Kaspersky: NetamLoader атакует госучреждения Азии через модифицированную Windows
Эксперты «Лаборатории Касперского» выявили новую целевую атаку на модифицированную версию Windows 10, используемую государственными организациями в Азии. Злоумышленники применили ранее неизвестный фреймворк NetamLoader, который использует легитимные компоненты для скрытого запуска вредоносного кода.
Атака, предположительно, распространялась через цепочку поставок ПО. Вредоносный конфигурационный файл был обнаружен в папке обновлений Windows. Злоумышленники модифицировали вспомогательные файлы, чтобы легитимное ПО загружало вредоносные инструкции. Точный способ проникновения в систему жертвы остаётся неизвестным, как и факт компрометации инструмента Patch My PC или его систем дистрибуции.
NetamLoader разработан под конкретную версию Windows. Он распаковывает вредоносное содержимое через несколько уровней кодирования, сжатия и шифрования, а затем переносит выполнение кода в легитимный процесс. Фреймворк также вмешивается в работу антивирусного сканирования и удаляет файлы, которые могли бы помочь в расследовании. После запуска NetamLoader связывается с сервером злоумышленников для получения инструкций, используя длительные задержки между соединениями для маскировки активности.
Источники: Kaspersky · SecurityMedia
@cbunit
Эксперты «Лаборатории Касперского» выявили новую целевую атаку на модифицированную версию Windows 10, используемую государственными организациями в Азии. Злоумышленники применили ранее неизвестный фреймворк NetamLoader, который использует легитимные компоненты для скрытого запуска вредоносного кода.
Атака, предположительно, распространялась через цепочку поставок ПО. Вредоносный конфигурационный файл был обнаружен в папке обновлений Windows. Злоумышленники модифицировали вспомогательные файлы, чтобы легитимное ПО загружало вредоносные инструкции. Точный способ проникновения в систему жертвы остаётся неизвестным, как и факт компрометации инструмента Patch My PC или его систем дистрибуции.
NetamLoader разработан под конкретную версию Windows. Он распаковывает вредоносное содержимое через несколько уровней кодирования, сжатия и шифрования, а затем переносит выполнение кода в легитимный процесс. Фреймворк также вмешивается в работу антивирусного сканирования и удаляет файлы, которые могли бы помочь в расследовании. После запуска NetamLoader связывается с сервером злоумышленников для получения инструкций, используя длительные задержки между соединениями для маскировки активности.
Источники: Kaspersky · SecurityMedia
@cbunit
Sony сообщила об утечке данных 2,6 млн клиентов японского ISP
Sony Network Communications подтвердила утечку данных, затронувшую около 2,6 млн записей клиентов. Инцидент произошел 19 октября, а обнаружен через четыре дня. Несанкционированный доступ получили к базе данных So-net, предоставляющей услуги доступа в интернет.
Утечка затронула полные имена, номера телефонов, адреса электронной почты, идентификаторы пользователей, даты рождения, пол и идентификаторы интернет-соединений. Также скомпрометированы 54,4 тыс. адресов электронной почты с паролями. Банковские данные и информация о платежных картах не пострадали. Утечка затронула клиентов So-net и plala (S Course), что повлияло на услуги Docomo Hikari от NTT Docomo. Компания уведомила клиентов и предупредила о фишинговых атаках.
ⓘ Что такое So-net
So-net — это база данных участника сети, которая поддерживает услугу доступа в интернет от Sony Network Communications, дочерней компании Sony Group Corporation, предоставляющей телекоммуникационные и технологические услуги в Японии.
Источники: BleepingComputer · SecurityMedia
@cbunit
Sony Network Communications подтвердила утечку данных, затронувшую около 2,6 млн записей клиентов. Инцидент произошел 19 октября, а обнаружен через четыре дня. Несанкционированный доступ получили к базе данных So-net, предоставляющей услуги доступа в интернет.
Утечка затронула полные имена, номера телефонов, адреса электронной почты, идентификаторы пользователей, даты рождения, пол и идентификаторы интернет-соединений. Также скомпрометированы 54,4 тыс. адресов электронной почты с паролями. Банковские данные и информация о платежных картах не пострадали. Утечка затронула клиентов So-net и plala (S Course), что повлияло на услуги Docomo Hikari от NTT Docomo. Компания уведомила клиентов и предупредила о фишинговых атаках.
ⓘ Что такое So-net
So-net — это база данных участника сети, которая поддерживает услугу доступа в интернет от Sony Network Communications, дочерней компании Sony Group Corporation, предоставляющей телекоммуникационные и технологические услуги в Японии.
Источники: BleepingComputer · SecurityMedia
@cbunit
VulnCheck сделал бесплатной свою базу эксплойтов Initial Access Community
VulnCheck открыл публичный доступ к своей базе эксплойтов Initial Access Community Edition. Ресурс содержит более 40 эксплойтов, отобранных командой VulnCheck, с демонстрацией реальной активности злоумышленников.
База включает эксплойты, созданные с помощью фреймворка go-exploit, уязвимое Docker-окружение для безопасного тестирования, PCAP-файлы успешных атак, правила для Snort, Suricata, Sigma и YARA, а также запросы для Shodan, Censys, FOFA, ZoomEye и GreyNoise для оценки подверженности.
Новые эксплойты и артефакты обнаружения будут публиковаться еженедельно. Каждый эксплойт появляется в репозитории через 21 день после предоставления клиентам VulnCheck. Репозиторий распространяется под лицензией Apache 2.0, а взносы сообщества принимаются по лицензии 0BSD.
Источник: VulnCheck
@cbunit
VulnCheck открыл публичный доступ к своей базе эксплойтов Initial Access Community Edition. Ресурс содержит более 40 эксплойтов, отобранных командой VulnCheck, с демонстрацией реальной активности злоумышленников.
База включает эксплойты, созданные с помощью фреймворка go-exploit, уязвимое Docker-окружение для безопасного тестирования, PCAP-файлы успешных атак, правила для Snort, Suricata, Sigma и YARA, а также запросы для Shodan, Censys, FOFA, ZoomEye и GreyNoise для оценки подверженности.
Новые эксплойты и артефакты обнаружения будут публиковаться еженедельно. Каждый эксплойт появляется в репозитории через 21 день после предоставления клиентам VulnCheck. Репозиторий распространяется под лицензией Apache 2.0, а взносы сообщества принимаются по лицензии 0BSD.
Источник: VulnCheck
@cbunit
#дайджест
Главное к исходу четверга (29.10):
🔸 PHP2Shell: критические уязвимости позволяют выполнять код без аутентификации
🔸 Уязвимость в Cisco Secure Firewall вызывает отказ в обслуживании через SSL VPN
🔸 Kaspersky: NetamLoader атакует госучреждения Азии через модифицированную Windows
🔸 Warp Panda эксплуатирует 0-day в VMware ESX для сокрытия следов
Главное к исходу четверга (29.10):
🔸 PHP2Shell: критические уязвимости позволяют выполнять код без аутентификации
🔸 Уязвимость в Cisco Secure Firewall вызывает отказ в обслуживании через SSL VPN
🔸 Kaspersky: NetamLoader атакует госучреждения Азии через модифицированную Windows
🔸 Warp Panda эксплуатирует 0-day в VMware ESX для сокрытия следов
Binance расследует вывод $3,5 млрд: основатель CZ назвал это взломом
Криптобиржа Binance расследует вывод более $3,5 млрд с горячих кошельков. Основатель Чанпэн Чжао (CZ) назвал произошедшее «взломом Binance».
Средства выводились с кошельков Binance 14 и Binance 16. На адрес получателя отправили 63 токена, включая $1,6 млрд в USDT, а также 28 тыс. ETH. Кошелек-отправитель пополнялся через Tornado Cash. Binance заявила, что пока не обнаружила влияния на средства пользователей.
ⓘ Что такое Tornado Cash
Tornado Cash — это сервис смешивания транзакций, который скрывает происхождение криптовалюты. Он позволяет пользователям анонимизировать свои транзакции, смешивая их с транзакциями других пользователей.
Источники: SecPost · Anti-Malware · BleepingComputer · TechCrunch / Security · Хабр / Новости
@cbunit
Криптобиржа Binance расследует вывод более $3,5 млрд с горячих кошельков. Основатель Чанпэн Чжао (CZ) назвал произошедшее «взломом Binance».
Средства выводились с кошельков Binance 14 и Binance 16. На адрес получателя отправили 63 токена, включая $1,6 млрд в USDT, а также 28 тыс. ETH. Кошелек-отправитель пополнялся через Tornado Cash. Binance заявила, что пока не обнаружила влияния на средства пользователей.
ⓘ Что такое Tornado Cash
Tornado Cash — это сервис смешивания транзакций, который скрывает происхождение криптовалюты. Он позволяет пользователям анонимизировать свои транзакции, смешивая их с транзакциями других пользователей.
❝Похоже, это взлом Binance❞
— Чанпэн Чжао (CZ)
Источники: SecPost · Anti-Malware · BleepingComputer · TechCrunch / Security · Хабр / Новости
@cbunit
ИИ ускоряет поиск уязвимостей, но замедляет их устранение
Искусственный интеллект меняет подходы к поиску, эксплуатации и устранению уязвимостей. Команды безопасности сталкиваются с ускоренным обнаружением уязвимостей, но принятие решений остается за человеком.
Управление уязвимостями получает больше данных и сокращает окна экспозиции. Команды AppSec оценивают модели ИИ для поиска уязвимостей в коде, используя открытые и коммерческие решения. Разработчики получают ИИ-предложения по исправлению наравне с другими задачами. Команды SOC принимают остаточный риск при несвоевременном устранении.
ИИ генерирует до 75% нового кода в Google и помогает в 25% коммитов в GitClear. Однако ИИ-изменения могут нарушать работу приложений, не устранять уязвимости или создавать новые. Человеческая проверка остается узким местом. Ожидается, что к 2027 году ошибка, сгенерированная ИИ, вызовет глобальный сбой в нескольких отраслях. Стратегия устранения уязвимостей с помощью ИИ должна фокусироваться на устойчивости, а не на объеме.
Знание того, что достижимо, контролируется и поддерживает критические сервисы, дает преимущество перед злоумышленниками. Масштабирование контекста вместе с обнаружением позволяет улучшить приоритизацию.
Источник: Forrester
@cbunit
Искусственный интеллект меняет подходы к поиску, эксплуатации и устранению уязвимостей. Команды безопасности сталкиваются с ускоренным обнаружением уязвимостей, но принятие решений остается за человеком.
Управление уязвимостями получает больше данных и сокращает окна экспозиции. Команды AppSec оценивают модели ИИ для поиска уязвимостей в коде, используя открытые и коммерческие решения. Разработчики получают ИИ-предложения по исправлению наравне с другими задачами. Команды SOC принимают остаточный риск при несвоевременном устранении.
ИИ генерирует до 75% нового кода в Google и помогает в 25% коммитов в GitClear. Однако ИИ-изменения могут нарушать работу приложений, не устранять уязвимости или создавать новые. Человеческая проверка остается узким местом. Ожидается, что к 2027 году ошибка, сгенерированная ИИ, вызовет глобальный сбой в нескольких отраслях. Стратегия устранения уязвимостей с помощью ИИ должна фокусироваться на устойчивости, а не на объеме.
Знание того, что достижимо, контролируется и поддерживает критические сервисы, дает преимущество перед злоумышленниками. Масштабирование контекста вместе с обнаружением позволяет улучшить приоритизацию.
Источник: Forrester
@cbunit
Китайские хакеры получили root-доступ к 25 серверам через эксплойты PHP2Shell и Fragnesia
Злоумышленники из Китая использовали связку эксплойтов PHP2Shell и Fragnesia для получения root-доступа к 25 серверам. Среди них были межсетевые экраны Palo Alto Networks, связанные с организациями, аффилированными с правительством США.
Атаки начались 23 октября против организаций в США, Японии, Тайване и Южной Корее. Злоумышленники получили доступ к внутренней сети через скомпрометированный межсетевой экран, используя цепочку, начинающуюся с одного незащищённого HTTPS-запроса к интерфейсу управления. По данным исследователей, атакующие сохраняют постоянный удалённый доступ к сетям жертв.
Эксплойт PHP2Shell, включающий уязвимости CVE-2026-109618 и CVE-2026-109619, был разработан специально для целевой платформы межсетевых экранов. Уязвимость Fragnesia (CVE-2026-46300) использовалась для повышения привилегий до уровня root. Агентство CISA добавило эту уязвимость ядра Linux в каталог KEV. Атакующие использовали PAN-OS версий 12.1 и 12.2, которые работают на PHP 8.0.30.
ⓘ Что такое Fragnesia
Fragnesia — это уязвимость повышения привилегий в ядре Linux, затрагивающая подсистему XFRM ESP-in-TCP. Она позволяет злоумышленникам получить root-доступ к системе после первоначальной компрометации.
Источник: The Register
@cbunit
Злоумышленники из Китая использовали связку эксплойтов PHP2Shell и Fragnesia для получения root-доступа к 25 серверам. Среди них были межсетевые экраны Palo Alto Networks, связанные с организациями, аффилированными с правительством США.
Атаки начались 23 октября против организаций в США, Японии, Тайване и Южной Корее. Злоумышленники получили доступ к внутренней сети через скомпрометированный межсетевой экран, используя цепочку, начинающуюся с одного незащищённого HTTPS-запроса к интерфейсу управления. По данным исследователей, атакующие сохраняют постоянный удалённый доступ к сетям жертв.
Эксплойт PHP2Shell, включающий уязвимости CVE-2026-109618 и CVE-2026-109619, был разработан специально для целевой платформы межсетевых экранов. Уязвимость Fragnesia (CVE-2026-46300) использовалась для повышения привилегий до уровня root. Агентство CISA добавило эту уязвимость ядра Linux в каталог KEV. Атакующие использовали PAN-OS версий 12.1 и 12.2, которые работают на PHP 8.0.30.
ⓘ Что такое Fragnesia
Fragnesia — это уязвимость повышения привилегий в ядре Linux, затрагивающая подсистему XFRM ESP-in-TCP. Она позволяет злоумышленникам получить root-доступ к системе после первоначальной компрометации.
Источник: The Register
@cbunit
❢ Атаки с эксплойтами в РФ выросли на 24% в 2026 году
Разбор целиком: cbunit.ru
Источники: Kaspersky · SecurityMedia
@cbunit
Разбор целиком: cbunit.ru
Источники: Kaspersky · SecurityMedia
@cbunit
❢ HTTP2Shell: уязвимость Brotli затрагивает не только Node.js
▤ Разбор
Уязвимость CVE-2026-111497, получившая название HTTP2Shell, затрагивает реализацию декомпрессии Brotli. Изначально её связывали с Node.js, но теперь известно, что она распространяется шире.
Уязвимость может привести к удалённому выполнению кода. Для её эксплуатации злоумышленник должен иметь возможность передать атакующему контролируемые данные, сжатые с помощью Brotli, уязвимой реализации декомпрессора. Приоритетом для защитников является обнаружение уязвимых компонентов, оценка возможности достижения цели и установка исправлений.
ⓘ Что такое Brotli
Brotli — это алгоритм сжатия данных с потерями, разработанный Google. Он используется для уменьшения размера веб-трафика, например, при передаче веб-страниц по протоколу HTTP.
Источники: Check Point · Ubuntu Security · Patchstack
@cbunit
▤ Разбор
Уязвимость CVE-2026-111497, получившая название HTTP2Shell, затрагивает реализацию декомпрессии Brotli. Изначально её связывали с Node.js, но теперь известно, что она распространяется шире.
Уязвимость может привести к удалённому выполнению кода. Для её эксплуатации злоумышленник должен иметь возможность передать атакующему контролируемые данные, сжатые с помощью Brotli, уязвимой реализации декомпрессора. Приоритетом для защитников является обнаружение уязвимых компонентов, оценка возможности достижения цели и установка исправлений.
ⓘ Что такое Brotli
Brotli — это алгоритм сжатия данных с потерями, разработанный Google. Он используется для уменьшения размера веб-трафика, например, при передаче веб-страниц по протоколу HTTP.
❝The vulnerability is associated with Brotli decompression, so defenders need to find vulnerable implementations across applications and infrastructure, confirm whether untrusted compressed data can reach them, and patch the affected component.❞
— Check Point
Источники: Check Point · Ubuntu Security · Patchstack
@cbunit
.NET: уязвимости в Blazor, Brotli и обработке файлов
В .NET обнаружены уязвимости, позволяющие удалённо выполнить код или повысить привилегии.
Уязвимость в отладчике .NET Blazor WebAssembly (CVE-2026-102870) позволяла злоумышленнику выполнить произвольный код. Исправление для этой уязвимости было выпущено ранее, но оказалось неполным. Проблема затрагивала только версии dotnet10 и dotnet11.
Уязвимость в библиотеке Brotli (CVE-2026-111497) позволяла удалённому атакующему вызвать отказ в обслуживании или выполнить произвольный код. Уязвимость связана с некорректной обработкой сжатых потоков.
Ещё одна уязвимость (CVE-2026-114148) позволяла локальному атакующему повысить свои привилегии. Проблема заключалась в некорректной обработке .NET прав собственности на файлы.
ⓘ Отладчик .NET Blazor WebAssembly
.NET Blazor WebAssembly — это фреймворк для создания интерактивных веб-интерфейсов на C# и .NET, работающий в браузере. Отладчик используется для поиска и исправления ошибок в приложениях.
Источники: Ubuntu Security · Patchstack
@cbunit
В .NET обнаружены уязвимости, позволяющие удалённо выполнить код или повысить привилегии.
Уязвимость в отладчике .NET Blazor WebAssembly (CVE-2026-102870) позволяла злоумышленнику выполнить произвольный код. Исправление для этой уязвимости было выпущено ранее, но оказалось неполным. Проблема затрагивала только версии dotnet10 и dotnet11.
Уязвимость в библиотеке Brotli (CVE-2026-111497) позволяла удалённому атакующему вызвать отказ в обслуживании или выполнить произвольный код. Уязвимость связана с некорректной обработкой сжатых потоков.
Ещё одна уязвимость (CVE-2026-114148) позволяла локальному атакующему повысить свои привилегии. Проблема заключалась в некорректной обработке .NET прав собственности на файлы.
ⓘ Отладчик .NET Blazor WebAssembly
.NET Blazor WebAssembly — это фреймворк для создания интерактивных веб-интерфейсов на C# и .NET, работающий в браузере. Отладчик используется для поиска и исправления ошибок в приложениях.
Источники: Ubuntu Security · Patchstack
@cbunit
WordPress 7.1.4: RCE без аутентификации эксплуатируется после релиза
WordPress выпустила версию 7.1.4, устраняющую 22 уязвимости. Наиболее серьёзная из них — RCE без аутентификации, связанная с состоянием гонки в процессе обновления ядра.
Злоумышленники уже пытаются её эксплуатировать. Уязвимость позволяет выполнить произвольный код на сервере во время обновления, если атакующему удастся попасть в узкое окно. Для защиты пользователям рекомендуется проверить обновление WordPress до версии 7.1.4.
ⓘ Что такое RCE
RCE (Remote Code Execution) — это тип уязвимости, позволяющий злоумышленнику выполнить произвольный код на удалённом компьютере. Это даёт атакующему полный контроль над скомпрометированной системой.
Источник: Wordfence
@cbunit
WordPress выпустила версию 7.1.4, устраняющую 22 уязвимости. Наиболее серьёзная из них — RCE без аутентификации, связанная с состоянием гонки в процессе обновления ядра.
Злоумышленники уже пытаются её эксплуатировать. Уязвимость позволяет выполнить произвольный код на сервере во время обновления, если атакующему удастся попасть в узкое окно. Для защиты пользователям рекомендуется проверить обновление WordPress до версии 7.1.4.
ⓘ Что такое RCE
RCE (Remote Code Execution) — это тип уязвимости, позволяющий злоумышленнику выполнить произвольный код на удалённом компьютере. Это даёт атакующему полный контроль над скомпрометированной системой.
❝WordPress 7.1.4 is a security release addressing a broad set of issues in WordPress Core, including stored cross-site scripting, denial of service, information disclosure, authorization weaknesses, and a race condition that can result in remote code execution.❞
— WordPress
Источник: Wordfence
@cbunit
❢ Binance потеряла $6,3 млрд из-за взлома, связанного с КНДР
Хакеры украли $6,3 млрд в криптовалюте с платформы Binance. Инцидент произошел в четверг вечером и, вероятно, является крупнейшей кражей криптовалюты в истории.
По данным компаний, занимающихся безопасностью блокчейна, украденные средства направлялись через адреса, ранее связанные с северокорейскими хакерами. Binance установила, что взлом произошел из-за скомпрометированного ноутбука сотрудника. Злоумышленники получили доступ к системам, позволившим проводить несанкционированные транзакции по выводу средств.
ⓘ Кто такие TraderTraitor
TraderTraitor — хакерская группа, предположительно связанная с КНДР. Эксперты считают её наиболее частым виновником громких краж криптовалют. Группа использовала небольшие транзакции в Tornado Cash для финансирования операционного кошелька и готовила атаки заранее, исполняя их одним пакетом.
Источники: The Record · Anti-Malware · «Хакер» · BleepingComputer · SecurityWeek · TechRadar Pro · РБК · Chainalysis · Malwarebytes Labs
@cbunit
Хакеры украли $6,3 млрд в криптовалюте с платформы Binance. Инцидент произошел в четверг вечером и, вероятно, является крупнейшей кражей криптовалюты в истории.
По данным компаний, занимающихся безопасностью блокчейна, украденные средства направлялись через адреса, ранее связанные с северокорейскими хакерами. Binance установила, что взлом произошел из-за скомпрометированного ноутбука сотрудника. Злоумышленники получили доступ к системам, позволившим проводить несанкционированные транзакции по выводу средств.
ⓘ Кто такие TraderTraitor
TraderTraitor — хакерская группа, предположительно связанная с КНДР. Эксперты считают её наиболее частым виновником громких краж криптовалют. Группа использовала небольшие транзакции в Tornado Cash для финансирования операционного кошелька и готовила атаки заранее, исполняя их одним пакетом.
Источники: The Record · Anti-Malware · «Хакер» · BleepingComputer · SecurityWeek · TechRadar Pro · РБК · Chainalysis · Malwarebytes Labs
@cbunit
Пиратские книги и фишинг: как злоумышленники атакуют читателей
Злоумышленники используют интерес к электронным книгам для распространения вредоносного ПО и проведения фишинговых атак. Пользователи, скачивающие книги с пиратских сайтов, рискуют загрузить майнеры или стилеры, крадущие пароли и данные криптокошельков. Сайты, занимающиеся поисковым спамом, могут автоматически генерировать страницы для скачивания несуществующих книг, перенаправляя пользователей на вредоносные ресурсы.
Фишинговые схемы включают рассылку фальшивых писем от имени книжных сообществ, таких как Goodreads, с предложением фиктивных услуг для вымогательства денег. Также распространены поддельные предложения скидок от известных книжных магазинов, ведущие на сайты, оформляющие платные подписки. Злоумышленники маскируют фишинговые сайты под пиратские библиотеки, используя их для сбора данных пользователей, включая имена, адреса электронной почты, хеши паролей и даже адреса криптокошельков.
Электронные ридеры представляют меньший интерес для атак из-за сложности предугадывания пользовательских устройств и доступа к сети. Однако более продвинутые модели с доступом в интернет и возможностью установки сторонних приложений могут стать целью. История чтения также может быть использована злоумышленниками для доксинга, если произойдет утечка данных или взлом аккаунта книжного сервиса.
Источник: Kaspersky Daily
@cbunit
Злоумышленники используют интерес к электронным книгам для распространения вредоносного ПО и проведения фишинговых атак. Пользователи, скачивающие книги с пиратских сайтов, рискуют загрузить майнеры или стилеры, крадущие пароли и данные криптокошельков. Сайты, занимающиеся поисковым спамом, могут автоматически генерировать страницы для скачивания несуществующих книг, перенаправляя пользователей на вредоносные ресурсы.
Фишинговые схемы включают рассылку фальшивых писем от имени книжных сообществ, таких как Goodreads, с предложением фиктивных услуг для вымогательства денег. Также распространены поддельные предложения скидок от известных книжных магазинов, ведущие на сайты, оформляющие платные подписки. Злоумышленники маскируют фишинговые сайты под пиратские библиотеки, используя их для сбора данных пользователей, включая имена, адреса электронной почты, хеши паролей и даже адреса криптокошельков.
Электронные ридеры представляют меньший интерес для атак из-за сложности предугадывания пользовательских устройств и доступа к сети. Однако более продвинутые модели с доступом в интернет и возможностью установки сторонних приложений могут стать целью. История чтения также может быть использована злоумышленниками для доксинга, если произойдет утечка данных или взлом аккаунта книжного сервиса.
Источник: Kaspersky Daily
@cbunit
Уязвимость GitLab с оценкой 10/10 эксплуатировалась против Alpine Linux
Уязвимость в GitLab, отслеживаемая как CVE-2026-97229, эксплуатировалась через неделю после раскрытия в попытке атаки на Alpine Linux.
Уязвимость связана с недостаточной валидацией регулярных выражений в Onigmo, движке регулярных выражений Ruby. Она позволяла неаутентифицированному пользователю выполнять произвольный код на сервере GitLab через специально сформированное регулярное выражение в конфигурации CI/CD.
Атакующий использовал эксплойт CVE-2026-97229 против экземпляра GitLab Alpine Linux 20 и 21 октября. Атака не удалась, но дистрибутив Linux пересобрал экземпляр с нуля. Уязвимость не была исправлена обновлением GitLab до версии 19.3.6, поскольку она находится в Ruby, а не в самом GitLab. Для устранения требуется обновление Ruby до версии 3.3.13, 3.4.12, 4.0.9 или выше.
Источники: SecurityWeek · T.Hunter
@cbunit
Уязвимость в GitLab, отслеживаемая как CVE-2026-97229, эксплуатировалась через неделю после раскрытия в попытке атаки на Alpine Linux.
Уязвимость связана с недостаточной валидацией регулярных выражений в Onigmo, движке регулярных выражений Ruby. Она позволяла неаутентифицированному пользователю выполнять произвольный код на сервере GitLab через специально сформированное регулярное выражение в конфигурации CI/CD.
Атакующий использовал эксплойт CVE-2026-97229 против экземпляра GitLab Alpine Linux 20 и 21 октября. Атака не удалась, но дистрибутив Linux пересобрал экземпляр с нуля. Уязвимость не была исправлена обновлением GitLab до версии 19.3.6, поскольку она находится в Ruby, а не в самом GitLab. Для устранения требуется обновление Ruby до версии 3.3.13, 3.4.12, 4.0.9 или выше.
Источники: SecurityWeek · T.Hunter
@cbunit
Модель ИИ Anthropic нашла уязвимость в ядре Linux, дающую root-доступ
Модель ИИ от Anthropic обнаружила уязвимость в ядре Linux, позволяющую удалённо выполнить код с правами root.
Уязвимость CVE-2026-98432 представляет собой состояние гонки, приводящее к использованию освобождённой памяти (use-after-free) в сетевом стеке ядра. Эксплойт позволяет неаутентифицированному злоумышленнику выполнить произвольные команды без взаимодействия с пользователем.
Уязвимость затрагивает восемь веток ядра Linux, начиная с версии 4.4. Исправленные версии включают 5.10.272, 5.15.223, 6.6.159, 6.1.190, 6.12.113, 6.18.56, 7.2.10 и 7.3-rc7. Обновлённые пакеты ядра доступны для некоторых дистрибутивов, включая Debian, Oracle Linux, SUSE и Amazon Linux. Ubuntu и Red Hat Enterprise Linux ещё не выпустили исправления.
ⓘ Что такое Multipath TCP
Multipath TCP (MPTCP) расширяет стандартный TCP, позволяя устройству использовать несколько сетевых интерфейсов одновременно в рамках одного соединения. Это улучшает агрегацию пропускной способности и отказоустойчивость сети. В Linux MPTCP является опциональным и требует явного запроса при создании сокетов.
Источники: CSO Online · Хабр / Новости
@cbunit
Модель ИИ от Anthropic обнаружила уязвимость в ядре Linux, позволяющую удалённо выполнить код с правами root.
Уязвимость CVE-2026-98432 представляет собой состояние гонки, приводящее к использованию освобождённой памяти (use-after-free) в сетевом стеке ядра. Эксплойт позволяет неаутентифицированному злоумышленнику выполнить произвольные команды без взаимодействия с пользователем.
Уязвимость затрагивает восемь веток ядра Linux, начиная с версии 4.4. Исправленные версии включают 5.10.272, 5.15.223, 6.6.159, 6.1.190, 6.12.113, 6.18.56, 7.2.10 и 7.3-rc7. Обновлённые пакеты ядра доступны для некоторых дистрибутивов, включая Debian, Oracle Linux, SUSE и Amazon Linux. Ubuntu и Red Hat Enterprise Linux ещё не выпустили исправления.
ⓘ Что такое Multipath TCP
Multipath TCP (MPTCP) расширяет стандартный TCP, позволяя устройству использовать несколько сетевых интерфейсов одновременно в рамках одного соединения. Это улучшает агрегацию пропускной способности и отказоустойчивость сети. В Linux MPTCP является опциональным и требует явного запроса при создании сокетов.
❝The upstream fix addresses the memory-management problem by deferring the release of the affected objects until after a read-copy-update (RCU) grace period, giving concurrent readers time to finish accessing them.❞
— Linux kernel CVE advisory
Источники: CSO Online · Хабр / Новости
@cbunit
Хакер Syrian Electronic Army получил 42 месяца за обрушение рынка на $136 млрд
Сирийского хакера Ахмада Умара Агу приговорили к 42 месяцам тюрьмы в США. Он участвовал в заговоре, направленном против западных СМИ. Группировка Syrian Electronic Army действовала с 2011 года, используя фишинг для кражи паролей и последующего взлома сайтов и аккаунтов в соцсетях.
В 2013 году хакеры взломали аккаунт Associated Press в Twitter и опубликовали ложное сообщение о ранении Барака Обамы. Этот взлом вызвал падение индекса Dow Jones на $136 млрд. Аgha признал, что целью атаки было обрушение индекса.
Всего Аgha взломал около 47 западных медиа, компаний и государственных организаций. Он также пытался получить доступ к аккаунтам Белого дома в соцсетях. Многие жертвы понесли значительные финансовые убытки на восстановление и усиление безопасности.
Источники: The Hacker News · The Record · CyberScoop
@cbunit
Сирийского хакера Ахмада Умара Агу приговорили к 42 месяцам тюрьмы в США. Он участвовал в заговоре, направленном против западных СМИ. Группировка Syrian Electronic Army действовала с 2011 года, используя фишинг для кражи паролей и последующего взлома сайтов и аккаунтов в соцсетях.
В 2013 году хакеры взломали аккаунт Associated Press в Twitter и опубликовали ложное сообщение о ранении Барака Обамы. Этот взлом вызвал падение индекса Dow Jones на $136 млрд. Аgha признал, что целью атаки было обрушение индекса.
Всего Аgha взломал около 47 западных медиа, компаний и государственных организаций. Он также пытался получить доступ к аккаунтам Белого дома в соцсетях. Многие жертвы понесли значительные финансовые убытки на восстановление и усиление безопасности.
Источники: The Hacker News · The Record · CyberScoop
@cbunit