нескольких арендаторов. Уже нашли взломанный HPE iLO с запиской о выкупе 0.3 BTC.
└$ Исследователи Lava нашли почти 37 тысяч серверов с открытым в интернет IPMI портом 623, из которых больше 24 тысяч отдают материал для взлома пароля от BMC.
OWASP - Cryptographic Failures, CVE-2013-4786. Атакующий запрашивает у BMC ответ аутентификации по UDP, а затем подбирает пароль офлайн на GPU-фермах, никак не касаясь самого сервера и не оставляя следов. У 6240 хостов вообще принимался пустой логин, у 2340 словарные пароли. Часть Supermicro серверов защищена 10-и символьным паролем прямо на наклейке корпуса под логином ADMIN. Захват BMC дает контроль над прошивкой и низкоуровневыми настройками физической машины, а в облачных GPU средах один взломанный сервер может задеть сразу нескольких арендаторов. Уже нашли взломанный HPE iLO с запиской о выкупе 0.3 BTC.
🏴☠️Тысячи форумов на vBulletin можно взломать одним HTTP запросом без регистрации
CWE-95, CVE-2026-61511. Причина в функции runMaths(), которая должна ограничивать пользовательский ввод только математическими выражениями перед передачей в eval(), но санитизация обходится. Атакующий без учетки шлет специально сформированный запрос на эндпоинт ajax/render/[template], например к шаблону pagenav, и его данные напрямую попадают в eval(), выполняя произвольный PHP код на сервере. Для обхода фильтра исследователь Эджидио Романо использовал технику “phpfuck”, и уже опубликовал PoC, выполняющий системные команды.
└$ Для критической дыры в популярной форумной платформе vBulletin уже опубликован рабочий эксплойт, а разработчики закрыли ее только для актуальных версий.
CWE-95, CVE-2026-61511. Причина в функции runMaths(), которая должна ограничивать пользовательский ввод только математическими выражениями перед передачей в eval(), но санитизация обходится. Атакующий без учетки шлет специально сформированный запрос на эндпоинт ajax/render/[template], например к шаблону pagenav, и его данные напрямую попадают в eval(), выполняя произвольный PHP код на сервере. Для обхода фильтра исследователь Эджидио Романо использовал технику “phpfuck”, и уже опубликовал PoC, выполняющий системные команды.