DigiCert оставила внутренний сервер открытым на 16 месяцев:

Один из крупнейших мировых центров сертификации DigiCert сообщил об утечке клиентских данных, причиной которой стала ошибка при переносе внутренней инфраструктуры. В феврале 2025 года компания переместила внутреннюю систему на другую площадку, и в результате сервер, ранее доступный только через VPN,...

https://bugtraq.ru/rsn/archive/2026/11/14.html

Claude Code мог сохранять пароли и API-ключи в файлах проектов:

Исследователи компании Apiiro обнаружили, что файлы настроек Anthropic Claude Code могут содержать пароли, API-ключи и другие секреты, которые разработчики вводят непосредственно в команды терминала. Проблема связана с функцией подтверждения команд: если пользователь выбирает "Yes, and don't ask again",...

https://bugtraq.ru/rsn/archive/2026/11/15.html

admin:admin позволял управлять автомобилями:

Исследователи безопасности Шубхам Шах и Сэм Карри обнаружили серьёзные проблемы в системах авторизации мобильных приложений двух автопроизводителей. Используя стандартные административные учётные данные admin:admin, они смогли получить доступ к внутренним системам управления пользователями и фактически...

https://bugtraq.ru/rsn/archive/2026/11/16.html

Один хакер, двенадцать ИИ-агентов и взломанная скорая помощь Тайваня:

Исследователи Acronis вычислили оператора, который в одиночку управлял связкой из двенадцати ИИ-агентов под названием BOSSAI. Девять из них работали на момент расследования, ещё три были настроены, но простаивали. По оценке команды, атакующий расположен в тайваньском Хуаляне, а целями стали сотни организаций...

https://bugtraq.ru/rsn/archive/2026/11/17.html

Франция назвала виновных в атаке на холодильники супермаркетов:

Французское правительство возложило ответственность за масштабную серию кибератак на холодильное оборудование более чем в 700 торговых точках на подразделение Shahid Kaveh, связанное с Корпусом стражей исламской революции Ирана. Атаки произошли в октябре и затронули крупные торговые сети Casino, Leclerc,...

https://bugtraq.ru/rsn/archive/2026/11/18.html

Google исправила восьмую активно эксплуатируемую уязвимость Chrome с начала года:

Google выпустила экстренное обновление Chrome, закрывающее уязвимость CVE-2026-125350. Это уже восьмая ошибка браузера с начала 2026 года, для которой компания подтвердила наличие эксплойта, используемого в реальных атаках. Проблема обнаружена в XML-компоненте браузера и связана с классической ошибкой...

https://bugtraq.ru/rsn/archive/2026/11/19.html

Apache HTTP/2 позволяет выполнять команды на сервере без авторизации:

В Apache HTTP Server обнаружили уязвимость CVE-2026-119618 с оценкой CVSS 9.8. Она затрагивает модуль mod_http2 и версии сервера с 2.4.55 по 2.4.70. Причина кроется в ошибке синхронизации потоков при обработке параллельных HTTP/2-запросов: один поток может повредить память, принадлежащую другому.

Для...

https://bugtraq.ru/rsn/archive/2026/11/20.html

eMudhra объяснила появление крайне слабых сертификатов ошибкой Python-скрипта:

Индийский удостоверяющий центр eMudhra опубликовал объяснение инцидента, из-за которого его промежуточные сертификаты оказались криптографически ненадёжными, а сама компания покинула рынок публичных TLS-сертификатов. Причиной стала ошибка в собственном Python-скрипте для переноса закрытых ключей между...

https://bugtraq.ru/rsn/archive/2026/11/21.html

Взлом шлюзов Check Point закончился стиранием данных на серверах VMware ESXi:

Шлюзы безопасности Check Point оказались в центре кампании, которая стартовала 30 октября. Первой целью стали израильские организации, вторая волна 2 ноября зацепила компании в разных странах и отраслях. Входом послужили две критические дыры в PHP, известные под общим названием PHP2Shell. Разработчики...

https://bugtraq.ru/rsn/archive/2026/11/22.html

PostgreSQL исправила 52 уязвимости, включая 22-летнюю ошибку:

Команда PostgreSQL выпустила обновления, закрывающие 52 уязвимости. Самой заметной стала CVE-2026-6460 с оценкой CVSS 8,8. Ошибка связана с обработкой составных типов данных: после изменения типа поля сервер в некоторых случаях продолжал работать со старыми значениями, интерпретируя их уже по новой структуре.

При...

https://bugtraq.ru/rsn/archive/2026/11/23.html

ФБР связало с северокорейскими хакерами кражу более $400 млн через дипфейк-видеозвонки:

ФБР сообщило, что связанные с Северной Кореей злоумышленники похитили более 400 млн долларов в криптовалюте за последние 18 месяцев. Кампания получила название FaceStealer и была нацелена прежде всего на сотрудников криптовалютных и Web3-компаний. Американские власти также сообщили об изъятии облачной...

https://bugtraq.ru/rsn/archive/2026/11/24.html