🚩 Новые задания на платформе HackerLab!

👩‍💻  Категория Pentest Machines (Linux) — F_IndiaHotel

Приятного хакинга!

90 секунд до account takeover: почему password reset — самое слабое звено вашей инфраструктуры

Два часа разведки, fingerprinting стека, изучение периметра — а захват аккаунта администратора занял полторы минуты. Один POST-запрос к эндпоинту сброса пароля, и сервер молча принял новый пароль без email-подтверждения. Без токена. Без верификации текущего пароля. Просто взял и сбросил.

Это не теоретическая атака. Два свежих CVE показывают, как именно это работает на практике.

🎇CVE-2026-23760 (SmarterMail) — CVSS 9.8, CRITICAL

Эндпоинт /api/v1/auth/force-reset-password принимал анонимные запросы. Отправляешь POST с именем пользователя и новым паролем — готово, аккаунт твой. Никакой аутентификации, никакого reset-токена. Уязвимы все версии до билда 9511.

Насколько это серьёзно? CISA добавила уязвимость в каталог Known Exploited Vulnerabilities и пометила связь с ransomware-кампаниями. EPSS — 0.9654, то есть Top 0.12% по вероятности эксплуатации среди всех CVE в базе. Публичный PoC на GitHub, готовый Nuclei-шаблон — порог входа для атакующего практически нулевой.

🎇CVE-2026-18963 (Keycloak) — CVSS 9.1, CRITICAL

Тут другой паттерн, но результат тот же. Некорректная проверка состояния в потоке reset-credentials: атакующий отправлял специально сформированный запрос, и сессия перескакивала сразу к этапу обновления пароля, минуя email-верификацию. Уязвимы Keycloak до 26.7.2, RHBK 26.4 до 26.4.15, RHBK 26.6 до 26.6.6.

Пока активной эксплуатации не зафиксировано, но CISA оценивает автоматизируемость как yes, а технический импакт — total. Три публичных PoC на GitHub. Вопрос не «если», а «когда».

Что делать прямо сейчас:

• SmarterMail — обновиться до билда 9511+. Если патч невозможен — WAF-правило на блокировку POST к /api/v1/auth/force-reset-password и IP-whitelist для админки
• Keycloak — обновиться до 26.7.2. Временная мера: отключить Forgot Password в каждом realm через Realm Settings → Login. Глобального переключателя нет, придётся пройтись по каждому
• На пентесте — проверяйте эндпоинты сброса пароля в Burp Repeater: отправьте запрос на reset, перехватите, попробуйте перескочить к финальному шагу без токена

Общий паттерн у обеих CVE один: разработчики тестировали happy path — пользователь запросил сброс, получил email, перешёл по ссылке, ввёл новый пароль. А что если кто-то отправит запрос напрямую к API, минуя все промежуточные шаги? Этот сценарий просто не проверяли.

В полной версии — пошаговый чек-лист для Burp Suite, три паттерна эксплуатации и детальный разбор обеих CVE.

https://codeby.net/threads/uyazvimost-password-reset-razbor-cve-i-pentest.96019/

❗️ Новости недели (12 – 18 октября)
Разбираем события недели: от последствий атак на дата-центры до шпионских имплантов в криптокошельках.

1️⃣«Яндекс» восстанавливается после ударов по трём ЦОДам
Последствия атак на дата-центры «Яндекс» в Рязанской, Калужской и Владимирской областях оказались масштабнее, чем казалось на прошлой неделе. Сбои затронули не только российских пользователей, но и клиентов в других странах.
▶️Сильнее всего пострадал «Яндекс Пэй». Руководитель финтех-направления компании Дмитрий Пирогов обратился к пользователям с объяснением:

«Инфраструктура изначально создавалась так, чтобы данные об операциях реплицировались одновременно в нескольких дата-центрах. После недавних атак БПЛА на дата-центры «Яндекса» инженерам пришлось полностью перестраивать инфраструктуру, чтобы сохранить этот ключевой принцип и вернуть доступ к привычным функциям»

В компании заверили, что деньги пользователей не пострадали:

«Сами деньги не хранятся в дата-центре. Там находятся серверы, которые обеспечивают работу сервисов. Записи о каждом счете хранятся в нескольких копиях на разных площадках. Мы проверили их целостность: ни одна запись не потеряна»

В качестве компенсации «Яндекс» временно повысил ставку по «Яндекс Сейв» до 20% годовых и пообещал не учитывать просрочки, возникшие из-за технических проблем. «Яндекс Банк» также сообщил, что не будет начислять проценты за просрочку кредитных платежей.

2️⃣Хакеры устроили разморозку в сотнях супермаркетов Франции
Масштабная кибератака затронула холодильное оборудование сотен французских супермаркетов. Злоумышленники получили доступ к промышленным контроллерам Danfoss и дистанционно активировали режим разморозки.

Повышение температуры привело к порче продуктов и прямым финансовым потерям торговых сетей. Это не кража данных и не шифрование файлов, а атака на физические процессы.

Холодильники вышли из строя не из-за взлома IT-инфраструктуры, а через уязвимость в системах управления, которые обычно остаются без должного внимания.

3️⃣DeepSeek лежала почти 5 часов
Китайская нейросеть DeepSeek пережила масштабный сбой 15 октября. Веб-версия, мобильное приложение и API были недоступны с 8:11 до 13:04 по местному времени (4 часа 53 минуты).

Причиной назвали «单点依赖» (dān diǎn yī lài) - единую точку отказа. Компания заявила, что уже провела «всестороннюю проверку и полную реорганизацию», чтобы «решительно искоренить подобные проблемы»

В качестве компенсации DeepSeek вернула всем пользователям API стоимость потребления за 7 дней (с 8 по 14 октября) в виде бонусных средств. По данным китайских СМИ, это уже 5 сбой платформы за октябрь.

4️⃣В криптокошельках нашли шпионские импланты
Производитель аппаратных криптокошельков Ledger приостановил продажи через авторизованных посредников в Юго-Восточной Азии и Гонконге. Причиной служит обнаружение модифицированных устройств.

Внутри кошельков нашли скрытые электронные компоненты: дополнительную плату под экраном и LTE-модуль с eSIM. Имплант перехватывал изображение с дисплея в момент настройки и отправлял злоумышленникам секретную фразу восстановления из 24 слов. С ней можно полностью опустошить кошелёк

По данным аналитиков, общий ущерб оценивается в более 100 миллионов долларов. Ledger подтвердила как минимум один случай обнаружения импланта и начала расследование каналов поставок.

Источник: https://securitymedia.org/news/obzor-kiberatak-i-uyazvimostey-za-proshedshuyu-nedelyu-12-16-oktyabrya-2026-goda.html

#кибербезопасность #ИБ #кибератаки #Яндекс #Ledger #Франция #криптовалюта #news

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

✏ Adobe Experience Manager — цепочка из четырёх уязвимостей вела к RCE без аутентификации

Исследователи SL Cyber (Assetnote Security Research Team) обнаружили в облачной версии Adobe Experience Manager (AEM) цепочку из четырёх уязвимостей, которая позволяла неаутентифицированному атакующему добиться удалённого выполнения кода (RCE). Проблема касалась только cloud-версии AEM, уязвимости уже устранены.

🎇 Из чего состояла цепочка
По данным исследования, в связке были задействованы:
⏺️ неаутентифицированный массовый импорт в DAM (Digital Asset Management) — позволял анониму создавать ресурсы от имени сервисного аккаунта;
⏺️ хранимая (stored) XSS;
⏺️ небезопасный разбор XML;
⏺️ выполнение Groovy-кода через эндпоинт /bin/asynccommand — финальный шаг, дающий RCE.

🕵‍♂️ Логика атаки
Подробного пошагового PoC в публичном пересказе нет, но общая схема такова: атакующий без учётных данных создаёт нужные ресурсы через уязвимый импорт в DAM, с помощью XSS и небезопасного разбора XML добивается выполнения своего кода на стороне сервера, а через /bin/asynccommand запускает произвольный Groovy-скрипт — то есть получает полноценное выполнение кода на сервере AEM.

👌 Что известно про исправление
Уязвимости исправлены Adobe для облачной версии AEM. Точные номера CVE, оценки CVSS и список конкретных затронутых и исправленных версий в открытом пересказе исследования не раскрываются — подробности SL Cyber приводит в собственном техническом отчёте.

❗️ Почему это важно
AEM — сервис управления контентом, которым пользуются тысячи корпоративных сайтов, так что уязвимость такого класса — неаутентифицированный RCE — закрывает путь к компрометации сайта целиком: от подмены контента до выполнения кода на сервере. То, что для достижения RCE потребовалась связка сразу из четырёх разноплановых недочётов — от импорта данных до XSS и разбора XML, — типичный пример того, как низкокритичные по отдельности баги складываются в критическую цепочку.

#Adobe #AEM #RCE #XSS #XXE #Cybersecurity #InfoSec #Vulnerability #0day

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Источник: The Hacker News (https://thehackernews.com/2026/10/threatsday-adobe-rce-dns-wallet-theft.html)

60 баллов из 100 — и вы провалились. Почему OSCP без Active Directory больше не сдать

Один стажёр сделал всё идеально: три standalone-машины, три root-флага, 60 баллов. И получил письмо с отказом. Потому что проходной порог — 70. А бонусных баллов за упражнения курса больше нет. С ноября 2024 OffSec убрал ту самую «подушку» в 10 очков, которая позволяла игнорировать AD Set. Теперь арифметика безжалостна.

Расклад по баллам сегодня выглядит так:

• 3 standalone-машины — по 20 баллов (10 за foothold + 10 за privesc) = 60 максимум
• AD Set из 3 машин — 40 баллов (10 + 10 + 20 за Domain Controller)
• Порог: 70 из 100

Минимальная проходная комбинация: полный AD Set (40) + одна standalone с root (20) + foothold на второй (10). AD — не бонусный раунд, а центр тяжести экзамена.

Хорошая новость: AD Set теперь начисляет частичные баллы. Раньше было all-or-nothing — либо 40, либо ноль. Сейчас даже если застряли на DC, 20 баллов за первые два хоста уже ваши. Это принципиально меняет тактику на экзамене.

🎇Ещё одно ключевое изменение — формат assumed breach. AD-сценарий начинается не с поиска точки входа, а с готовых учётных данных обычного доменного пользователя. Вам дают что-то вроде jsmith:Password123 — дальше крутитесь сами. Это зеркалит реальный внутренний пентест: старт внутри периметра, lateral movement, цепочка до Domain Admin.

Типичный путь через AD Set выглядит так: энумерация через BloodHound или PowerView → Kerberoasting сервисных аккаунтов → дамп LSASS/SAM → Pass-the-Hash на промежуточный сервер → доменная эскалация → DC. Семь этапов, и каждый нужно довести до автоматизма.

Практический совет, который спасает часы на экзамене: всегда имейте план Б для BloodHound. Он может сломаться — конфликт версий, зависимости, что угодно. Ручная энумерация через net и PowerView должна быть отработана так же хорошо.

🎯И последнее. При успешной сдаче вы получаете сразу два сертификата: бессрочный OSCP и OSCP+ (действует 3 года). Часть работодателей уже требует именно OSCP+, так что продумайте путь продления заранее — через CPE-кредиты или старшую сертификацию.

Полный разбор структуры экзамена, стратегию распределения времени и чеклист подготовки — читайте в полной статье.

https://codeby.net/threads/oscp-ekzamen-struktura-2026-3-mashiny-ad-set.96020/

🚀 Приглашаем принять участие в Студенческом чемпионате «Кибербезопасность в финансах» Молодежной программы 365!

Киберчемпионат Банка России — командное соревнование для тех, кто учится на ИТ- и ИБ-специальностях.

Участников ждет погружение в мир кибербезопасности: решение практических задач, командная работа, взаимодействие с профильными экспертами, знакомство с единомышленниками и многое другое.

Какие будут этапы?
🔵 Онлайн-отбор: решение CTF-задач и командное интервью. Топ-10 команд получат приглашение в полуфинал
🔵 Подготовка к очному этапу: знакомство с киберполигоном, тестовые киберучения и совместная работа с профильными экспертами
🔵 Полуфинал и финал на Уральском форуме «Кибербезопасность в финансах» в Екатеринбурге: битва на киберполигоне, защита отчетов перед профильным жюри, а также доступ к деловой программе Форума

Кто может принять участие?
Команды из 4–5 человек — студентов бакалавриата, специалитета, магистратуры в возрасте от 18 до 25 лет.

✨ Не упусти возможность испытать себя на киберполигоне, поработать над реальными задачами и сразиться за призовой фонд — 1 500 000₽. Регистрация открыта по 3 декабря.

Подать заявку ↖️

OSINT (Open Source Intelligence) - разведка по открытым источникам. Сегодня это инструмент журналистов, аналитиков и обычных пользователей, но его история началась задолго до интернета.

⏺️Газеты вместо агентов
Термин OSINT появился в конце XX века, но сама практика применялась ещё в XIX веке. Во время Гражданской войны в США обе стороны активно использовали газеты для получения разведданных о численности и передвижении войск.
▶️Генерал Александер в мемуарах признавал, что военная информация из газет о численности и организации войск была лучше, чем сведения от его собственных агентов.
▶️Аналогично Наполеон полагался на британские газеты как источник военной информации, а русский царь на газеты во время Крымской войны.

«С таким количеством жизненно важной информации в печати, вражеские газеты стоило систематически приобретать», - заключал историк Масловски

⏺️Вторая мировая и радио
▶️В 1939 году британское правительство попросило BBC запустить службу мониторинга иностранной прессы и радиопередач (BBC Monitoring). В 1940 году цель службы описывали как создание «современной Вавилонской башни, где слышны голоса и друзей, и врагов».
▶️В 1941 году президент Рузвельт создал в США первую профессиональную структуру (Foreign Broadcast Monitoring Service - FBMS) для мониторинга, перевода и анализа радиопередач стран «оси». К концу 1942 года служба могла переводить более 500.000 слов в день с 25 радиостанций на 15 языках.
▶️В 1947 году FBMS перешла под контроль ЦРУ и стала называться Foreign Broadcast Information Service (FBIS). На протяжении холодной войны OSINT составлял значительную часть всей разведки по СССР и Китаю.

К началу 1960-х один из инсайдеров писал: «В совокупности открытые источники, вероятно, предоставляют большую часть всей информации, используемой для производства военной разведки по Советскому Союзу»

⏺️Рождение термина
Само слово «OSINT» появилось благодаря Роберту Дэвиду Стилу, бывшему офицеру ЦРУ. В 1990 году в статье «Intelligence in the 1990's: recasting national security in a changing world» он впервые использовал этот акроним. Стил выступал за создание информационной инфраструктуры, которая объединила бы HUMINT, SIGINT, IMINT и OSINT в единую систему анализа.

«Мы уделяли мало внимания открытым источникам (OSINT)…» - писал Стил, вводя термин в оборот

В 1992 году в США прошла первая конференция по теме, материалы которой были опубликованы в American Intelligence Journal. Однако признание приходило медленно.

⏺️11 сентября и реформа 2005 года
Теракты 11 сентября 2001 года изменили всё. Комиссия по расследованию 9/11 пришла к выводу о необходимости более широкого использования OSINT хотя бы для проверки выводов, полученных из секретных источников.
В 2005 году директор Национальной разведки США объявил о создании Open Source Center (OSC) на базе FBIS для сбора, анализа, исследования и управления информационными технологиями для использования новых открытых источников в масштабах всего правительства.

«Цифровая революция обеспечила подъём OSINT», - объясняет Эндрю Хаммонд, историк Международного музея шпионажа в Вашингтоне

⏺️От Bellingcat до обычных граждан
Сегодня OSINT вышел далеко за пределы спецслужб. Bellingcat и другие организации используют открытые источники для расследований. ИИ расширил возможности OSINT:
▶️терабайты данных можно обрабатывать на высокой скорости
▶️выявлять угрозы в онлайн-форумах с помощью анализа тональности
▶️идентифицировать людей и места на фотографиях с помощью геолокации

«Там может быть информация, которая поможет нам, например, предотвратить теракт в Лондоне. Но как найти иголку в стоге сена? Вот тут на помощь приходит ИИ», - говорит основатель Bellingcat Элиот Хиггинс

#OSINT #Разведка #Bellingcat #РобертСтил #ИИ #History

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🕸vigolium

Высокоточный сканер веб-уязвимостей, написанный на языке Go. Он сочетает в себе детерминированное модульное сканирование с агентным анализом на основе искусственного интеллекта, что обеспечивает широкий и глубокий охват проблем безопасности веб-приложений.

📌Ключевые компоненты
⏺️Vigolium CLI — выполняет всю логику сканирования, запускает модули и выполняет сложные задачи;
⏺️Vigolium Workbench — локальная панель управления для визуализации результатов сканирования, управления проектами и отслеживания результатов;
⏺️Vigolium Console — облачное решение, которое обеспечивает управляемое сканирование, совместную работу в команде и централизованную отчетность без необходимости самостоятельного хостинга.

Предоставляет два взаимодополняющих режима сканирования:
1️⃣Native Scan. Детерминированное многоэтапное сканирование с использованием 331 модулей для обнаружения контента, парсинга браузеров и одностраничных приложений, а также активного и пассивного аудита, охватывающего классы уязвимостей, связанных с внедрением кода, контролем доступа, файлами и путями, API и протоколами, фреймворками, облачными технологиями и инфраструктурой, а также внеполосным сканированием (OAST).

2️⃣Agentic Scan. Сканирование на основе искусственного интеллекта. Агент автономно обнаруживает конечные точки, выполняет сканирование и сортировку результатов, сочетая глубокий аудит исходного кода с автономным и целенаправленным сканированием уязвимостей. Все запросы к ИИ направляются через встроенный механизм olium, который поддерживает одиннадцать провайдеров.

⬇️Установка

curl -fsSL https://vigolium.com/install.sh | bash
#or
npm install -g @vigolium/vigolium

Для Windows можно также скачать файл vigolium_0.5.4_windows_amd64.zip со страницы релизов.

Использование
➡️Native Scan

# Сканирование только определенных модулей
vigolium scan -t https://example.com -m xss-reflected,sqli-error

# Передача URL-адресов из стандартного потока ввода
cat urls.txt | vigolium scan

➡️Аутентифицированное сканирование

# Встроенный сеанс через флаг командной строки (имя:Заголовок:значение)
vigolium scan -t https://example.com --auth "admin:Cookie:session_id=abc123"

# Добавление пользовательских заголовков 
vigolium scan -t https://example.com -H "Authorization: Bearer token123"

➡️Agentic Scan

# Автономное AI-сканирование
vigolium agent autopilot -t https://example.com

# Аудит исходного кода
vigolium agent audit --source ./src

#tools #LLM #vulnerabilities

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

PHP2Shell: критические уязвимости в PHP. Две уязвимости с оценкой CVSS 9.2 позволяют удалённо выполнить код на 70% всех веб-сайтов без аутентификации.

21 октября 2026 года исследователи Calif Research опубликовали подробный разбор двух критических уязвимостей PHP, получивших название php2shell. Исправления уже выпущены, однако масштаб использования PHP и сложность обновления серверов создают условия для массовых атак.

В чем заключается проблема❓
Уязвимости зарегистрированы под идентификаторами CVE-2026-109618 и CVE-2026-109619 и связаны с некорректной обработкой памяти при возникновении ошибок во время обработки HTTP-запросов.

Механизмы эксплуатации разные:
1️⃣CVE-2026-109618 — RCE через повреждение состояния при исчерпании памяти. Когда PHP превышает установленный лимит памяти и аварийно завершает обработку запроса, некоторые внутренние структуры могут оказаться частично инициализированными. Последующая очистка использует некорректное состояние.
2️⃣CVE-2026-109619 — RCE через устаревшее глобальное состояние. Внутренние структуры продолжают ссылаться на уже освобождённую память. При обработке последующего запроса оставшееся состояние может быть использовано повторно, что создаёт условия для эксплуатации.

❗️В результате атакующий может добиться удалённого выполнения кода, раскрытия данных или нарушения доступности сервиса.

Официальное описание можно найти в бюллетени.

🧿Масштаб проблемы

PHP используется почти на 70% веб-сайтов. Уязвимости php2shell затрагивают саму среду выполнения PHP. Уязвимы все версии PHP начиная с PHP 5. По оценке одного исследователя в сфере кибербезопасности, уязвимость затрагивает более 1,3 млн, подключённых к интернету хостов.

Из-за потенциального масштаба проблемы отдельные организации решили временно отключить публичные сервисы, пока не смогут установить исправления.

Как сообщает Reuters, меры затронули сайты государственных ведомств и организаций в Нидерландах, Франции, Дании и Финляндии.

🪧Что делать администраторам?

Международные команды реагирования призвали администраторов как можно скорее обновить PHP, а при невозможности своевременно установить исправления — ограничить доступ к уязвимым сервисам или временно отключить их.

Разработчики PHP уже выпустили исправления. Для основных поддерживаемых веток необходимо обновиться как минимум до следующих версий: PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35.

🔎Для PHP 8.1 и более старых веток официальный проект больше не выпускает обновления.

#PHP #news #rce

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🦈BruteShark

Инструмент сетевого криминалистического анализа (Network Forensic Analysis Tool, NFAT), который выполняет глубокую обработку и проверку сетевого трафика (в основном файлов PCAP, но также может осуществлять прямой захват трафика с сетевого интерфейса.

Решение имеет трехуровневую архитектуру, включающую один или несколько проектов на каждом уровне — DAL, BLL и PL. Разделение между уровнями достигается за счет того, что каждый проект ссылается только на свои собственные объекты

Функционал
⏺️Извлечение и кодирование имен пользователей и паролей (HTTP, FTP, Telnet, IMAP, SMTP...);
⏺️Извлечение хэш-значений аутентификации и их взлом с помощью Hashcat (Kerberos, NTLM, CRAM-MD5, HTTP-Digest...);
⏺️Построение визуальной схемы сети (узлы сети, открытые порты, пользователи домена);
⏺️Извлечение DNS-запросов;
⏺️Восстановление всех TCP- и UDP-сессий;
⏺️File Carving;
⏺️Извлечение VoIP-вызовов (SIP, RTP).

⬇️Установка
➡️Windows
Для настольной версии скачайте установщик BruteSharkDesktop для Windows (64-разрядная версия).
Для версии CLI скачайте исполняемый файл BruteSharkCli для Windows 10.

➡️Linux
Скачайте BruteSharkCli и просто запустите его:

wget https://github.com/odedshimon/BruteShark/releases/latest/download/BruteSharkCli
./BruteSharkCli

🔎Использование
При загрузке больших pcap файлов рекомендуется выбирать только необходимые модули.

1️⃣Получить учетные данные из всех файлов в каталоге (пароли и хэш-значения будут выведены в стандартный поток вывода):

 BruteSharkCli -m Credentials -d "<TODO>\Pcap Files"

2️⃣Получить учетные данные из всех файлов в каталоге, а также экспортировать извлеченные хэш-значения (если они есть) во входные файлы Hashcat.

 BruteSharkCli -m Credentials -d <TODO>\Pcap_Examples -o <TODO>\Results

3️⃣Запуск нескольких модулей для всех файлов в каталоге, а также экспорт всех результатов.

 BruteSharkCli -m Credentials,NetworkMap,FileExtracting -d <TODO>\Pcap_Examples -o <TODO>\Results

🚗Искать и анализировать следы кибервзломов (анализ артефактов, работа с opensource инструментами) можно научиться на курсе Цифровая криминалистика и реагирование на инциденты ОС Linux (DFIR), который стартует 26 октября. Успейте записаться!🎇

#dfir #tools #network

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером