Одиннадцать друзей (нет) Tailscale:

Исследователи Cyberdione Labs во время аудита Tailscale 1.104.2 и сервера headscale v0.29.5 нашли одиннадцать дыр, собранных под общим именем Tailworm.

Главная проблема заключается в SSH-сервере Tailscale. При пробросе Unix-сокетов (ssh -R и -L) проверки путей и файловые операции выполняются с правами...

https://bugtraq.ru/rsn/archive/2026/10/16.html

Компрометация eMudhra вынудила Microsoft экстренно изменить доверие к сертификатам Windows:

Microsoft выпустила внеплановые обновления Windows, связанные с компрометацией ключей удостоверяющего центра eMudhra. Ранее выяснилось, что восемь закрытых ключей промежуточных сертификатов были настолько слабыми, что их можно было восстановить перебором всего 256 возможных значений. Все восемь ключей...

https://bugtraq.ru/rsn/archive/2026/10/17.html

Японский хостинг попросил клиентов выдернуть шнуры из розеток после взлома:

GMO Internet, один из крупнейших регистраторов доменов в Японии, попросил пользователей своего сервиса Onamae Desktop Cloud сделать резервные копии, отключиться от сети и выключить компьютеры. Срок был назначен до полудня 27 октября. Причиной стало обещание злоумышленников, взломавших инфраструктуру...

https://bugtraq.ru/rsn/archive/2026/10/18.html

Критическая уязвимость UEFI позволяет выполнить код до запуска операционной системы:

В кодовой базе TianoCore EDK II, используемой при создании прошивок UEFI (этот код используют или адаптируют крупные производители серверных и компьютерных прошивок, включая AMI, Insyde и Phoenix), обнаружили критическую уязвимость CVE-2026-97631 с оценкой 9,5 из 10. Ошибка находится в компоненте сетевой...

https://bugtraq.ru/rsn/archive/2026/10/19.html

Хакеры начали эксплуатировать критическую уязвимость Brotli:

Уязвимость CVE-2026-111497, известная как Node2Shell, Broccoli2Shell и HTTP2Shell, официально попала в каталог активно эксплуатируемых уязвимостей CISA. Проблема находится в декодере Brotli, который распаковывает сжатые данные. Специально сформированный поток может вызвать повреждение памяти, утечку...

https://bugtraq.ru/rsn/archive/2026/10/20.html

Binance связала кражу $6.3 млрд с взломанным ноутбуком DevOps-инженера:

Крупнейшая криптобиржа мира признала: хищение примерно $6.3 млрд в цифровых активах началось с ноутбука её DevOps-инженера. Через скомпрометированное устройство злоумышленники добрались до сервисного контейнера и оттуда отправили несанкционированные транзакции на вывод средств. Утечки приватного ключа...

https://bugtraq.ru/rsn/archive/2026/10/21.html

Уязвимости обнаружены в пяти популярных ИИ-инструментах для разработки:

Исследователи Forever Security описали серию уязвимостей в пяти инструментах для разработки с ИИ: Cursor, GitHub Copilot, Claude Desktop, Visual Studio Code и OpenAI Codex. Общая проблема связана со встроенными браузерами, которым разработчики приложений предоставили больше полномочий, чем обычному веб-браузеру....

https://bugtraq.ru/rsn/archive/2026/10/22.html

В магазине расширений Cursor 11 часов висел поддельный Claude Code с SSH-бэкдором:

29 октября в маркетплейсе Cursor около одиннадцати часов, с 2:27 до 13:35 по тихоокеанскому времени, лежала подмена официального расширения Claude Code для VS Code. Cursor предупредил, что расширение запускает вредоносный код и пытается поставить на машину постоянный SSH-бэкдор. Под удар могли попасть...

https://bugtraq.ru/rsn/archive/2026/10/23.html

Исследователи Anthropic продемонстрировали удалённый взлом Linux-сервера через критическую ошибку ядра:

Уязвимость CVE-2026-98432 получила оценку 9,8 из 10 от команды Linux CVE и связана с нарушением управления памятью. Из-за состояния гонки при обработке запросов на TCP-соединение ядро обращается к уже освобождённой памяти, что может позволить удалённому злоумышленнику выполнить произвольные команды с...

https://bugtraq.ru/rsn/archive/2026/10/24.html

SMS of Death для Android:

Исследователь Марк Бла (Mark Blah) опубликовал демонстрацию уязвимости Android CVE-2026-58882, получившей название SMS of Death. Проблема находится в обработчике WAP Push-сообщений: специально сформированное служебное SMS может вызвать аварийное завершение системного процесса, отвечающего за мобильную...

https://bugtraq.ru/rsn/archive/2026/11/01.html

Chainalysis раскрыла взлом собственных систем:

Компания Chainalysis, известная своими инструментами анализа блокчейна и расследования криптовалютных преступлений, сообщила о несанкционированном доступе к внутренним системам и инструментам. По заявлению компании, в течение октября внешний злоумышленник использовал методы, которые Chainalysis назвала...

https://bugtraq.ru/rsn/archive/2026/11/02.html