Ищем тех, кто может и хочет рассказать про реальный AppSec

Если это вы, зовем вас стать спикером первой позитивной конференции по безопасной разработке — Positive AppSec Conf, — которая пройдет 18 ноября в Кибердоме.

На ней соберутся гуру безопасной разработки, практики DevSecOps и эксперты кибербеза. Будем обсуждать, как находить и устранять уязвимости, встраивать проверки в процессы разработки и защищать ПО уже после вывода в эксплуатацию.

Если вам есть что сказать без воды, без «идеального плана» и «успешного успеха» — выбирайте подходящую тему и заявляйте доклад до 10 октября.

На Positive AppSec Conf честно и по делу собираемся обсуждать:

1️⃣ Когда уже нас заменит ИИ и мы будем только получать деньги?

Разберемся, где нейросети реально облегчают жизнь, а где — генерируют новые задачи, которые никто не планировал.

2️⃣ Какие AppSec-инструменты реально снижают риски, а какие — просто генерят красивые отчеты для аудита?

Поговорим о том, что действительно работает, а что съедает бюджет без ощутимой пользы.

3️⃣ Цепочка поставок и open source: как одна уязвимость бьет по десяткам компаний одновременно.

Узнаем, как не оказаться в этой статистике.

4️⃣ Нашли тысячу уязвимостей. И что дальше?

Обсудим, как измерять эффективность AppSec не количеством найденных багов, а возможностью их реальной эксплуатации и влиянием на бизнес.

5️⃣ Уязвимостей становится больше, а бюджеты не растут. Что делать?

Поищем рабочие стратегии без иллюзий и с оглядкой на реальность.

От докладчиков мы хотим самого важного — честности и реального опыта. Такого, как есть: со сбоями, находками и неочевидными ответами на вопросы. Нам не нужны гладкие истории, нам нужны работающие решения.

Если они у вас есть, ждем ваших заявок.

@Positive_Technologies

Обновляем гитлабчики 💅💅💅

CVE-2026-85706 - Path Traversal issue in repository commits API impacts GitLab CE/EE

GitLab has remediated an issue that, under certain conditions, an unauthenticated user could have read arbitrary files from the GitLab server due to improper path confinement and missing authentication enforcement in the repository commits API.
Impacted Versions: GitLab CE/EE: all versions from 18.7 before 19.1.8, 19.2 before 19.2.6, and 19.3 before 19.3.2

CVSS 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N)
Thanks s3ntago for reporting this vulnerability through our HackerOne bug bounty program.

CVE-2026-87719 - Insecure Deserialization issue in GraphQL subscription serializer impacts GitLab EE

GitLab has remediated an issue that, under certain conditions, could allow an authenticated user with Duo Chat access to obtain Advanced Search instance configurations and sensitive credentials using a specially crafted GraphQL subscription argument to bypass serialization and perform server object lookup.
Impacted Versions: GitLab EE: all versions from 18.3 before 19.1.8, 19.2 before 19.2.6, and 19.3 before 19.3.2

CVSS 9.9 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)
Thanks kyyblin for reporting this vulnerability through our HackerOne bug bounty program.

GitLab Critical Patch Release: 19.3.2, 19.2.6, 19.1.8
https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-3-2-released/?nav=19.3.2

10/10 и 9.9/10 за раз это реально круто, давно такого не видел. Так что реально обновляемся.

Новая модель OpenAI Astra 6 прошла все 48 заданий игры "I'm Not a Robot". Тему с CAPTCHA можно закрывать – больше от нее никакого смысла нет – один вред и унижение. Так что если у вас при входе на сайт стоит капча для защиты от DDoS или от ботов, можете смело ее убирать, – обойти ее уже несложно, а легальные пользователи не будут страдать.

PS. А вы сколько уровень этой игры прошли?

#аутентификация #геймификация