Тисячі відкритих API-ключів Google Cloud у відкритому доступі🙄

Зазвичай ці ключі використовують, як ідентифікатори проєктів для грошових операцій, і вони можуть бути використані для доступу до захищених ендпоінтів в Gemini й відповідно до приватних даних. Одна група дослідників знайшла близько 3000 таких ключів (позначаються префіксом AIza). Інша - 35 000 , які вбудовані у 250 000 застосунків на Андроїд

Маючи такий ключ, можна отримати доступ до завантажених файлів, кешованих даних і списати з вашого рахунку плату за використання LLM

Проблема виникає, коли користувачі вмикають Gemini API в проєкті Google Cloud. Це призводить до того, що існуючі API-ключі у цьому проєкті, включаючи ті, що доступні через код JavaScript на сайті, отримують прихований доступ до ендпоінтів Gemini, без будь-якого попередження або повідомлення

Що особливо цікаво, створення нового API-ключа в Google Cloud за замовчуванням має статус «Без обмежень», тобто він застосовується до кожного увімкненого API в проєкті, включаючи Gemini

Робити тільки так і ніяк інакше😁

Крах екосистеми Step Finance

Внаслідок хакерської атаки у кінці січня 2026 року, три проєкти Solana: Step Finance, SolanaFloor та Remora Markets, офіційно оголосили про закриття. Причина - отримання доступу до гаманців Step Finance через скомпрометовані пристрої членів команди. Це призвело до втрати близько 262 000 SOL (приблизно $40 млн з урахуванням всіх активів). З них вдалось повернути близько $4,7 млн, однак спроби знайти інвесторів провалились і розробникам не вдалося стабілізувати фінансову ситуацію

Після атаки, курс токена зменшився до близько $0.00067. Для порівняння, на піку в 2021 році STEP коштував близько $10.20

Наразі проєкт фокусується на виплатах користувачам Remora Markets (не була безпосередньо зламана), активи rToken забезпечені 1:1 і будуть обміняні на USDC. Також Step Finance повідомив про підготовку програми викупу для власників токена STEP, яка буде базуватися на снепшоті до зламу. Деталі, як саме проводитиметься викуп і хто зможе до нього долучитися, наразі не оприлюднено

Власник девайса DJI  випадково отримав доступ до 10 000 інших пристроїв компанії😅

Керівник відділу штучного інтелекту компанії з управління нерухомістю для відпочинку в Іспанії, купив робот-пилосос і захотів дізнатись, чи зможе він керувати ним за допомогою гейпада PlayStation 5

Коли власник написав програму для смартфона за допомогою Claude Code (DJI має схожий мобільний застосунок для віддаленого керування пристроями), хмарні сервіси DJI дали доступ до близко 6700 різних девайсів у 24 країнах. Система також контролювала кілька тисяч портативних електростанцій, що збільшило загальну кількість доступних пристроїв до понад 10 000

З цим доступом, програміст міг дивитись через камери на пристроях, знати їх серійники та ір-адреси, рівень заряду батареї, детальні згенеровані плани приміщень й інші дані

Цю дирку вже закрили, однак є ще одна більш серйозна вразливість, але про неї знає лише  DJI

Автомобілі ніколи не були особливо захищені від атак, і от з'явилась ще одна вразливість - датчики тиску в шинах🫠

Більшість цих датчиків передають дані незашифрованим текстом, який містить унікальні ідентифікатори кожного авто.  Відносно недорогі саморобні пристрої ціною $100, можуть відстежувати сигнали системи моніторингу тиску в шинах (Tire Pressure Monitoring System, TPMS), щоб стежити за водіями протягом тривалого часу

Відстань роботи саморобного пристрою складає понад 50 метрів, і його можна зібрати за допомогою готових антен та компонентів Raspberry Pi, розмістити уздовж доріг і збирати сигнали від проїжджаючих машин

Можливостей для застосування дуже багато: наприклад вимірювати завантаженість авто людьми чи вантажем, завдяки значенням тиску в шинах; або ж обманути ECU (electronic control unit), що стався прокол шин, і це призведе до зупинки у дуже потрібному місці

APT28 (росіяньці) запустили проти України нову кампанію з новими шкідниками🤬

Атака починається з листа на пошту, надісланого з ukr[.]net, всередині посилання на ZIP-архів. Після переходу йде 2 перенаправлення: спочатку на сайт з надзвичайно маленьким зображенням, яке сповіщає про перехід жертви за посиланням; після чого завантажується архів

ZIP всередині містить НТА-файл з текстом українською, де йдеться про підтвердження отримання урядового звернення щодо перетину українського кордону. Паралельно з цим запускається лоадер під назвою BadPaw (написаний на .NET), який потім встановлює зв'язок з віддаленим сервером для завантаження та розгортання бекдору MeowMeow

Однак, вірус починає працювати тільки після теста на пісочницю (звернення до KLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\InstallDate) - перевірка чи "вік" системи менше 10 днів, а також перевірка чи не запущені Wireshark, Procmon, Ollydbg і Fiddler. Після із ZIP-архіва витягується 2 файли: Visual Basic Script (VBScript) і PNG-зображення (вони зберігаються під різними іменами). Також створюється заплановане завдання для виконання VBScript, щоб забезпечити стійкість у зараженій системі

Cisco знайшли у себе 50 вразливостей, 2 з них мають рейтинг 10 CVSS

Вразливості знайшли в:
- Adaptive Security Appliance (ASA) — класичний брандмауер із відстеженням стану;
- Secure FTD (Firewall Threat Defense) — брандмауер, що поєднує ASA з іншими, більш просунутими функціями;
- Secure Firewall Management Center (FMC) — централізована система управління брандмауером та продуктами захисту від загроз брандмауера;

Зрозуміло, що всі вони вже виправлені, а їх кількість не має надто сильно дивувати — Cisco раз на пів року виявляє цілу купу нових дирок у цих трьох програмах, та і лише деякі з них реально важливі, а ще всі вони стосуються FMC:
- CVE-2026-20079 і CVE-2026-20131 отримали найвищий можливий бал серйозності 10 з 10 за шкалою CVSS;
- CVE-2026-20079 спричинена системним процесом, створеним під час завантаження. За допомогою спеціально підібраних HTTP-запитів, можна обійти аутентифікацію, виконати скрипти та команди, які надають їм root-доступ до базової операційної системи FMC;
- CVE-2026-20131 має проблему незахищеної десеріалізації. Якщо надіслати спеціально створений серіалізований Java-об'єкт до веб-інтерфейсу управління FMC, він може віддалено виконати довільний код і потенційно підвищити свої привілеї до рівня root.

Pro tip: так краще не робити😁😅