Участника атак Hive и Nefilim приговорили к 70 месяцам тюрьмы
Гражданин Украины Артём Стрельжак приговорён к 70 месяцам тюрьмы за участие в серии атак программ-вымогателей. С середины 2018 по конец 2021 года он атаковал операторов критической инфраструктуры и коммерческие предприятия.
Стрельжак присоединился к группам Nefilim и Hive, которые атаковали около 1500 жертв по всему миру. Атаки включали больницы, государственные учреждения, юридические фирмы и компании из нефтегазовой отрасли. Вымогатели угрожали публикацией украденных данных для получения выкупа.
ⓘ Что такое Hive
Hive — это семейство программ-вымогателей, появившееся в 2020 году. Злоумышленники, использующие Hive, шифруют данные жертв и требуют выкуп за их расшифровку. Группировка известна атаками на крупные компании и критическую инфраструктуру.
Источники: CyberScoop · SecurityWeek · The Register
@cbunit
Гражданин Украины Артём Стрельжак приговорён к 70 месяцам тюрьмы за участие в серии атак программ-вымогателей. С середины 2018 по конец 2021 года он атаковал операторов критической инфраструктуры и коммерческие предприятия.
Стрельжак присоединился к группам Nefilim и Hive, которые атаковали около 1500 жертв по всему миру. Атаки включали больницы, государственные учреждения, юридические фирмы и компании из нефтегазовой отрасли. Вымогатели угрожали публикацией украденных данных для получения выкупа.
ⓘ Что такое Hive
Hive — это семейство программ-вымогателей, появившееся в 2020 году. Злоумышленники, использующие Hive, шифруют данные жертв и требуют выкуп за их расшифровку. Группировка известна атаками на крупные компании и критическую инфраструктуру.
Источники: CyberScoop · SecurityWeek · The Register
@cbunit
В камерах Intelbras нашли дыру, позволяющую отключить их удалённо
Эксперты «Лаборатории Касперского» обнаружили уязвимость в IP-системах видеонаблюдения Intelbras. Проблема заключается в небезопасном механизме обновления прошивки, который не требует аутентификации.
Уязвимость позволяет злоумышленникам удалённо инициировать обновление прошивки, что приводит к временному отключению камеры. Повторяющиеся запросы могут удерживать устройство в офлайн-режиме неограниченное время. Уязвимость затрагивает модели iM3B-C, iMX C, iM4 C, iM5 SC, iME 360 C и iM7+ FC. Приложение Intelbras для управления камерами скачали более 4 млн раз, большинство пользователей находятся в Южной Америке.
«Лаборатория Касперского» уведомила Intelbras. Производитель выпустил обновление, устраняющее уязвимость. Рекомендуется обновить прошивку до последней версии.
Источники: Kaspersky · IT Channel News · SecPost
@cbunit
Эксперты «Лаборатории Касперского» обнаружили уязвимость в IP-системах видеонаблюдения Intelbras. Проблема заключается в небезопасном механизме обновления прошивки, который не требует аутентификации.
Уязвимость позволяет злоумышленникам удалённо инициировать обновление прошивки, что приводит к временному отключению камеры. Повторяющиеся запросы могут удерживать устройство в офлайн-режиме неограниченное время. Уязвимость затрагивает модели iM3B-C, iMX C, iM4 C, iM5 SC, iME 360 C и iM7+ FC. Приложение Intelbras для управления камерами скачали более 4 млн раз, большинство пользователей находятся в Южной Америке.
«Лаборатория Касперского» уведомила Intelbras. Производитель выпустил обновление, устраняющее уязвимость. Рекомендуется обновить прошивку до последней версии.
Источники: Kaspersky · IT Channel News · SecPost
@cbunit
Бюджеты на ИБ растут, но CEOs считают кибербезопасность главным техриском
IDC прогнозирует рост расходов на кибербезопасность до $310,42 млрд в 2026 году, что на 13,2% больше, чем в 2025 году. Несмотря на увеличение бюджетов, опросы руководителей и специалистов по безопасности показывают, что кибербезопасность остаётся главным технологическим риском для компаний.
Исследование IDC выявило разрыв между инвестициями в безопасность и реальным снижением рисков. Руководители ИТ-отделов должны определить причины этого несоответствия в своих организациях. Для этого предлагается ответить на три вопроса: оправданы ли закупки инструментов AppSec реальными находками или только новыми функциями, как расходы на безопасность конечных точек соотносятся с размером организации и учитывается ли безопасность при обсуждении финансирования ИИ.
Источник: IDC
@cbunit
IDC прогнозирует рост расходов на кибербезопасность до $310,42 млрд в 2026 году, что на 13,2% больше, чем в 2025 году. Несмотря на увеличение бюджетов, опросы руководителей и специалистов по безопасности показывают, что кибербезопасность остаётся главным технологическим риском для компаний.
Исследование IDC выявило разрыв между инвестициями в безопасность и реальным снижением рисков. Руководители ИТ-отделов должны определить причины этого несоответствия в своих организациях. Для этого предлагается ответить на три вопроса: оправданы ли закупки инструментов AppSec реальными находками или только новыми функциями, как расходы на безопасность конечных точек соотносятся с размером организации и учитывается ли безопасность при обсуждении финансирования ИИ.
Источник: IDC
@cbunit
#дайджест
Главное к исходу среды (28.10):
🔸 Adobe Campaign Classic: уязвимость Code Injection позволяет выполнить код без прав
🔸 APT-группы активизировали атаки на организации в Африке
🔸 В камерах Intelbras нашли дыру, позволяющую отключить их удалённо
🔸 Уязвимость в UEFI TianoCore EDK II позволяет выполнять код до загрузки ОС
Главное к исходу среды (28.10):
🔸 Adobe Campaign Classic: уязвимость Code Injection позволяет выполнить код без прав
🔸 APT-группы активизировали атаки на организации в Африке
🔸 В камерах Intelbras нашли дыру, позволяющую отключить их удалённо
🔸 Уязвимость в UEFI TianoCore EDK II позволяет выполнять код до загрузки ОС
❢ PHP2Shell: критические уязвимости позволяют выполнять код без аутентификации
▤ Разбор
Две критические уязвимости PHP2Shell (CVE-2026-109618 и CVE-2026-109619) позволяют злоумышленникам выполнять код на серверах без аутентификации. PHP используется во многих веб-приложениях, включая WordPress и Drupal.
Исследование IDC показало, что главными проблемами при обнаружении уязвимостей являются определение местоположения уязвимого ПО (30,7%) и выбор приоритетов для исправления (28,8%). Эти результаты указывают на необходимость улучшения процессов управления активами и программным обеспечением до момента раскрытия уязвимостей. Искусственный интеллект ускоряет как обнаружение уязвимостей, так и разработку эксплойтов, сокращая время на реагирование.
ⓘ Что такое PHP2Shell
PHP2Shell — это две критические уязвимости в языке программирования PHP, позволяющие злоумышленникам выполнять произвольный код на серверах. Уязвимости были обнаружены с помощью передовых моделей ИИ. Они позволяют атакующим получить контроль над затронутыми системами, что требует немедленного обновления или отключения серверов.
Источники: IDC · Хабр / ИБ · Wordfence
@cbunit
▤ Разбор
Две критические уязвимости PHP2Shell (CVE-2026-109618 и CVE-2026-109619) позволяют злоумышленникам выполнять код на серверах без аутентификации. PHP используется во многих веб-приложениях, включая WordPress и Drupal.
Исследование IDC показало, что главными проблемами при обнаружении уязвимостей являются определение местоположения уязвимого ПО (30,7%) и выбор приоритетов для исправления (28,8%). Эти результаты указывают на необходимость улучшения процессов управления активами и программным обеспечением до момента раскрытия уязвимостей. Искусственный интеллект ускоряет как обнаружение уязвимостей, так и разработку эксплойтов, сокращая время на реагирование.
ⓘ Что такое PHP2Shell
PHP2Shell — это две критические уязвимости в языке программирования PHP, позволяющие злоумышленникам выполнять произвольный код на серверах. Уязвимости были обнаружены с помощью передовых моделей ИИ. Они позволяют атакующим получить контроль над затронутыми системами, что требует немедленного обновления или отключения серверов.
Источники: IDC · Хабр / ИБ · Wordfence
@cbunit
Warp Panda эксплуатирует 0-day в VMware ESX для сокрытия следов
Разбор целиком: cbunit.ru
Источники: The Hacker News · SecurityWeek
@cbunit
Разбор целиком: cbunit.ru
Источники: The Hacker News · SecurityWeek
@cbunit
Volt Typhoon использует временную инфраструктуру для скрытного доступа к сетям США
Китайская хакерская группировка Volt Typhoon использует временную вредоносную инфраструктуру для проникновения в критически важные сети США. Исследователи Lumen Technologies назвали эту операцию «Silent Train». Она представляет собой цепочку скомпрометированных SOHO-маршрутизаторов, IoT-устройств и корпоративной инфраструктуры, которую Volt Typhoon ротирует с конца 2023 года.
Группировка применяет эту инфраструктуру для эксплуатации уязвимостей, включая 0-day, в сетевых граничных устройствах. Это позволяет ей получать более глубокий и устойчивый доступ к сетям жертв. Отдельные цепочки собираются и разбираются ежедневно, а инфраструктура постоянно обновляется. Volt Typhoon демонстрирует способность восстанавливать новую цепочку менее чем за две минуты.
Источники: CyberScoop · The Hacker News
@cbunit
Китайская хакерская группировка Volt Typhoon использует временную вредоносную инфраструктуру для проникновения в критически важные сети США. Исследователи Lumen Technologies назвали эту операцию «Silent Train». Она представляет собой цепочку скомпрометированных SOHO-маршрутизаторов, IoT-устройств и корпоративной инфраструктуры, которую Volt Typhoon ротирует с конца 2023 года.
Группировка применяет эту инфраструктуру для эксплуатации уязвимостей, включая 0-day, в сетевых граничных устройствах. Это позволяет ей получать более глубокий и устойчивый доступ к сетям жертв. Отдельные цепочки собираются и разбираются ежедневно, а инфраструктура постоянно обновляется. Volt Typhoon демонстрирует способность восстанавливать новую цепочку менее чем за две минуты.
Источники: CyberScoop · The Hacker News
@cbunit
Уязвимость в Cisco Secure Firewall вызывает отказ в обслуживании через SSL VPN
Уязвимость в службе удалённого доступа SSL VPN программного обеспечения Cisco Secure Firewall ASA и Cisco Secure Firewall Threat Defense может позволить удалённому злоумышленнику вызвать перезагрузку устройства. Это приведёт к отказу в обслуживании (DoS).
Уязвимость связана с ошибками логики при настройке вторичной аутентификации в группе туннелей. Атакующий может использовать её, отправив специально сформированный запрос при подключении к SSL VPN. Успешная эксплуатация приведёт к перезагрузке устройства и состоянию DoS.
Источники: Cisco PSIRT · SecurityWeek
@cbunit
Уязвимость в службе удалённого доступа SSL VPN программного обеспечения Cisco Secure Firewall ASA и Cisco Secure Firewall Threat Defense может позволить удалённому злоумышленнику вызвать перезагрузку устройства. Это приведёт к отказу в обслуживании (DoS).
Уязвимость связана с ошибками логики при настройке вторичной аутентификации в группе туннелей. Атакующий может использовать её, отправив специально сформированный запрос при подключении к SSL VPN. Успешная эксплуатация приведёт к перезагрузке устройства и состоянию DoS.
Источники: Cisco PSIRT · SecurityWeek
@cbunit
Эксплуатация уязвимостей стала главной причиной компрометации систем
Эксплуатация уязвимостей стала основной причиной компрометации корпоративных систем. Отчёт LevelBlue за третий квартал показал, что на долю эксплуатации уязвимостей пришлось 14% случаев первоначального доступа, что на 10% больше, чем во втором квартале. В первом квартале этот показатель составлял 20%.
Отчёт Verizon за 2026 год подтвердил эту тенденцию: эксплуатация уязвимостей оказалась в центре 31% компрометаций, что на 11% больше, чем годом ранее. Фишинг и социальная инженерия остаются ведущим вектором атак, но их доля снизилась до 42% с 65% во втором квартале.
ⓘ Что такое edge devices
К устройствам на периметре сети (edge devices) относятся VPN-шлюзы, межсетевые экраны и устройства удалённого доступа. Они напрямую подключены к интернету и часто становятся целью для злоумышленников из-за уязвимостей.
Источник: CSO Online
@cbunit
Эксплуатация уязвимостей стала основной причиной компрометации корпоративных систем. Отчёт LevelBlue за третий квартал показал, что на долю эксплуатации уязвимостей пришлось 14% случаев первоначального доступа, что на 10% больше, чем во втором квартале. В первом квартале этот показатель составлял 20%.
Отчёт Verizon за 2026 год подтвердил эту тенденцию: эксплуатация уязвимостей оказалась в центре 31% компрометаций, что на 11% больше, чем годом ранее. Фишинг и социальная инженерия остаются ведущим вектором атак, но их доля снизилась до 42% с 65% во втором квартале.
ⓘ Что такое edge devices
К устройствам на периметре сети (edge devices) относятся VPN-шлюзы, межсетевые экраны и устройства удалённого доступа. Они напрямую подключены к интернету и часто становятся целью для злоумышленников из-за уязвимостей.
Источник: CSO Online
@cbunit
MONT и «СёрчИнформ» объединились для дистрибуции российских DLP и SIEM
ГК MONT и «СёрчИнформ» заключили соглашение о сотрудничестве. MONT займётся дистрибуцией продуктов «СёрчИнформ», расширяя доступ партнёров к технологиям защиты данных и противодействия внутренним угрозам.
«СёрчИнформ» предлагает DLP-систему «СёрчИнформ КИБ», DCAP-систему «СёрчИнформ FileAuditor» и SIEM-систему «СёрчИнформ SIEM». Решения компании сертифицированы ФСТЭК России и ЦЛСЗ ФСБ России.
ⓘ Что такое «СёрчИнформ КИБ»
«СёрчИнформ КИБ» — это DLP-система, которая контролирует каналы передачи данных и действия пользователей на рабочих станциях для защиты от утечек информации.
Источник: РУССОФТ
@cbunit
ГК MONT и «СёрчИнформ» заключили соглашение о сотрудничестве. MONT займётся дистрибуцией продуктов «СёрчИнформ», расширяя доступ партнёров к технологиям защиты данных и противодействия внутренним угрозам.
«СёрчИнформ» предлагает DLP-систему «СёрчИнформ КИБ», DCAP-систему «СёрчИнформ FileAuditor» и SIEM-систему «СёрчИнформ SIEM». Решения компании сертифицированы ФСТЭК России и ЦЛСЗ ФСБ России.
ⓘ Что такое «СёрчИнформ КИБ»
«СёрчИнформ КИБ» — это DLP-система, которая контролирует каналы передачи данных и действия пользователей на рабочих станциях для защиты от утечек информации.
❝Сочетание экспертизы «СёрчИнформ» в разработке продуктов для защиты данных и возможностей MONT в области дистрибуции позволит нам эффективнее работать с партнерами, развивать новые проекты и отвечать на растущий интерес к отечественным разработкам❞
— Андрей Головин, ведущий аналитик «СёрчИнформ»
Источник: РУССОФТ
@cbunit
Kaspersky: NetamLoader атакует госучреждения Азии через модифицированную Windows
Эксперты «Лаборатории Касперского» выявили новую целевую атаку на модифицированную версию Windows 10, используемую государственными организациями в Азии. Злоумышленники применили ранее неизвестный фреймворк NetamLoader, который использует легитимные компоненты для скрытого запуска вредоносного кода.
Атака, предположительно, распространялась через цепочку поставок ПО. Вредоносный конфигурационный файл был обнаружен в папке обновлений Windows. Злоумышленники модифицировали вспомогательные файлы, чтобы легитимное ПО загружало вредоносные инструкции. Точный способ проникновения в систему жертвы остаётся неизвестным, как и факт компрометации инструмента Patch My PC или его систем дистрибуции.
NetamLoader разработан под конкретную версию Windows. Он распаковывает вредоносное содержимое через несколько уровней кодирования, сжатия и шифрования, а затем переносит выполнение кода в легитимный процесс. Фреймворк также вмешивается в работу антивирусного сканирования и удаляет файлы, которые могли бы помочь в расследовании. После запуска NetamLoader связывается с сервером злоумышленников для получения инструкций, используя длительные задержки между соединениями для маскировки активности.
Источники: Kaspersky · SecurityMedia
@cbunit
Эксперты «Лаборатории Касперского» выявили новую целевую атаку на модифицированную версию Windows 10, используемую государственными организациями в Азии. Злоумышленники применили ранее неизвестный фреймворк NetamLoader, который использует легитимные компоненты для скрытого запуска вредоносного кода.
Атака, предположительно, распространялась через цепочку поставок ПО. Вредоносный конфигурационный файл был обнаружен в папке обновлений Windows. Злоумышленники модифицировали вспомогательные файлы, чтобы легитимное ПО загружало вредоносные инструкции. Точный способ проникновения в систему жертвы остаётся неизвестным, как и факт компрометации инструмента Patch My PC или его систем дистрибуции.
NetamLoader разработан под конкретную версию Windows. Он распаковывает вредоносное содержимое через несколько уровней кодирования, сжатия и шифрования, а затем переносит выполнение кода в легитимный процесс. Фреймворк также вмешивается в работу антивирусного сканирования и удаляет файлы, которые могли бы помочь в расследовании. После запуска NetamLoader связывается с сервером злоумышленников для получения инструкций, используя длительные задержки между соединениями для маскировки активности.
Источники: Kaspersky · SecurityMedia
@cbunit
Sony сообщила об утечке данных 2,6 млн клиентов японского ISP
Sony Network Communications подтвердила утечку данных, затронувшую около 2,6 млн записей клиентов. Инцидент произошел 19 октября, а обнаружен через четыре дня. Несанкционированный доступ получили к базе данных So-net, предоставляющей услуги доступа в интернет.
Утечка затронула полные имена, номера телефонов, адреса электронной почты, идентификаторы пользователей, даты рождения, пол и идентификаторы интернет-соединений. Также скомпрометированы 54,4 тыс. адресов электронной почты с паролями. Банковские данные и информация о платежных картах не пострадали. Утечка затронула клиентов So-net и plala (S Course), что повлияло на услуги Docomo Hikari от NTT Docomo. Компания уведомила клиентов и предупредила о фишинговых атаках.
ⓘ Что такое So-net
So-net — это база данных участника сети, которая поддерживает услугу доступа в интернет от Sony Network Communications, дочерней компании Sony Group Corporation, предоставляющей телекоммуникационные и технологические услуги в Японии.
Источники: BleepingComputer · SecurityMedia
@cbunit
Sony Network Communications подтвердила утечку данных, затронувшую около 2,6 млн записей клиентов. Инцидент произошел 19 октября, а обнаружен через четыре дня. Несанкционированный доступ получили к базе данных So-net, предоставляющей услуги доступа в интернет.
Утечка затронула полные имена, номера телефонов, адреса электронной почты, идентификаторы пользователей, даты рождения, пол и идентификаторы интернет-соединений. Также скомпрометированы 54,4 тыс. адресов электронной почты с паролями. Банковские данные и информация о платежных картах не пострадали. Утечка затронула клиентов So-net и plala (S Course), что повлияло на услуги Docomo Hikari от NTT Docomo. Компания уведомила клиентов и предупредила о фишинговых атаках.
ⓘ Что такое So-net
So-net — это база данных участника сети, которая поддерживает услугу доступа в интернет от Sony Network Communications, дочерней компании Sony Group Corporation, предоставляющей телекоммуникационные и технологические услуги в Японии.
Источники: BleepingComputer · SecurityMedia
@cbunit
VulnCheck сделал бесплатной свою базу эксплойтов Initial Access Community
VulnCheck открыл публичный доступ к своей базе эксплойтов Initial Access Community Edition. Ресурс содержит более 40 эксплойтов, отобранных командой VulnCheck, с демонстрацией реальной активности злоумышленников.
База включает эксплойты, созданные с помощью фреймворка go-exploit, уязвимое Docker-окружение для безопасного тестирования, PCAP-файлы успешных атак, правила для Snort, Suricata, Sigma и YARA, а также запросы для Shodan, Censys, FOFA, ZoomEye и GreyNoise для оценки подверженности.
Новые эксплойты и артефакты обнаружения будут публиковаться еженедельно. Каждый эксплойт появляется в репозитории через 21 день после предоставления клиентам VulnCheck. Репозиторий распространяется под лицензией Apache 2.0, а взносы сообщества принимаются по лицензии 0BSD.
Источник: VulnCheck
@cbunit
VulnCheck открыл публичный доступ к своей базе эксплойтов Initial Access Community Edition. Ресурс содержит более 40 эксплойтов, отобранных командой VulnCheck, с демонстрацией реальной активности злоумышленников.
База включает эксплойты, созданные с помощью фреймворка go-exploit, уязвимое Docker-окружение для безопасного тестирования, PCAP-файлы успешных атак, правила для Snort, Suricata, Sigma и YARA, а также запросы для Shodan, Censys, FOFA, ZoomEye и GreyNoise для оценки подверженности.
Новые эксплойты и артефакты обнаружения будут публиковаться еженедельно. Каждый эксплойт появляется в репозитории через 21 день после предоставления клиентам VulnCheck. Репозиторий распространяется под лицензией Apache 2.0, а взносы сообщества принимаются по лицензии 0BSD.
Источник: VulnCheck
@cbunit
#дайджест
Главное к исходу четверга (29.10):
🔸 PHP2Shell: критические уязвимости позволяют выполнять код без аутентификации
🔸 Уязвимость в Cisco Secure Firewall вызывает отказ в обслуживании через SSL VPN
🔸 Kaspersky: NetamLoader атакует госучреждения Азии через модифицированную Windows
🔸 Warp Panda эксплуатирует 0-day в VMware ESX для сокрытия следов
Главное к исходу четверга (29.10):
🔸 PHP2Shell: критические уязвимости позволяют выполнять код без аутентификации
🔸 Уязвимость в Cisco Secure Firewall вызывает отказ в обслуживании через SSL VPN
🔸 Kaspersky: NetamLoader атакует госучреждения Азии через модифицированную Windows
🔸 Warp Panda эксплуатирует 0-day в VMware ESX для сокрытия следов
Binance расследует вывод $3,5 млрд: основатель CZ назвал это взломом
Криптобиржа Binance расследует вывод более $3,5 млрд с горячих кошельков. Основатель Чанпэн Чжао (CZ) назвал произошедшее «взломом Binance».
Средства выводились с кошельков Binance 14 и Binance 16. На адрес получателя отправили 63 токена, включая $1,6 млрд в USDT, а также 28 тыс. ETH. Кошелек-отправитель пополнялся через Tornado Cash. Binance заявила, что пока не обнаружила влияния на средства пользователей.
ⓘ Что такое Tornado Cash
Tornado Cash — это сервис смешивания транзакций, который скрывает происхождение криптовалюты. Он позволяет пользователям анонимизировать свои транзакции, смешивая их с транзакциями других пользователей.
Источники: SecPost · Anti-Malware · BleepingComputer · TechCrunch / Security · Хабр / Новости
@cbunit
Криптобиржа Binance расследует вывод более $3,5 млрд с горячих кошельков. Основатель Чанпэн Чжао (CZ) назвал произошедшее «взломом Binance».
Средства выводились с кошельков Binance 14 и Binance 16. На адрес получателя отправили 63 токена, включая $1,6 млрд в USDT, а также 28 тыс. ETH. Кошелек-отправитель пополнялся через Tornado Cash. Binance заявила, что пока не обнаружила влияния на средства пользователей.
ⓘ Что такое Tornado Cash
Tornado Cash — это сервис смешивания транзакций, который скрывает происхождение криптовалюты. Он позволяет пользователям анонимизировать свои транзакции, смешивая их с транзакциями других пользователей.
❝Похоже, это взлом Binance❞
— Чанпэн Чжао (CZ)
Источники: SecPost · Anti-Malware · BleepingComputer · TechCrunch / Security · Хабр / Новости
@cbunit
ИИ ускоряет поиск уязвимостей, но замедляет их устранение
Искусственный интеллект меняет подходы к поиску, эксплуатации и устранению уязвимостей. Команды безопасности сталкиваются с ускоренным обнаружением уязвимостей, но принятие решений остается за человеком.
Управление уязвимостями получает больше данных и сокращает окна экспозиции. Команды AppSec оценивают модели ИИ для поиска уязвимостей в коде, используя открытые и коммерческие решения. Разработчики получают ИИ-предложения по исправлению наравне с другими задачами. Команды SOC принимают остаточный риск при несвоевременном устранении.
ИИ генерирует до 75% нового кода в Google и помогает в 25% коммитов в GitClear. Однако ИИ-изменения могут нарушать работу приложений, не устранять уязвимости или создавать новые. Человеческая проверка остается узким местом. Ожидается, что к 2027 году ошибка, сгенерированная ИИ, вызовет глобальный сбой в нескольких отраслях. Стратегия устранения уязвимостей с помощью ИИ должна фокусироваться на устойчивости, а не на объеме.
Знание того, что достижимо, контролируется и поддерживает критические сервисы, дает преимущество перед злоумышленниками. Масштабирование контекста вместе с обнаружением позволяет улучшить приоритизацию.
Источник: Forrester
@cbunit
Искусственный интеллект меняет подходы к поиску, эксплуатации и устранению уязвимостей. Команды безопасности сталкиваются с ускоренным обнаружением уязвимостей, но принятие решений остается за человеком.
Управление уязвимостями получает больше данных и сокращает окна экспозиции. Команды AppSec оценивают модели ИИ для поиска уязвимостей в коде, используя открытые и коммерческие решения. Разработчики получают ИИ-предложения по исправлению наравне с другими задачами. Команды SOC принимают остаточный риск при несвоевременном устранении.
ИИ генерирует до 75% нового кода в Google и помогает в 25% коммитов в GitClear. Однако ИИ-изменения могут нарушать работу приложений, не устранять уязвимости или создавать новые. Человеческая проверка остается узким местом. Ожидается, что к 2027 году ошибка, сгенерированная ИИ, вызовет глобальный сбой в нескольких отраслях. Стратегия устранения уязвимостей с помощью ИИ должна фокусироваться на устойчивости, а не на объеме.
Знание того, что достижимо, контролируется и поддерживает критические сервисы, дает преимущество перед злоумышленниками. Масштабирование контекста вместе с обнаружением позволяет улучшить приоритизацию.
Источник: Forrester
@cbunit
Китайские хакеры получили root-доступ к 25 серверам через эксплойты PHP2Shell и Fragnesia
Злоумышленники из Китая использовали связку эксплойтов PHP2Shell и Fragnesia для получения root-доступа к 25 серверам. Среди них были межсетевые экраны Palo Alto Networks, связанные с организациями, аффилированными с правительством США.
Атаки начались 23 октября против организаций в США, Японии, Тайване и Южной Корее. Злоумышленники получили доступ к внутренней сети через скомпрометированный межсетевой экран, используя цепочку, начинающуюся с одного незащищённого HTTPS-запроса к интерфейсу управления. По данным исследователей, атакующие сохраняют постоянный удалённый доступ к сетям жертв.
Эксплойт PHP2Shell, включающий уязвимости CVE-2026-109618 и CVE-2026-109619, был разработан специально для целевой платформы межсетевых экранов. Уязвимость Fragnesia (CVE-2026-46300) использовалась для повышения привилегий до уровня root. Агентство CISA добавило эту уязвимость ядра Linux в каталог KEV. Атакующие использовали PAN-OS версий 12.1 и 12.2, которые работают на PHP 8.0.30.
ⓘ Что такое Fragnesia
Fragnesia — это уязвимость повышения привилегий в ядре Linux, затрагивающая подсистему XFRM ESP-in-TCP. Она позволяет злоумышленникам получить root-доступ к системе после первоначальной компрометации.
Источник: The Register
@cbunit
Злоумышленники из Китая использовали связку эксплойтов PHP2Shell и Fragnesia для получения root-доступа к 25 серверам. Среди них были межсетевые экраны Palo Alto Networks, связанные с организациями, аффилированными с правительством США.
Атаки начались 23 октября против организаций в США, Японии, Тайване и Южной Корее. Злоумышленники получили доступ к внутренней сети через скомпрометированный межсетевой экран, используя цепочку, начинающуюся с одного незащищённого HTTPS-запроса к интерфейсу управления. По данным исследователей, атакующие сохраняют постоянный удалённый доступ к сетям жертв.
Эксплойт PHP2Shell, включающий уязвимости CVE-2026-109618 и CVE-2026-109619, был разработан специально для целевой платформы межсетевых экранов. Уязвимость Fragnesia (CVE-2026-46300) использовалась для повышения привилегий до уровня root. Агентство CISA добавило эту уязвимость ядра Linux в каталог KEV. Атакующие использовали PAN-OS версий 12.1 и 12.2, которые работают на PHP 8.0.30.
ⓘ Что такое Fragnesia
Fragnesia — это уязвимость повышения привилегий в ядре Linux, затрагивающая подсистему XFRM ESP-in-TCP. Она позволяет злоумышленникам получить root-доступ к системе после первоначальной компрометации.
Источник: The Register
@cbunit