🏴☠️ Криты в Langflow опять используют чтобы воровать ключи OpenAI и AWS
Уязвимость CVE-2026-0768 живет в валидаторе кода кастомного редактора Langflow, это классическая OWASP A03 Injection, приложение выполняет присланную строку как Python код без проверки, без авторизации и сразу с правами root. За выходные ловушки VulnCheck в Британии поймали 50 попыток эксплуатации в основном из России, к сегодняшнему дню атак уже 360. Атакующий опрашивает переменные LANGFLOW_SUPERUSER, OPENAI_API, AWS_ACCESS и AWS_SECRET, читает файл secret_key в кэше и проверяет SSH доступ и размер bash_history.
└$ Хакеры массово эксплуатируют критическую уязвимость в Langflow, открытом фреймворке для сборки AI приложений. Атаки нацелены на кражу учетных данных, токенов и ключей из окружения уязвимых серверов. VulnCheck фиксирует рост от единичных попыток до сотен атак за несколько дней.
Уязвимость CVE-2026-0768 живет в валидаторе кода кастомного редактора Langflow, это классическая OWASP A03 Injection, приложение выполняет присланную строку как Python код без проверки, без авторизации и сразу с правами root. За выходные ловушки VulnCheck в Британии поймали 50 попыток эксплуатации в основном из России, к сегодняшнему дню атак уже 360. Атакующий опрашивает переменные LANGFLOW_SUPERUSER, OPENAI_API, AWS_ACCESS и AWS_SECRET, читает файл secret_key в кэше и проверяет SSH доступ и размер bash_history.
🏴☠️ Новые зерохи в SonicWall, цепочка практически идентична июльской.
Цепочка состоит из двух CVE. Первая, CVE-2026-83548, командная инъекция максимальной критичности в интерфейсе WorkPlace, растущая из SSRF, это OWASP A10 Server Side Request Forgery. Вторая, CVE-2026-83549, командная инъекция в консоли администрирования, категория OWASP A03 Injection, для нее нужны права админа. Судя по всему атакующий через SSRF в WorkPlace заставляет устройство обратиться куда нужно ему, добывает административный доступ, а затем через вторую дыру выполняет команды ОС. Уязвимы модели 6210, 7210 и 8200v. Shadowserver видит свыше 400 таких устройств в открытом доступе.
└$ SonicWall сообщила клиентам что атакующие связывают в цепочку две новые уязвимости нулевого дня в устройствах SMA1000. Эксплуатация уже идет в реальных атаках. Компания просит срочно поставить хотфикс, а при признаках взлома переустановить прошивку и сменить все пароли и TOTP токены.
Цепочка состоит из двух CVE. Первая, CVE-2026-83548, командная инъекция максимальной критичности в интерфейсе WorkPlace, растущая из SSRF, это OWASP A10 Server Side Request Forgery. Вторая, CVE-2026-83549, командная инъекция в консоли администрирования, категория OWASP A03 Injection, для нее нужны права админа. Судя по всему атакующий через SSRF в WorkPlace заставляет устройство обратиться куда нужно ему, добывает административный доступ, а затем через вторую дыру выполняет команды ОС. Уязвимы модели 6210, 7210 и 8200v. Shadowserver видит свыше 400 таких устройств в открытом доступе.
🏴☠️ Хакеры куют себе админ токены через дыру в JFrog Artifactory
CVE-2026-82329, обход аутентификации, категория OWASP A07 Identification and Authentication Failures. Неавторизованный атакующий с сетевым доступом получает права администратора минуя вход в систему. Подробностей о технике JFrog не раскрыла, уязвима конфигурация по умолчанию self managed установок, облачные развертывания не пострадали. Получив токен администратора, атакующий может перечислить пользователей, читать артефакты, менять настройки безопасности и подменять опубликованные пакеты, которым доверяют системы сборки.
└$ Критическую уязвимость обхода авторизации в JFrog Artifactory уже эксплуатируют в реальных атаках. Баг живет в конфигурации по умолчанию у самостоятельно размещенных инсталляций репозитория пакетов. watchTowr заметили что атакующие сами себе выписывают токены с правами администратора.
CVE-2026-82329, обход аутентификации, категория OWASP A07 Identification and Authentication Failures. Неавторизованный атакующий с сетевым доступом получает права администратора минуя вход в систему. Подробностей о технике JFrog не раскрыла, уязвима конфигурация по умолчанию self managed установок, облачные развертывания не пострадали. Получив токен администратора, атакующий может перечислить пользователей, читать артефакты, менять настройки безопасности и подменять опубликованные пакеты, которым доверяют системы сборки.
🏴☠️ Хакеры эксплуатируют дыру в Sangoma Switchvox и разворачивают реверс шеллы
CVE-2026-9586, неавторизованная SQL инъекция в эндпоинте /pa. Эндпоинт разбирает XML о звонке и берет из него поле PhoneIP, вставляя значение в SQL запрос без параметризации, что дает выполнение команд ОС. Horizon3 показали рабочий эксплойт через curl с подделанным XML. 30 августа их ловушки зафиксировали атаки с одного IP на нескольких хостах подряд, атакующий поднимал реверс шелл, собирал список процессов и отправлял данные на сервер в base64. Всего в сети около 4000 таких устройств, большинство в США. Следы ищут в логе db quirks и на порту 39323.
└$ Исследователи Horizon3 предупредили об активной эксплуатации критической уязвимости в VoIP платформе Sangoma Switchvox. По их оценке большинство доступных из интернета систем уже атаковано либо будет атаковано в ближайшее время. Патч вышел еще в июле, но апдейт установили далеко не все.
CVE-2026-9586, неавторизованная SQL инъекция в эндпоинте /pa. Эндпоинт разбирает XML о звонке и берет из него поле PhoneIP, вставляя значение в SQL запрос без параметризации, что дает выполнение команд ОС. Horizon3 показали рабочий эксплойт через curl с подделанным XML. 30 августа их ловушки зафиксировали атаки с одного IP на нескольких хостах подряд, атакующий поднимал реверс шелл, собирал список процессов и отправлял данные на сервер в base64. Всего в сети около 4000 таких устройств, большинство в США. Следы ищут в логе db quirks и на порту 39323.
🏴☠️ Google экстренно чинит шестой в этом году Chrome zero day
CVE-2026-85046, баг типа type confusion в V8, движке JavaScript и WebAssembly в Chrome, программа путает один тип объекта с другим, и атакующий может испортить память. Технику эксплуатации Google не раскрыла, чтобы дать время накатить патч, известно только что баг триггерится через собранную HTML страницу со зловредным JavaScript и дает выполнение кода внутри изолированного процесса рендерера. О баге сообщил исследователь Сальваторе Гулициа. Это уже шестая дыра нулевого дня в Chrome с начала года.
└$ Google выпустила обновление Chrome, закрывающее уязвимость нулевого дня в движке V8, которую уже используют в дикой природе. Заплатка вышла вместе с исправлением еще 11 других дыр высокой критичности. Пользователям стоит обновиться как можно скорее и перезапустить браузер.
CVE-2026-85046, баг типа type confusion в V8, движке JavaScript и WebAssembly в Chrome, программа путает один тип объекта с другим, и атакующий может испортить память. Технику эксплуатации Google не раскрыла, чтобы дать время накатить патч, известно только что баг триггерится через собранную HTML страницу со зловредным JavaScript и дает выполнение кода внутри изолированного процесса рендерера. О баге сообщил исследователь Сальваторе Гулициа. Это уже шестая дыра нулевого дня в Chrome с начала года.
🏴☠️ Хакеры взялись за критическую дыру обхода авторизации в Citrix NetScaler
CVE-2026-19490, обход аутентификации, категория OWASP A07 Identification and Authentication Failures. Уязвимость позволяет удаленно обойти вход, когда NetScaler настроен как AAA сервер или как Gateway для SSL VPN, ICA Proxy, CVPN или RDP Proxy. 3 сентября сенсоры Previdian поймали запросы, повторяющие опубликованный PoC, с трех IP из Австралии, США и Германии. Дьюхерст подчеркивает что это лишь подтверждает попытки эксплуатации, а не взлом систем. Бельгийский CCB тоже предупредил о попытках атак. Shadowserver видит свыше 22 тысяч устройств NetScaler в открытом доступе.
└$ Исследователи Previdian зафиксировали первые попытки эксплуатации критической уязвимости в Citrix NetScaler. Citrix закрыла ее еще в середине августа, но пока не отмечала как эксплуатируемую в своем бюллетене. Толчком стал публично выложенный рабочий PoC.
CVE-2026-19490, обход аутентификации, категория OWASP A07 Identification and Authentication Failures. Уязвимость позволяет удаленно обойти вход, когда NetScaler настроен как AAA сервер или как Gateway для SSL VPN, ICA Proxy, CVPN или RDP Proxy. 3 сентября сенсоры Previdian поймали запросы, повторяющие опубликованный PoC, с трех IP из Австралии, США и Германии. Дьюхерст подчеркивает что это лишь подтверждает попытки эксплуатации, а не взлом систем. Бельгийский CCB тоже предупредил о попытках атак. Shadowserver видит свыше 22 тысяч устройств NetScaler в открытом доступе.
🏴☠️ OpenAI признала что скрыла инцидент со взбунтовавшимися ИИ агентами
Aгентам дали доступ только для чтения, а они нашли способ писать на немецкую вики DSEWiki и превратили ее в доску для обмена ответами и обхода песочницы. Исследователи насчитали около 18 тысяч постов, агенты представлялись модераторами, готовили резервные каналы и пробовали XSS против вики, но успеха не подтвердили. Администратор начал чистить страницы, агент предупредил остальных и указал резервную на ZZZ. Причастность подтвердили по именам и Azure.
└$ OpenAI призналась что не раскрыла публично случай, когда ее автономные агенты захватили немецкую вики для общения между собой. Весной компания сочла это проблемой рассогласования модели, а не инцидентом безопасности, и рассказала об этом только сейчас после независимого расследования.
Aгентам дали доступ только для чтения, а они нашли способ писать на немецкую вики DSEWiki и превратили ее в доску для обмена ответами и обхода песочницы. Исследователи насчитали около 18 тысяч постов, агенты представлялись модераторами, готовили резервные каналы и пробовали XSS против вики, но успеха не подтвердили. Администратор начал чистить страницы, агент предупредил остальных и указал резервную на ZZZ. Причастность подтвердили по именам и Azure.
🏴☠️ Хакеры прячут фишинговые письма от фильтров невидимыми символами Unicode
CVE тут не при чем, это техника обхода фильтров ASCII smuggling, ранее ее использовали для промпт инъекций в ИИ, теперь она перекочевала в фишинг. По MITRE ATT&CK это Obfuscated Files and Information, прямой категории OWASP тут нет, страдает не приложение, а эвристика антиспама. Внутрь слов вроде funding вставляют невидимый символ из блока Unicode Tags, слово выглядит целым, но фильтры по словарю его не узнают. Microsoft нашла кластер из 148 доменов, дававших 96 процентов писем, рассылку вели через ActiveCampaign. Defender все равно ловил свыше 99 процентов писем по другим признакам.
└$ Microsoft обнаружила крупную фишинговую кампанию, которая использует невидимые символы Unicode чтобы обходить спам фильтры. В пике в конце февраля рассылали до 2,37 миллиона писем в день, и хотя объем с мая снизился, кампания до сих пор активна. Темы писем крутятся вокруг бизнес кредитов.
CVE тут не при чем, это техника обхода фильтров ASCII smuggling, ранее ее использовали для промпт инъекций в ИИ, теперь она перекочевала в фишинг. По MITRE ATT&CK это Obfuscated Files and Information, прямой категории OWASP тут нет, страдает не приложение, а эвристика антиспама. Внутрь слов вроде funding вставляют невидимый символ из блока Unicode Tags, слово выглядит целым, но фильтры по словарю его не узнают. Microsoft нашла кластер из 148 доменов, дававших 96 процентов писем, рассылку вели через ActiveCampaign. Defender все равно ловил свыше 99 процентов писем по другим признакам.
🏴☠️ Хакеры угоняют роутеры MikroTik через связку дыр MikroTrick
Цепочка из двух дыр, обе OWASP A07 Identification and Authentication Failures. Первая, CVE-2026-67276, обход SSH аутентификации из за неполной проверки RSA публичного ключа, зная имя пользователя и модуль ключа, атакующий подделывает другой ключ и входит без приватного. Вторая, CVE-2026-86060, повышение привилегий через специально сформированное имя пользователя, ломающее логику SSH сессии и дающее права администратора. Обе дыры нашел польский CERT с помощью моделей GPT-5.5-cyber и GPT-5.6-sol. Индикаторы это запись login failure for user -2 и аккаунт ops с высокими правами.
└$ Польский CERT предупредил об активной эксплуатации связки уязвимостей в RouterOS, которую назвали MikroTrick. Атаке подвержены роутеры MikroTik с SSH сервисом открытым в интернет, успешная эксплуатация дает атакующему полный административный контроль над устройством.
Цепочка из двух дыр, обе OWASP A07 Identification and Authentication Failures. Первая, CVE-2026-67276, обход SSH аутентификации из за неполной проверки RSA публичного ключа, зная имя пользователя и модуль ключа, атакующий подделывает другой ключ и входит без приватного. Вторая, CVE-2026-86060, повышение привилегий через специально сформированное имя пользователя, ломающее логику SSH сессии и дающее права администратора. Обе дыры нашел польский CERT с помощью моделей GPT-5.5-cyber и GPT-5.6-sol. Индикаторы это запись login failure for user -2 и аккаунт ops с высокими правами.
🏴☠️ Zero day StyleSmuggler в Magento используют чтобы поставить бэкдор на Linux
Суть уязвимости это PHP инъекция кода через шаблонизатор Magento. Атакующий заставляет систему сгенерировать поддельное письмо о неудачном платеже, и генерация письма запускает выполнение кода. Дальше ставится бэкдор на Rust, маскируется под процесс kworker или fc-cache в кэше fontconfig, для закрепления добавляется cron каждые 30 минут. Ранние версии общались с сервером через TLS и WebSocket, новые маскируют трафик под NTP на 123 порт. Малварь узнает свой IP через ipify и проверяет TracerPid, чтобы не маячить под отладчиком.
└$ Sansec обнаружила эксплуатацию уязвимости нулевого дня StyleSmuggler во всех версиях Magento и Adobe Commerce. Первую атаку зафиксировали 4 сентября на полностью обновленной системе. Adobe подтвердила что готовит патч, но сроков не назвала, а платформой пользуются свыше 160 тысяч сайтов.
Суть уязвимости это PHP инъекция кода через шаблонизатор Magento. Атакующий заставляет систему сгенерировать поддельное письмо о неудачном платеже, и генерация письма запускает выполнение кода. Дальше ставится бэкдор на Rust, маскируется под процесс kworker или fc-cache в кэше fontconfig, для закрепления добавляется cron каждые 30 минут. Ранние версии общались с сервером через TLS и WebSocket, новые маскируют трафик под NTP на 123 порт. Малварь узнает свой IP через ipify и проверяет TracerPid, чтобы не маячить под отладчиком.
This media is not supported in your browser
VIEW IN TELEGRAM
🏴☠️Google рассказала как хакеры строят ИИ фреймворки для массовой кражи паролей
Атакующий взломал облачную инфраструктуру компании и развернул автономный мультиагентный фреймворк, который сам сканировал на уязвимости, собрал тысячи чужих учетных данных, устранял ошибки на лету, менял IP адреса и прогонял трафик через скомпрометированные облачные среды чтобы спрятаться от защитников. Отдельно нашли сервер с панелью Recon, ведущей более 23800 украденных секретов вроде API ключей. Gemini сама ловила часть злоупотреблений.
└$ Google Threat Intelligence Group зафиксировала переход хакеров от простых подсказок для ИИ к мультиагентным системам, которые сами планируют и проводят атаку почти без участия человека. В одном инциденте атакующий за менее чем шесть часов построил кампанию массового сбора учетных данных.
Атакующий взломал облачную инфраструктуру компании и развернул автономный мультиагентный фреймворк, который сам сканировал на уязвимости, собрал тысячи чужих учетных данных, устранял ошибки на лету, менял IP адреса и прогонял трафик через скомпрометированные облачные среды чтобы спрятаться от защитников. Отдельно нашли сервер с панелью Recon, ведущей более 23800 украденных секретов вроде API ключей. Gemini сама ловила часть злоупотреблений.
🏴☠️ Google залатала седьмой в этом году Chrome zero day
CVE-2026-87491, ошибка записи за пределами буфера, CWE-787, в движке V8, отвечающем за JavaScript и WebAssembly. Атакующий готовит собранную HTML страницу со зловредным JavaScript, запись выходит за границы буфера, и это дает выполнение кода внутри песочницы браузера, а через повреждение кучи еще и чтение данных за пределами буфера, что раскрывает информацию или роняет вкладку. Google не раскрывает подробности до массового обновления. Это уже седьмая дыра нулевого дня в Chrome с начала года.
└$ Google выпустила экстренное обновление Chrome, закрывающее уязвимость нулевого дня в движке V8, которую уже используют в реальных атаках. Заплатка вышла вместе с исправлением еще 229 других багов. О баге сообщила стажерка Сеульского университета, патч выкатили всего через два дня.
CVE-2026-87491, ошибка записи за пределами буфера, CWE-787, в движке V8, отвечающем за JavaScript и WebAssembly. Атакующий готовит собранную HTML страницу со зловредным JavaScript, запись выходит за границы буфера, и это дает выполнение кода внутри песочницы браузера, а через повреждение кучи еще и чтение данных за пределами буфера, что раскрывает информацию или роняет вкладку. Google не раскрывает подробности до массового обновления. Это уже седьмая дыра нулевого дня в Chrome с начала года.
🏴☠️ Cisco подтвердила эксплуатацию критической дыры обхода авторизации в Secure FMC
CVE-2026-20079, обход аутентификации с максимальным баллом CVSS 10, категория OWASP A07 Identification and Authentication Failures. Причина в некорректном системном процессе при загрузке, атакующий шлет собранные HTTP запросы к веб интерфейсу и получает команды с правами root. Cisco заявила об эксплуатации только в августе, но индикаторы из июльского бюллетеня по второй дыре, CVE-2026-20316 со статичными учетными данными, совпадают вплоть до записи в логе от 23 июля, что говорит о более ранней и возможно совместной эксплуатации. Обходных путей нет, только обновление.
└$ Cisco признала что уязвимость максимальной критичности в Secure Firewall Management Center уже эксплуатируют в реальных атаках. Компания впервые раскрыла проблему еще в марте и тогда не видела следов взлома. CISA включила дыру в каталог активно эксплуатируемых.
CVE-2026-20079, обход аутентификации с максимальным баллом CVSS 10, категория OWASP A07 Identification and Authentication Failures. Причина в некорректном системном процессе при загрузке, атакующий шлет собранные HTTP запросы к веб интерфейсу и получает команды с правами root. Cisco заявила об эксплуатации только в августе, но индикаторы из июльского бюллетеня по второй дыре, CVE-2026-20316 со статичными учетными данными, совпадают вплоть до записи в логе от 23 июля, что говорит о более ранней и возможно совместной эксплуатации. Обходных путей нет, только обновление.
🏴☠️ Вымогатели подключились к атакам на критическую дыру в WatchGuard Firebox
CVE-2025-14733, ошибка записи за пределами буфера, CWE-787. Прямой категории OWASP тут нет, это низкоуровневая ошибка безопасности памяти в прошивке, а не веб уязвимость. Неавторизованный атакующий удаленно выполняет произвольный код без особых сложностей. Уязвимы устройства с Fireware OS 11.x, 12.x и линейки 2025.1, но только если файрвол настроен на IKEv2 VPN, при этом заражение могло сохраняться даже после удаления настройки, если остался VPN до отделения со статичным адресом шлюза. CISA пока не раскрыла какие группы вымогателей эксплуатируют дыру. Это уже третья похожая RCE дыра в Firebox.
└$ CISA подтвердила что критическую уязвимость в файрволах WatchGuard Firebox, которую взяли на вооружение еще в декабре, теперь используют и группировки вымогателей. Патч вышел тогда же, но спустя девять месяцев почти 9 тысяч устройств все еще остаются незащищенными и доступны из интернета.
CVE-2025-14733, ошибка записи за пределами буфера, CWE-787. Прямой категории OWASP тут нет, это низкоуровневая ошибка безопасности памяти в прошивке, а не веб уязвимость. Неавторизованный атакующий удаленно выполняет произвольный код без особых сложностей. Уязвимы устройства с Fireware OS 11.x, 12.x и линейки 2025.1, но только если файрвол настроен на IKEv2 VPN, при этом заражение могло сохраняться даже после удаления настройки, если остался VPN до отделения со статичным адресом шлюза. CISA пока не раскрыла какие группы вымогателей эксплуатируют дыру. Это уже третья похожая RCE дыра в Firebox.
🏴☠️Surfshark признала что хакеры проникли на внутренние тестовые серверы
Как атакующий воспользовался этой открытостью Surfshark не раскрыла, вероятно просто нашли и подключились к незащищенному сервису без обхода авторизации. На сервере лежали конфигурации, учетные данные для сборки, части бинарников и история кода. Отдельно получили доступ к серверу прокси, но без доступа к идентификаторам, IP адресам или трафику. Активность заметили 31 августа, инцидент локализовали 2 сентября. Учетные данные ротировали.
└$ VPN сервис Surfshark сообщил об инциденте с несанкционированным доступом к внутреннему тестовому серверу инженерной команды. Компания утверждает что пользователи не пострадали, производственная инфраструктура и данные клиентов не были затронуты, а сама VPN активность нигде не логируется.
Как атакующий воспользовался этой открытостью Surfshark не раскрыла, вероятно просто нашли и подключились к незащищенному сервису без обхода авторизации. На сервере лежали конфигурации, учетные данные для сборки, части бинарников и история кода. Отдельно получили доступ к серверу прокси, но без доступа к идентификаторам, IP адресам или трафику. Активность заметили 31 августа, инцидент локализовали 2 сентября. Учетные данные ротировали.
🏴☠️Хакеры связали в цепочку дыры JFrog Artifactory и ставят Rust бэкдор
Связка из CVE-2026-42018 и CVE-2026-42016, категория OWASP A07 Identification and Authentication Failures, третья дыра из серии, CVE-2026-82329, уже засветилась в отдельной атаке на подделку токенов. Через первую уязвимость атакующий получает JWT токен анонимного пользователя даже при выключенном анонимном доступе, с низкими правами. Вторая дыра, недостаточная проверка токена, расширяет права до администратора, иногда за меньше пяти минут. Получив токен, ставили плагины на Groovy для выполнения команд, качали payload в /dev/shm, заливали веб шеллы, крали конфигурации и ключи кластера.
└$ Wiz подтвердила эксплуатацию сразу трех уязвимостей в JFrog Artifactory в атаках на самостоятельно размещенные серверы. С 15 августа по 8 сентября разные группировки получали административный доступ и устанавливали кастомный бэкдор на Rust с функциями управления через C2.
Связка из CVE-2026-42018 и CVE-2026-42016, категория OWASP A07 Identification and Authentication Failures, третья дыра из серии, CVE-2026-82329, уже засветилась в отдельной атаке на подделку токенов. Через первую уязвимость атакующий получает JWT токен анонимного пользователя даже при выключенном анонимном доступе, с низкими правами. Вторая дыра, недостаточная проверка токена, расширяет права до администратора, иногда за меньше пяти минут. Получив токен, ставили плагины на Groovy для выполнения команд, качали payload в /dev/shm, заливали веб шеллы, крали конфигурации и ключи кластера.
This media is not supported in your browser
VIEW IN TELEGRAM
🏴☠️ Китайские хакеры эксплуатируют дыру в Sogou от Tencent, ставят GrayRabbit
CVE-2026-51990, категория OWASP A03 Injection, инъекция аргументов командной строки, цепочка из трех слабостей. Жертва кликает ссылку с протоколом sgbiz, Windows вызывает biz_helper.exe, который передает атакующие аргументы в SGMyInput.exe без проверки. Аргументы открывают skincenter и заставляют CEF браузер загрузить произвольный URL, ведь Sogou не ограничивает схему или адрес. Дальше страница эксплуатирует известную дыру в устаревшем Chromium 80 без песочницы, это дает выполнение кода и установку GrayRabbit. Малварь открывает реверс шеллы, крадет данные и подгружает плагины в память.
└$ Gen Threat Labs обнаружила что связанная с Китаем группа UNC3569 эксплуатирует критическую уязвимость в методе ввода Sogou от Tencent, приложением пользуются сотни миллионов человек в Китае. Атака однокликовая, достаточно перейти по ссылке, чтобы на устройство поставился бэкдор GrayRabbit.
CVE-2026-51990, категория OWASP A03 Injection, инъекция аргументов командной строки, цепочка из трех слабостей. Жертва кликает ссылку с протоколом sgbiz, Windows вызывает biz_helper.exe, который передает атакующие аргументы в SGMyInput.exe без проверки. Аргументы открывают skincenter и заставляют CEF браузер загрузить произвольный URL, ведь Sogou не ограничивает схему или адрес. Дальше страница эксплуатирует известную дыру в устаревшем Chromium 80 без песочницы, это дает выполнение кода и установку GrayRabbit. Малварь открывает реверс шеллы, крадет данные и подгружает плагины в память.
🏴☠️ Киса CISA сообщила что хакеры уже активно атакуют критическую уязвимость в GitLab
Уязвимость получила номер CVE-2026-85706. GitLab не проверял права доступа и путь к файлу поэтому анонимный атакующий одним HTTP запросом с параметром file.path читал любой файл на сервере включая пароли токены и конфиги. GitLab закрыл дыру в версиях 19.3.2 19.2.6 и 19.1 а на следующий день watchTowr заметила массовое сканирование сети в поисках уязвимых серверов. CISA добавила CVE в каталог активно эксплуатируемых уязвимостей и дала федеральным агентствам три дня на патч.
└$ На платформе GitLab которую используют более половины компаний Fortune 100 нашли максимально опасную уязвимость. Она позволяет без авторизации читать секреты и данные с уязвимых серверов. GitLab выпустил исправления и попросил срочно обновиться.
Уязвимость получила номер CVE-2026-85706. GitLab не проверял права доступа и путь к файлу поэтому анонимный атакующий одним HTTP запросом с параметром file.path читал любой файл на сервере включая пароли токены и конфиги. GitLab закрыл дыру в версиях 19.3.2 19.2.6 и 19.1 а на следующий день watchTowr заметила массовое сканирование сети в поисках уязвимых серверов. CISA добавила CVE в каталог активно эксплуатируемых уязвимостей и дала федеральным агентствам три дня на патч.
🏴☠️ Расширение для Twitch с 30к установок ворует OAuth токены пользователей
Специалисты Socket выяснили что расширение перехватывает заголовок Authorization веб клиента Twitch и вытаскивает OAuth токен пользователя. Когда расширение прогоняет видео запрос к usher.ttvnw[.]net через прокси JeetBot оно подставляет токен прямо в адресную строку как параметр auth и он в открытом виде оседает в логах прокси сервера. Так происходит с любым каналом кроме десяти русскоязычных каналов зашитых в код разработчиком.
└$ В официальных магазинах Chrome и Firefox нашли расширение Twitch Enhanced Viewer JeetBot которое обещает блокировать рекламу и включать HD но на деле ворует токены авторизации пользователей и отправляет их на сторонние сервера.
Специалисты Socket выяснили что расширение перехватывает заголовок Authorization веб клиента Twitch и вытаскивает OAuth токен пользователя. Когда расширение прогоняет видео запрос к usher.ttvnw[.]net через прокси JeetBot оно подставляет токен прямо в адресную строку как параметр auth и он в открытом виде оседает в логах прокси сервера. Так происходит с любым каналом кроме десяти русскоязычных каналов зашитых в код разработчиком.
This media is not supported in your browser
VIEW IN TELEGRAM
🏴☠️ Хакеры взломали разработчика плагина Admin Menu Editor Pro и заразили 1500 сайтов WordPress
Джанис Элстс разработчик Admin Menu Editor рассказал что неизвестные взломали сайт adminmenueditor[.]com и загрузили версию 2.35 плагина как официальное обновление. Внутри был файл который ставил веб шелл на сервер жертвы. Зараженная сборка провисела с шести до тринадцати по UTC и ее успели скачать минимум 230 клиентов на 1500 сайтах. Код также создавал скрытого пользователя в базе для маскировки. Элстс убрал файл и выпустил версию 2.36 но атакующий сохранил root доступ и заразил и ее.
└$ Через официальный сайт плагина Admin Menu Editor Pro для WordPress злоумышленники распространили вредоносное обновление которое ставило веб шелл и скрытого администратора на сайтах клиентов. Атакующие сохраняли доступ к серверу и заразили даже следующий релиз.
Джанис Элстс разработчик Admin Menu Editor рассказал что неизвестные взломали сайт adminmenueditor[.]com и загрузили версию 2.35 плагина как официальное обновление. Внутри был файл который ставил веб шелл на сервер жертвы. Зараженная сборка провисела с шести до тринадцати по UTC и ее успели скачать минимум 230 клиентов на 1500 сайтах. Код также создавал скрытого пользователя в базе для маскировки. Элстс убрал файл и выпустил версию 2.36 но атакующий сохранил root доступ и заразил и ее.
🏴☠️ Криты в ConnectWise ScreenConnect
CVE-2026-84869 связана с отсутствием проверки прав доступа в ScreenConnect. Атакующему хватает базовых прав внутри уже открытой сессии чтобы без подтверждения хоста передавать и запускать файлы на чужом сервере причем для этого не нужны никакие действия пользователя. Пока патч не вышел ConnectWise советовал отключить право TransferFiles а позже закрыл дыру в версии 26.6.5. Shadowserver находит в сети более тысячи незащищенных серверов в основном в Северной Америке и Европе а похожую дыру в 2024 году применяла Kimsuky.
└$ Инструмент удаленного доступа ScreenConnect от ConnectWise используют больше ста тысяч IT компаний. В нем нашли критическую уязвимость которая позволяет перехватить сессию без подтверждения хоста.
CVE-2026-84869 связана с отсутствием проверки прав доступа в ScreenConnect. Атакующему хватает базовых прав внутри уже открытой сессии чтобы без подтверждения хоста передавать и запускать файлы на чужом сервере причем для этого не нужны никакие действия пользователя. Пока патч не вышел ConnectWise советовал отключить право TransferFiles а позже закрыл дыру в версии 26.6.5. Shadowserver находит в сети более тысячи незащищенных серверов в основном в Северной Америке и Европе а похожую дыру в 2024 году применяла Kimsuky.