Атаки на цепочки поставок ПО в 2026: что изменилось

2026 год стал переломным для атак на цепочки поставок программного обеспечения — не по количеству разовых громких инцидентов, а по масштабу и скорости, с которой злоумышленники научились превращать доверенные репозитории пакетов в оружие. По данным аналитиков, доля атак через цепочки поставок среди значимых облачных инцидентов выросла с 10% до 25% всего за первое полугодие — абсолютное число значимых инцидентов более чем удвоилось. Самые технически изощрённые случаи года 11 мая 2026 года группировка TeamPCP провела одну из самых быстрых и масштабных атак в истории npm: за шесть минут было опубликовано 84 вредоносные версии пакетов в рамках 42 пакетов из пространства имён @tanstack/*. Начальным вектором стал скомпрометированный CI/CD-пайплайн TanStack на GitHub Actions. В том же кластере атак злоумышленники опубликовали вредоносный npm-пакет @bitwarden/cli версии 2026.4.0, маскирующийся под легитимный интерфейс командной строки популярного менеджера…

Читать: https://online-computer.ru/kiberbez/supply-chain-atak-2026-chto-izmenilos/

Постквантовая криптография на практике: кто из вендоров уже перешёл

Разговоры о постквантовой криптографии (PQC) долго звучали как разговоры о далёком будущем. В 2026 году ситуация изменилась: гибридный постквантовый обмен ключами уже включён по умолчанию в основных браузерах и работает у большинства пользователей интернета, даже если они об этом не подозревают. Разбираемся, кто из крупных вендоров — браузеров, мессенджеров и VPN-сервисов — уже реально перешёл на PQC-алгоритмы, а кто только обещает. Браузеры: постквантовое шифрование стало нормой Гибридный обмен ключами ML-KEM уже включён по умолчанию у большинства крупных браузеров. Chrome начиная с версии 131 включает ML-KEM-768 в гибридном режиме по умолчанию для всех соединений TLS 1.3. Firefox с версии 135 добавил поддержку ML-KEM в гибридном режиме, комбинируя его с классическим X25519 — то есть соединение защищено сразу двумя алгоритмами одновременно, и его придётся взломать оба, чтобы получить доступ к данным. Edge,…

Читать: https://online-computer.ru/postkvantum/pqc-vendory-2026-kto-perekhodit/

Третья за девять месяцев цепочка уязвимостей нулевого дня в SonicWall SMA1000

1 сентября 2026 года компания SonicWall сообщила об активной эксплуатации двух новых уязвимостей в устройствах удалённого доступа SMA1000 — цепочка позволяет злоумышленникам получать полный контроль над устройством без каких-либо учётных данных. Уже на следующий день, 2 сентября, обе уязвимости попали в каталог активно эксплуатируемых угроз CISA KEV с трёхдневным сроком устранения для федеральных агентств США. Для отрасли это не разовый инцидент: за девять месяцев SonicWall SMA1000 становится мишенью подобной атаки уже в третий раз. Что именно произошло Уязвимости получили номера CVE-2026-83548 и CVE-2026-83549. Первая — это предаутентификационная SSRF-уязвимость (server-side request forgery) в интерфейсе Appliance Work Place, оценённая в максимальные 10.0 баллов по CVSS v3.1: она позволяет неаутентифицированному злоумышленнику через нештатный альтернативный путь доступа получить доступ к чувствительным функциям устройства. Вторая, CVE-2026-83549, — это уязвимость внедрения команд ОС в консоли управления…

Читать: https://online-computer.ru/kiberbez/sonicwall-sma1000-tretya-cepochka-zero-day-2026/

Apple представила iPhone 18 Pro на первом 2-нанометровом чипе A20 Pro

Apple 9 сентября провела презентацию «Surprise and shine», на которой показала iPhone 18 Pro и iPhone 18 Pro Max — первые смартфоны компании на чипе, изготовленном по 2-нанометровому техпроцессу. Событие примечательно не только характеристиками новых устройств: это первая крупная презентация под руководством нового операционного директора-преемника Джона Тернуса, сменившего Тима Кука на посту CEO 1 сентября. Для индустрии это скорее контрольная точка, чем сенсация — переход на 2 нм в массовом производстве обсуждался несколько лет, и то, как Apple им распорядилась, показывает, куда в ближайший год будет двигаться весь рынок флагманских процессоров. Что показали на презентации Главные герои презентации — iPhone 18 Pro и iPhone 18 Pro Max. Оба построены на новом процессоре A20 Pro, получили камеру с переменной диафрагмой, переработанный Dynamic Island и новую систему охлаждения. Apple сделала ставку не…

Читать: https://online-computer.ru/gadzhety/apple-iphone-18-pro-a20-pro-2nm-chip/

Патч-вторник сентября 2026: рекорд Microsoft и волна критических уязвимостей на периметре сети

8 сентября 2026 года Microsoft выпустила очередной ежемесячный набор обновлений безопасности — так называемый Patch Tuesday, — и на этот раз он оказался рекордным по объёму: по разным подсчётам исследователей, компания закрыла от 964 до 974 уязвимостей одновременно, включая два бага, которые уже активно эксплуатировались злоумышленниками до выхода патчей. Расхождение в цифрах между отчётами SecurityWeek, Tenable и других лабораторий объясняется тем, что часть уязвимостей учитывается в нескольких продуктовых линейках сразу — но даже по консервативной оценке это один из самых крупных релизов за всю историю программы. И это лишь часть картины: в те же дни CISA добавила в свой каталог активно эксплуатируемых уязвимостей три критические бреши в оборудовании Cisco, Citrix и Fortinet, а SonicWall закрыла пару максимально опасных дыр в собственных шлюзах удалённого доступа. Что именно произошло Основной объём сентябрьских…

Читать: https://online-computer.ru/kiberbez/patch-tuesday-sentyabr-2026-microsoft-cisco-citrix-fortinet/

Сентябрьский Patch Tuesday Microsoft: почти тысяча исправлений и два уязвимых нулевого дня

8 сентября 2026 года Microsoft выпустила один из самых объёмных пакетов исправлений в истории программы Patch Tuesday — по разным подсчётам исследовательских команд, от 964 до 974 уязвимостей в одном релизе. Расхождение в цифрах объясняется тем, что разные компании по-разному учитывают повторяющиеся записи для одной и той же уязвимости в разных версиях Windows, но порядок величины бесспорен: это рекордный для сентября объём за всю историю программы. Куда важнее числа то, что среди исправленного оказались две уязвимости, которые злоумышленники уже эксплуатировали до выхода патча, и ещё одна — с максимально возможной практической опасностью, хоть и без подтверждённых атак. Рекордный объём и что в нём тонет Большой набор исправлений — это не просто статистика для отчётов ИБ-отделов. Чем больше уязвимостей закрывается одновременно, тем выше риск, что администраторы физически не успеют приоритизировать патчи…

Читать: https://online-computer.ru/kiberbez/microsoft-patch-tuesday-sentyabr-2026-zero-day/

Испанский регулятор впервые зафиксировал утечку данных, вызванную автономным ИИ-агентом

Испанское агентство по защите данных AEPD (Agencia Española de Protección de Datos) 15 сентября 2026 года сообщило, что получило первое в истории страны уведомление об утечке персональных данных, в котором в качестве исполнителя атаки указан не человек и не классическое вредоносное ПО, а автономный ИИ-агент. Формально это рядовое уведомление о нарушении в рамках европейского GDPR — таких агентство получает сотни в год. Но именно формулировка в документе делает случай прецедентным: организация-жертва прямо указала, что все этапы вторжения — от разведки до модификации данных — выполнил программный агент на основе языковой модели, действовавший без прямого участия человека. Как действовал ИИ-агент По данным, изложенным в уведомлении и пересказанным испанскими и международными СМИ, атака строилась как цепочка автономных шагов. Агент, построенный на основе широко доступной большой языковой модели, начал со сканирования общедоступных и…

Читать: https://online-computer.ru/kiberbez/pervaya-utechka-dannyh-ii-agent-ispaniya/

Испания зафиксировала первую утечку данных, вызванную автономным ИИ-агентом

Испанское национальное агентство по защите данных AEPD (Agencia Española de Protección de Datos) 14 сентября 2026 года получило первое в своей практике официальное уведомление об утечке персональных данных, вызванной действиями автономного ИИ-агента. Атакующий не управлял вредоносным ПО вручную на каждом шаге — вместо этого он запустил агента на основе большой языковой модели (LLM), который самостоятельно прошёл всю цепочку атаки: от поиска уязвимости до изменения данных в системе пострадавшей организации. Для регуляторов и специалистов по кибербезопасности это первый задокументированный случай, когда теоретический риск агентных атак, о котором предупреждали весь 2026 год, материализовался в виде конкретного инцидента с уведомлением по GDPR. Что именно произошло По данным AEPD и профильных изданий, писавших об инциденте (Help Net Security, BleepingComputer, Dark Reading), атака развивалась без постоянного участия человека-оператора. ИИ-агент нашёл уязвимость в общедоступных файлах приложения…

Читать: https://online-computer.ru/kiberbez/ispaniya-pervaya-utechka-dannykh-ii-agent-aepd/

Взлом Tez Tour: как уязвимость сервиса загрузки файлов обернулась потерей резервных копий

15 сентября 2026 года на главной странице сайта туроператора Tez Tour в доменных зонах .com и .by появилось сообщение о взломе: хакерская группировка, называющая себя DataSuckers, заявила, что скомпрометировала инфраструктуру компании и уничтожила более 395 миллионов записей. Сам по себе факт очередной атаки на крупный сервис вряд ли удивителен, но этот случай интересен другим — нападавшие публично раскрыли всю цепочку атаки, от уязвимости в сервисе загрузки файлов до удаления резервных копий, лежавших на тех же серверах, что и рабочие данные. Получился редкий разбор инцидента почти по шагам — учебный пример того, к чему приводит инфраструктура, построенная без учёта базовых требований киберустойчивости. Что именно произошло По данным DataSuckers, доступ к инфраструктуре Tez Tour они получили примерно за две недели до публичного объявления атаки и всё это время постепенно расширяли привилегии, оставаясь…

Читать: https://online-computer.ru/kiberbez/vzlom-tez-tour-servis-zagruzki-faylov/

Qualcomm представила Snapdragon 8 Elite Gen 6 — первые мобильные чипы на 2 нм

22 сентября 2026 года на конференции Snapdragon Summit в Мауи компания Qualcomm представила новое поколение флагманских мобильных процессоров — Snapdragon 8 Elite Gen 6 и старшую версию Snapdragon 8 Elite Extreme Gen 6. Главная новость не столько в самих чипах, сколько в техпроцессе: это первые серийные мобильные платформы Qualcomm, изготовленные по нормам 2 нанометра — переход, который производители смартфонов откладывали несколько циклов подряд из-за дороговизны и низкого выхода годных кристаллов на новых линиях TSMC. Для рынка Android-флагманов это означает не просто очередной прирост в бенчмарках, а смену технологической базы, на которой будут строиться устройства следующих двух-трёх лет. Что именно представила Qualcomm Ключевое отличие анонса 2026 года — впервые линейка разделена на два отдельных кристалла вместо одного чипа с разной биннингом частот. Базовая версия получила внутреннее обозначение SM8950, топовая — SM8975…

Читать: https://online-computer.ru/gadzhety/qualcomm-snapdragon-8-elite-gen-6-2nm/