🛡 42 000 уязвимостей за год. Успеваете патчить, а не только читать про них?

В 2025 году NIST обработал почти 42 000 уязвимостей, а NVD всё равно захлебнулась в очереди. С весны 2026 года база обогащает только приоритетные CVE, остальные записи часто остаются почти пустыми: без оценки серьёзности, без нормального описания продуктов и без ссылок на исправления.

Параллельно ужесточились требования регулятора. Новая методика ФСТЭК требует закрывать критичные уязвимости за часы, максимум за сутки. Старый цикл со сканером, заявкой, согласованием и патчем до конца квартала больше не выдерживает темпа. Атакующие успевают быстрее, особенно когда рабочий эксплойт появляется через несколько дней или даже часов после публикации.

В материале разбираем, почему одного CVSS уже мало, зачем нужны EPSS и CISA KEV, как Security Vision NG VM строит живую карту инфраструктуры, ищет реальные маршруты атаки и не верит галочке в тикете. Уязвимость считается закрытой только после повторной проверки. Всё остальное для атакующего остаётся открытым окном.

🕵️‍♂️ Канада официально призналась во взломах. И это не баг, а госуслуга

Спецслужбы редко показывают, как выглядят кибероперации, проведённые с разрешения властей. Но канадский Центр безопасности коммуникаций (местное АНБ) в ежегодном отчёте раскрыл сразу несколько таких операций за прошлый год — против структур, связанных с продажей химических веществ для синтеза наркотиков, насильственным экстремизмом и вымогательским ПО.

Спецслужба выследила посредников, поставлявших химические вещества, и сорвала их канал поставок. Занялись и экстремистской группой, которая вербовала сторонников в том числе внутри Канады, — подорвали её репутацию и лишили притока новых участников. Ещё один удар пришёлся на вымогательский сервис, который атаковал медицину, транспорт и бизнес Канады: спецслужба вывела его инфраструктуру из строя и удалила часть данных с серверов преступников. Заодно накрыли ещё десяток крупных вымогательских групп и отбили фишинговую кампанию против федеральных систем.

Как именно всё это ломали и кого конкретно — не говорят: детали и техники такие ведомства светить не любят, иначе следующая атака уже не сработает.

#кибербезопасность #Канада #хакеры
@SecLabNews

Кофе, SOC и логи. Эпизод №46, прямой эфир

Через несколько минут начинаем, подключайте ваши безопасные интернет-приёмники с TLS 1.3, музыка уже играет здесь 🗣 https://itradio.su/streaming
и тут 🗣 https://stream.itradio.su

О чём:
Обсуждение лучших новостей инфобеза за неделю с 6 июля по 12 июля 2026 г.

Ведущие:
Александр Антипов,
Ева Кузнецова,
Денис Батранков,
Антон Клочков.

Специальный гость:
Шарафутдинова Дарья, независимый эксперт по информационной безопасности, автор Telegram-канала «Шарф Безопасности»

Когда: 12.07.2026 11:00 – ссылка на наш календарь

Задаём свои вопросы в чате подкаста с тегом #csl46

Поддержать проект своим трудовым рублём:
https://itradio.su/donations

@ITRadiosu #csl

🆕 Еженедельный обзор киберновостей

Интерпол за неделю задержал почти шесть тысяч человек в 97 странах, в России всерьёз обсуждают конец анонимного хостинга с паспортом через «Госуслуги», а ООН при поддержке Anthropic и Ватикана потребовала запретить полностью автономное боевое оружие. Мы — собрали самые интересные новости недели в одном месте, чтобы вы ничего не пропустили.

🌎В мире

Интерпол подвёл итоги операции «First Light 2026»: почти шесть тысяч задержанных в 97 странах и разгром глобальных сетей телефонного и онлайн-мошенничества.

С 7 июля каждый новый автомобиль в ЕС обязан следить за лицом водителя и подавать сигнал, если тот отвлёкся дольше 3,5 секунды.

ООН при поддержке Anthropic и Ватикана потребовала провести «красную линию» и запретить полностью автономное оружие, решающее вопросы жизни и смерти без человека.

Китай впервые успешно вернул многоразовую ракету March-10B с первой попытки, сделав серьёзную заявку на конкуренцию со SpaceX.

Брюссель предложил объединить законы стран ЕС, чтобы закрыть доступ к соцсетям для миллионов подростков без согласия родителей.

🇷🇺 В России

Чиновники обсуждают идею обязать покупателей серверов и VPS подтверждать личность через «Госуслуги» — по сути, конец анонимного хостинга.

Минцифры готовится стать главным регулятором искусственного интеллекта в стране, получив два десятка новых полномочий вплоть до доступа к госданным.

С сентября российские отели смогут заселять гостей через мессенджер Max — даже без паспорта на руках.

Правообладатели бьют тревогу из-за законопроекта, который может превратить Россию в бесплатную площадку для обучения нейросетей на чужом контенте.

Масштаб утечек персональных данных в России резко сократился — 114 млн скомпрометированных строк вместо прежних 200 млн.

ℹ️Новости в сфере ИБ

Positive Technologies показала, как устроен теневой рынок, где доступ в корпоративную сеть продаётся всего от $100, а ущерб компаниям исчисляется миллионами.

Выяснилось, что Anthropic тайно наблюдала за пользователями Claude Code из Китая — и теперь компании приходится объясняться за скрытый эксперимент.

Следователи из США и Испании выследили и арестовали в Паленсии человека, который годами помогал хакерам заметать следы за криптовалюту.

Исследователи Bishop Fox собрали три миллиона фавиконов в единый инструмент разведки, который по значку вкладки вычисляет роутер, сервер и даже ловушку.

Flipper Devices пересмотрела будущее Flipper Zero после волны критики: культовый гаджет переходит на модель разработки с опорой на сообщество.

🔒Статьи и аналитика

Пока защита в среднем 14 дней не замечает чужака в сети, атакующие перепродают доступ за 22 секунды — разбираем, как вычислять атаку по ранним отклонениям в трафике.

Как перестать управлять сетью «по памяти»: гайд по NIM, нулевому доверию и SSH-ключам вместо паролей для инфраструктуры, которая не рассыпается при первом сбое.

За 2025 год нашли почти 42 000 уязвимостей — на 45% больше рекорда, и старая схема «сканер — список — патч» уже не успевает за атакующими.

Одна строка pickle.loads() с недоверенными данными способна обернуться выполнением произвольного кода — разбираем самую коварную десериализацию в Python.

Делитесь в комментариях, как прошла ваша неделя и какая новость больше всего удивила.

@SecLabNews | Мы в Мах

💰 Слабоумие и Bluetooth: почему копеечные аккумуляторы стали кошмаром для таксистов

Пока Илон Маск строит беспилотное будущее, настоящий киберпанк уже наступил в Нью-Дели, причем в самой нелепой форме. Местные шутники превратили обычное приложение для диагностики аккумуляторов BAT-BMS в инструмент для дистанционной остановки чужого транспорта.

Схема предельно проста. Злоумышленник замечает электрорикшу, подключается по Bluetooth к системе управления батареей без пароля и отключает разрядную цепь. Машина мгновенно теряет тягу посреди плотного потока. Пассажиры выходят, а блогеры снимают растерянного водителя и публикуют ролик в соцсетях. Некоторые пошли дальше и начали зарабатывать на собственной диверсии. После остановки рикши мошенники предлагали «починить» аккумулятор за несколько сотен рупий, а затем просто включали батарею обратно.

Полиция уже задерживает авторов подобных роликов, а Министерство электроники Индии блокирует BAT-BMS и аналогичные приложения, включая Lossigy. Радикально решить проблему такие меры вряд ли смогут. Запрет в индийском App Store не мешает скачать программу с неофициального сайта или написать собственный скрипт. Протокол обмена данными с китайскими платами Shenzhen Grenergy Technology давно изучен и доступен разработчикам.

Причина гораздо глубже. Значительная часть индийского транспорта перешла на литиевые аккумуляторы ради экономии, но владельцы и сборщики часто выбирали самые дешевые компоненты без базовой защиты. Производители сэкономили на программном обеспечении и механизмах авторизации. Расплачиваются за такую экономию водители, которым приходится вручную толкать тяжелые электрорикши по улицам и подъемам.

#уязвимость, #транспорт, #интернетвещей @SecLabnews

📞 BitTorrent разменял четверть века — пережил суды, рейды, банкротство собственного магазина и смену владельца, а простую вещь так и не сделал: не заработал на этом всём ни цента

Четверть века назад появилась технология, из-за которой боссы киностудий по всему миру глотали успокоительное. Классические сети нулевых рушились, стоило юристам ударить по центральному серверу. Новый протокол вывернул архитектуру наизнанку. Чем больше людей качали файл, тем быстрее шла загрузка у всех остальных. Разработчик просто убрал единый каталог, превратив каждого пользователя в самостоятельный узел обмена информацией.

Правообладатели бросились давить новую сеть судебными исками, но быстро осознали всю безнадежность ситуации. Когда закрывали одного координатора, моментально рождался десяток новых площадок, а распределенные таблицы позволили компьютерам находить друг друга напрямую. Самое смешное, создатели технологии тоже сломали зубы об собственное детище. Попытка открыть легальный магазин с платными фильмами закончилась провалом, поскольку люди отказались покупать искусственно ограниченный товар при наличии идеальной бесплатной альтернативы.

Сегодня система живет собственной жизнью и спокойно переживает любые блокировки. Ежемесячная аудитория протокола насчитывает свыше пятидесяти миллионов человек, не считая пользователей независимых программ. Индустрия получила великолепную оплеуху. Если честный покупатель вынужден оплачивать пять разных подписок ради любимых сериалов, технология всегда предоставит бесплатный и надежный обходной путь.

#сети, #алгоритмы, #провал @SecLabnews

✨ Бесплатный комплаенс и харденинг с «2К» – то, что ФСТЭК прописал

🗓 16 июля, начало в 11:00 по московскому времени

За последние месяцы регулятор выпустил рекордное число рекомендаций по безопасной настройке системного и прикладного ПО. Игнорировать риски, скрытые в конфигурациях ИТ-активов, больше нельзя. Но ручной контроль – это долго, больно и чревато ошибками.
Узнайте, как управлять безопасностью конфигураций на автопилоте с бесплатной версией системы «Контроль конфигураций» («2К») от компании «ЛИНЗА»!

⚙️ На вебинаре покажем, как «2К» автоматизирует рутину

• Контроль на лету: мгновенная проверка ключевых ИТ-активов
• Соответствие ФСТЭК: аудит конфигураций по лучшим практикам регулятора
• Харденинг без забот: экспертные отчеты и автоматизация исправлений
• Ноль затрат: реальное повышение защищенности без скрытых условий

📣 Кому полезно: CISO, CIO, ИБ-специалистам и ИТ-администраторам

✨ Участие бесплатное. Необходима регистрация

🤵Миллионы роутеров и умных приборов под угрозой. В популярном загрузчике нашли ошибку тринадцатилетней давности

Исследователи Binarly опубликовали детальный разбор шести уязвимостей в загрузчике U-Boot. Проблема затрагивает базовый уровень инициализации оборудования: маршрутизаторы, IoT-устройства и серверные контроллеры BMC. Уязвимый код присутствует в кодовой базе начиная с версии 2013.07, что автоматически ставит под угрозу более 50 стабильных релизов и неизвестное количество кастомных вендорских форков.

Ключевой архитектурный просчет заключается в логике работы механизма Verified Boot. Загрузчик начинает парсинг структуры образа FIT (Flattened Image Tree) до завершения криптографической проверки цифровой подписи. Передача специально сформированного файла приводит к повреждению памяти. Это позволяет злоумышленнику выполнить произвольный код в контексте загрузчика еще до того, как система признает подпись недействительной.

Традиционные средства защиты, включая EDR-системы и антивирусы внутри ОС, не способны детектировать подобные угрозы, так как получают управление значительно позже. Персистентность таких закладок сохраняется при любых перезагрузках и переустановках операционной системы.

#безопасность, #уязвимости, #сети @SecLabNews

🔩США учат спутники выбирать цели без человека

Пентагон переводит орбитальную разведку на полную автоматику. Суть предельно ясна. Программа непрерывно сканирует поверхность планеты и самостоятельно ищет цели. Машина отслеживает перемещения техники и живой силы без перерывов на обед и моральных терзаний.

Теперь математическая модель решает кому жить. Система сравнивает кадры до и после обстрела, моментально вычисляя уцелевших. Людей убрали из контура управления. Нейросеть сама формирует списки на уничтожение и передает координаты напрямую ударным комплексам.

Коммерческая космонавтика окончательно слилась с оборонкой. Важна лишь скорость передачи приговора от камеры к ракете. Алгоритмы получают реальное право на убийство. Спрятаться от глобального надзора больше не получится.

#Нейросети #Безопасность #Оружие @SecLabnews

🎭GitHub и Apple массово сбоят в России, но общей причины пока не нашли

Утром 14 июля пользователи из десятков российских городов столкнулись с проблемами при доступе к GitHub и сервисам Apple. Detector404 зафиксировал жалобы из 33 городов. У GitHub 94% сообщений касаются недоступности сайта, у Apple пользователи жалуются на сайт, приложения и сразу несколько функций.

GitHub признал сбой только в Codespaces, при этом основной сайт, репозитории и программный интерфейс официально работают штатно. Такая версия не объясняет российские жалобы, где пользователи не могут открыть сам GitHub и отдельные репозитории.

Apple общий инцидент пока не подтверждала. Связь между проблемами двух компаний тоже не установлена. Сейчас речь идёт о масштабных региональных сбоях доступа, причины которых остаются неизвестными.

К 12:00 GitHub и сервисы Apple снова стали доступны. Роскомнадзор не ограничивает доступ к сервисам Google, GitHub и Apple, заявили в ведомстве.

#GitHub, #Apple, #Роскомнадзор @SecLabnews

🚰Один преступный VPN чуть не выключил короткие ссылки Telegram

США внесли в санкционный список 1VPNS, его администратора Дмитрия Рашевского и продавца средств маскировки вредоносных программ Евгения Силаева. По версии Минфина, сервис годами снабжал вымогателей серверами, VPN-доступом и инфраструктурой, через которую атаковали компании, банки, больницы и городские службы. Проект работал как минимум с 2014 года и обещал не хранить данные клиентов и не помогать правоохранителям.

В санкционном документе среди адресов 1VPNS указали Telegram-канал на домене t.me. Вскоре весь домен получил статус serverHold и перестал открываться. Пользователи предположили, что система проверки могла принять адрес отдельного канала за домен преступного сервиса и заблокировать короткие ссылки Telegram целиком.

Подтверждений связи между санкциями и блокировкой пока нет. Оператор доменной зоны .me публично не объяснил причину serverHold, а этот статус устанавливает реестр зоны, а не обычный регистратор. Известно лишь, что санкции США согласовали с Великобританией, а ещё в мае 2026 года европейские правоохранители отключили сайт 1VPNS и часть связанной с ним инфраструктуры.

#кибербезопасность #вымогатели #Telegram
@SecLabnews

🔑Удалил аккаунт? Государство предлагает хранить его цифровой труп ещё три года

Под видом борьбы с мошенниками Минцифры обсуждает норму, которая затронет почти каждого пользователя. Сервисы хотят обязать три года сохранять сведения о создании аккаунта, входах и удалении профиля. Даже после того, как человек нажал кнопку «Удалить навсегда».

Параллельно ведомство хочет ограничить виртуальные АТС российской инфраструктурой, запретить персональные данные в СМС и наполнить государственный «Антифрод» номерами мошенников и данными дропперов. Последние можно будет добавлять в систему, даже когда сведения получили неправомерно. Борьба с преступниками постепенно превращается в спор о том, сколько данных допустимо собирать обо всех остальных.

Минцифры уже допускает, что требование о трёхлетнем хранении истории аккаунтов вырежут из финальной версии. Видимо, даже авторы заметили, что между антифродом и цифровым архивом на каждого гражданина пролегает довольно тонкая линия.

#Минцифры, #Мошенники, #Антифрод @Seclabnews