🗓 Windows Server 2022: 13 октября заканчивается основная поддержка. Что это значит на практике

Коллеги, вторник. Ровно через неделю — октябрьский Patch Tuesday и официальная смена жизненного цикла у самой массовой серверной ОС в текущих корпоративных контурах.

📌 ФАКТЫ
13 октября 2026 года — официальное завершение фазы Mainstream Support для всех редакций Windows Server 2022.

14 октября 2031 года — окончание расширенной поддержки (Extended Support).

Что прекращается: закрывается выпуск несекьюрных хотфиксов (non-security bugfixes), перестают приниматься запросы на изменение функционала (DCR) и аннулируются бесплатные инциденты технической поддержки.

Что остаётся: регулярные ежемесячные кумулятивные обновления безопасности (LCU) будут выходить в штатном режиме ещё 5 лет.

⚠️ ГДЕ НА САМОМ ДЕЛЕ ЗАРЫТ РИСК
Повода для паники нет — серверы не превратятся в тыкву. Однако этот рубеж традиционно запускает процесс бюджетирования и планирования миграций на Windows Server 2025. И вот здесь заложена классическая граната:

В Windows Server 2025 подписание SMB-трафика (SMB Signing) включено и обязательно по умолчанию для всех исходящих и входящих клиентских подключений.

Если просто накатить новую ОС или смигрировать файловый сервер без ревизии, мгновенно отвалятся:

Старые сетевые МФУ (сканирование по SMB в сетевую папку);

Древние офисные NAS и прошивки встроенных систем;

Недоконфигурированные Linux-хосты со старыми демонами Samba, где подпись отключена ради производительности.

🛠 ДИАГНОСТИКА ИНФРАСТРУКТУРЫ ДО СТАРТА МИГРАЦИИ
Выполняем на контроллере домена или серверах через PowerShell:

PowerShell

# 1. Инвентаризация: считаем точное количество инстансов Server 2022 в домене
Get-ADComputer -Filter 'OperatingSystem -like "*Server 2022*"' |
  Measure-Object | Select-Object Count

# 2. Проверяем текущую политику требования подписи SMB на сервере и клиенте
Get-SmbServerConfiguration | Select-Object RequireSecuritySignature, EnableSecuritySignature
Get-SmbClientConfiguration | Select-Object RequireSecuritySignature, EnableSecuritySignature

# 3. Аудит с хоста: смотрим, какие текущие сессии висят БЕЗ цифровой подписи (Signed = False)
Get-SmbConnection | Select-Object ServerName, ShareName, Dialect, Signed

💡 В ЧЁМ СУТЬ

Windows Server 2022 без проблем и спешки доживёт до 2031 года в статусе надёжной «рабочей лошадки».

Но если вы уже тестируете или закупаете лицензии под Server 2025, главная задача прямо сейчас — не перенос ролей, а инвентаризация сетевых шар и легаси-оборудования без SMB signing. Иначе в первый же день после миграции техподдержка утонет в тикетах «бухгалтерия не может отсканировать документы».

#windowsserver #lifecycle #smb #activedirectory #migration #powershell #sysadmin #admin_future

⏱️ Ubuntu 27.04 переходит на ntpd-rs. Повод проверить, кто вообще задаёт время в вашей сети

Коллеги, среда. Время — сервис, о котором вспоминают, только когда внезапно разваливается аутентификация в Kerberos.

📌 ФАКТЫ
Планы Canonical: в релизе Ubuntu 26.10 пакет ntpd-rs включён в архив для открытого тестирования, а начиная с Ubuntu 27.04 он станет системной службой времени по умолчанию.

Архитектурная причина: переход на memory-safe реализацию протокола NTP на языке Rust со встроенной поддержкой NTS (Network Time Security).

Критичность точного времени: от стабильности часов напрямую зависят валидация цепочек TLS-сертификатов, работа тикетов Kerberos, корреляция меток в журналах SIEM и сквозной аудит событий.

🛠 ПРОВЕРКА ЗА МИНУТУ
1. Хосты под управлением Linux
Bash

# Общий статус службы времени и синхронизации
timedatectl

# Текущее смещение, стратум и активный источник (chrony)
chronyc tracking

# Детальный список апстрим-серверов и их состояние
chronyc sources -v

2. Инфраструктура Windows / Active Directory
PowerShell

# Общий статус службы Windows Time и текущее смещение
w32tm /query /status

# Фактический источник синхронизации для хоста
w32tm /query /source

# Замер расхождения времени с контроллером домена в реальном времени
w32tm /stripchart /computer:dc01 /samples:5 /dataonly

⚠️ ТИПОВЫЕ ОШИБКИ В СЕТЯХ
Неверный источник на контроллере: источник у DC определяется как Local CMOS Clock или VM IC Time Synchronization Provider — в итоге время всего домена задаётся батарейкой BIOS материнской платы либо дрейфующими часами гипервизора.

Нарушение иерархии FSMO: внешний стратум NTP настроен не на держателе роли PDC Emulator, а на произвольном контроллере домена.

Конфликт синхронизации на виртуальных DC: на виртуальных машинах контроллеров домена оставлена включённой интеграция времени с хостом виртуализации (Integration Services / VMware Tools Time Sync).

💡 В ЧЁМ СУТЬ

Протокол Kerberos по умолчанию допускает расхождение часов не более 5 минут.

Иерархия времени в инфраструктуре должна быть строго монолитной:

Внешний доверенный NTP-пул → PDC Emulator → остальные DC домена → рядовые серверы и клиенты.

Любая самодеятельность в этой цепочке превращается в причину «плавающих» и трудноуловимых сбоев входа в домен.

#skills #ntp #time #activedirectory #kerberos #ubuntu #linux #sysadmin #admin_future

💾 TrueNAS 27 RC.1: нативный S3 поверх ZFS, RAIDZ для Special vdev и новая схема версионирования

Коллеги, важная новость для тех, кто держит СХД на TrueNAS или выбирает платформу под надежное хранилище и репозитории резервных копий.

📌 ФАКТЫ
Статус релиза: 6 октября представлен билд 27 RC.1. Финальный стабильный релиз 27.0 намечен на начало декабря.

Фундамент системы: ядро Linux 6.18 LTS в связке с OpenZFS 2.4.

Нативный S3-сервер (Early Access): бакеты маппятся напрямую на ZFS-датасеты. Из коробки поддерживаются multipart-загрузка, тегирование, ACL, версионирование и аппаратная неизменяемость (Object Lock / Immutability). Работает полностью изолированно, без выхода в интернет. Продакшен-статус запланирован на 2027 год.

Fusion Pools 2.0: под класс Special vdev (хранение метаданных и мелких блоков) теперь можно использовать топологию RAIDZ, а не только классический Mirror. Кроме того, при отсутствии выделенного ZIL/SLOG этот пул может брать на себя роль журнала транзакций.

Подсистема TrueSearch: движок индексации имён и содержимого файлов с нативной поддержкой поиска Spotlight (macOS) поверх SMB-шар. Важно: датасеты с нативным шифрованием ZFS индексации не подлежат.

Ребрендинг версий: переход на годовые мажорные номера (27, 28 и т.д.) вместо привычной схемы вида 25.04 / 25.10.

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Ключевой тектонический сдвиг — полноценный S3 с поддержкой Immutability прямо из коробки.

Это готовый локальный таргет под неизменяемые бэкапы для Veeam Backup & Replication и Proxmox Backup Server без необходимости городить рядом костыли, сторонние контейнеры или отдельный кластер MinIO.

Однако статус Early Access обязывает: обкатывать технологию в лабах можно уже сейчас, но в боевой прод выводить строго после релиза 27.0 и первых корректирующих сервисных сборок (U1/U2).

🛠 ДИАГНОСТИКА: ПРОВЕРЯЕМ ПУЛЫ И ФЛАГИ ДО АПГРЕЙДА
Bash

# 1. Проверяем здоровье текущих пулов на ошибки и ребилд
zpool status -x

# 2. Проверяем доступность и статус критических фич OpenZFS
zpool get feature@raidz_expansion,feature@block_cloning <имя_пула>

# 3. Ревизия параметров датасетов (размер блока, сжатие, аллокация места)
zfs list -o name,used,avail,compression,recordsize

#storage #truenas #zfs #s3 #backup #linux #sysadmin #admin_future

🛠 DMDE: малоизвестная, но очень сильная утилита для восстановления данных

Коллеги, инструмент в копилку инженера. Большинство дежурно вспоминают R-Studio, TestDisk или PhotoRec, но DMDE (DM Disk Editor and Data Recovery) выручает там, где тяжелые комбайны спотыкаются или зависают на сыплющихся секторах.

📌 ФАКТЫ
Авторский проект: автор — независимый разработчик Дмитрий Сидоров, софт непрерывно развивается с 2006 года. Актуальная стабильная ветка — 4.4.4 (в тестировании 4.5.0).

Кроссплатформенность: работает нативно под Windows, Linux, macOS и DOS. Портативная версия без установки легко закидывается на аварийный live-диск (WinPE / Live Linux) для работы с хостом без загрузки основной ОС.

Поддержка файловых систем: NTFS, ReFS (включая серверные пулы), FAT12/16/32, exFAT, ext2/ext3/ext4, Btrfs, HFS+/HFSX, APFS.

Ключевой функционал:

Экспресс-восстановление случайно удалённых разделов через правку MBR/GPT «на лету»;

Виртуальная сборка программных и аппаратных RAID 0, 1, 4, 5, 6 (включая кастомные задержки и смещения страйпов);

Посекторное клонирование дисков с умным обходом сбойных LBA-блоков и реверсивным чтением;

Полноценный низкоуровневый дисковый hex-редактор с шаблонами структур файловых систем.

Гуманный Free-режим: бесплатная редакция позволяет восстанавливать до 4 000 файлов из текущей выбранной директории за один проход без ограничения по общему объёму и количеству повторных запусков.

⚠️ ОСТОРОЖНО: МАЛВАРЬ В ПОИСКЕ
В репозиториях GitHub и поисковой выдаче сейчас активно крутятся фальшивые сборки с заголовками в духе «DMDE Professional 2026 Full Crack / Keygen». Это чистый дроппер стилеров и инжекторов в процессы. Скачивать утилиту нужно строго с официального зеркала dmde.com.

💡 ПРАВИЛЬНЫЙ АЛГОРИТМ СПАСЕНИЯ ДАННЫХ

Стоп-запись: аварийный накопитель немедленно перемонтируется в

read-only

либо физически выводится из системы. Никаких проверок

chkdsk

или

fsck

на живом диске!

Посекторный образ: сначала снимается полный RAW-образ (встроенным модулем копирования DMDE либо утилитой

GNU ddrescue

).

Работа со слепком: анализ структур и вычитка файлов проводятся исключительно с полученного образа, оригинальный диск убирается на полку.

Изолированный таргет: спасённые данные выгружаются на третий, заведомо исправный накопитель.

Bash

# Эталонное снятие посекторного слепка сыплющегося диска через ddrescue:

# 1. Быстрый проход: читаем всё целое, пропуская проблемные зоны и ведя лог-карту
ddrescue -n -b 4096 /dev/sdX /mnt/backup/disk.img /mnt/backup/disk.map

# 2. Добор битых секторов: до 3 попыток вычитки проблемных кластеров по карте
ddrescue -r3 -b 4096 /dev/sdX /mnt/backup/disk.img /mnt/backup/disk.map

#tools #datarecovery #dmde #storage #backup #sysadmin #admin_future

🖥 Proxmox запускает поддержку 24/7 с 19 октября. Закрыт главный аргумент «против» в корпоративе

Коллеги, четверг. Новость для всех, кто ведёт проекты миграции с VMware vSphere и регулярно слышит от CTO или службы безопасности вопрос: «А кому мы будем звонить в 3 часа ночи, когда упадёт прод?».

📌 ФАКТЫ
Старт круглосуточного SLA: с 19 октября Proxmox Server Solutions официально запускает сервис поддержки 24/7 для всей линейки корпоративных продуктов: Proxmox Virtual Environment (PVE), Proxmox Backup Server (PBS) и Proxmox Datacenter Manager.

Конец австрийскому таймзону: ранее официальный вендорский саппорт работал строго в бизнес-часы по Вене (CET), а для ночных дежурств приходилось искать сторонних локальных интеграторов.

Тарифные уровни:

Premium Subscription: режим 24/7 доступен сразу с 19 октября. Безлимитное число тикетов, первичное время реакции — до 2 часов, прямая эскалация инженерам разработки ядра.

Standard Subscription: поддержка 24/7 появится чуть позже, в Q4 2026.

Basic Subscription: SLA остаётся в прежних рамках (рабочие часы).

Глобальная экспансия: учреждено американское подразделение Proxmox North America Inc., обеспечивающее перекрытие смен по модели follow-the-sun.

🛠 ПРОВЕРКА ГОТОВНОСТИ НОД К ОБРАЩЕНИЮ В TAC
При ночной аварии время идёт на минуты — данные для сервисной заявки должны собираться мгновенно:

Bash

# 1. Проверяем валидность лицензионного ключа и активный уровень подписки
pvesubscription get

# 2. Выгружаем точные версии установленных пакетов ядра и гипервизора
pveversion -v | head -5

# 3. Контролируем репозитории: enterprise-репозиторий должен быть активен без ошибок
ls -la /etc/apt/sources.list.d/

# 4. Снятие полного диагностического слепка ноды (базовый артефакт для любого тикета)
pvereport > /root/pvereport-$(hostname).txt

💡 В ЧЁМ СУТЬ

Наличие контракта 24/7 снимает формальный барьер у топ-менеджмента, но не отменяет законов физики: оно не заменяет локальный кворум Corosync, кластерный High Availability и отработанный план Disaster Recovery.

Дежурный инженер вендора в Вене или США в первую очередь запросит вывод

pvereport

и системные журналы. Снимите и сохраните эталонный отчет

pvereport

прямо сейчас на здоровом кластере — в момент боевого падения вам будет с чем сравнить конфигурацию и дисковые подсистемы.

#proxmox #virtualization #support #vmware #enterprise #ha #sysadmin #admin_future

🧠 Skills: IBM и Red Hat нашли 400+ неизвестных уязвимостей в Java-библиотеках. А вы знаете, сколько JAR-файлов у вас на серверах?

Коллеги, важная новость из мира Enterprise Open Source — отличный повод прокачать навык инвентаризации зависимостей в инфраструктуре.

📌 ФАКТЫ
Программа Lightwell: совместная инициатива IBM и Red Hat закрыла более 400 ранее неизвестных уязвимостей в популярных Java-библиотеках.

Главный фокус — глубокий бэкпорт: секьюрити-патчи создаются точечно под те устаревшие версии библиотек, которые реально крутятся на продакшене у клиентов, избавляя бизнес от риска сломать прод мажорным апгрейдом.

Сервис Clearinghouse: корпоративные заказчики могут централизованно отправлять свои списки используемых зависимостей на приоритетный секьюрити-аудит.

Текущий статус: точные названия библиотек и идентификаторы CVE пока держатся под эмбарго — исправления постепенно уходят в апстрим по процедуре ответственного раскрытия (Coordinated Vulnerability Disclosure).

🛠 ИНВЕНТАРИЗАЦИЯ JAVA НА СЕРВЕРАХ ЗА 5 МИНУТ
Bash

# 1. Считаем общее число JAR-файлов в локальной файловой системе (без сетевых шар)
find / -xdev -name '*.jar' 2>/dev/null | wc -l

# 2. Топ каталогов с наибольшей концентрацией JAR (где прячется JVM-софт)
find / -xdev -name '*.jar' 2>/dev/null | xargs -r dirname | sort | uniq -c | sort -rn | head

# 3. Инспекция «толстых» JAR/fat-JAR (Spring Boot) без полной распаковки архива
unzip -l app.jar | grep -E 'BOOT-INF/lib/.*\.jar' | awk '{print $4}'

# 4. Сборка полного SBOM (Software Bill of Materials) на лету через Syft
syft dir:/opt -o table | grep -i java-archive

💡 В ЧЁМ СУТЬ

Java прячется даже там, где вы её не ждёте:

В экосистеме 1С:Предприятие (1C:EDT, Сервер взаимодействия);

В CI/CD и мониторинге (Jenkins, Elasticsearch, Logstash);

Во внутренних системах документации (Confluence, Jira);

Во встроенных веб-консолях управления СХД, KVM и ИБП.

Урок Log4Shell показал: найти уязвимый компонент на сотне серверов занимает в разы больше времени, чем накатить патч. Снятый заранее SBOM превращает неделю судорожного поиска в один моментальный

grep

.

#skills #java #sbom #supplychain #security #devops #linux #sysadmin #admin_future

🔬 Google Kage: песочница для драйверов прямо внутри ядра Linux

Коллеги, интереснейший доклад с конференции Linux Plumbers 2026 — архитектурная инициатива, способная в будущем кардинально повысить стабильность и отказоустойчивость серверов.

📌 ФАКТЫ
Архитектура Kage: экспериментальная подсистема ядра Linux от инженеров Google, задача которой — изолировать драйверы аппаратных устройств.

Технологический фундамент: компиляторная изоляция LFI (Lightweight Fault Isolation) на базе LLVM (совместный проект Стэнфорда и Google). Драйвер продолжает исполняться в адресном пространстве ядра, но компилятор жестко ограничивает его доступ только выделенным пулом памяти, предотвращая порчу чужих структур ядра.

Рабочие прототипы: уже реализована изоляция драйверов NVMe, сетевых адаптеров и Wi-Fi стеков в рамках архитектуры VKage (интеграция с подсистемой VirtIO).

Производительность: накладные расходы заявляются значительно более низкими, чем у традиционных виртуальных песочниц и микроядерных выносов в userspace (точные бенчмарки пока не финализированы).

Готовность экосистемы: поддержка LFI для архитектуры AArch64 уже принята в апстрим LLVM, реализация под x86_64 ожидается в релизе LLVM 24. Одним из ключевых полигонов внедрения станет экосистема Android.

💡 ПОЧЕМУ ЭТО ВАЖНО СИСАДМИНУ

Драйверы стороннего оборудования — самый объемный, гетерогенный и наименее надежный пласт кодовой базы ядра.

Сегодня любая ошибка адресации или use-after-free в драйвере сетевой карты либо HBA-адаптера мгновенно приводит к Kernel Panic и падению всей ноды (либо к локальному повышению привилегий). Технология Kage локализует сбой до уровня программного отказа отдельного устройства, сохраняя работу ОС и соседних сервисов.

🛠 ДИАГНОСТИКА: СТОРОННИЙ КОД В ВАШЕМ ЯДРЕ ПРЯМО СЕЙЧАС
Bash

# 1. Считаем общее число загруженных модулей ядра
lsmod | wc -l

# 2. Проверяем статус Tainted (0 = ядро чистое и стабильное, >0 = загружены проприетарные модули/были сбои)
cat /proc/sys/kernel/tainted

# 3. Выявляем модули, собранные вне основного дерева исходников ядра (out-of-tree)
for m in $(lsmod | awk 'NR>1{print $1}'); do
  modinfo -F intree "$m" 2>/dev/null | grep -q Y || echo "Вне дерева ядра: $m"
done

#linux #kernel #drivers #google #security #virtualization #sysadmin #admin_future

🧠 Skills: EXT4 объявила data=journal устаревшим. Удаление — в 2028 году. Проверьте свои маунты

Коллеги, пятница. Короткая проверка на две минуты в терминале, которая убережёт от неприятных сюрпризов при будущих апгрейдах ядра.

📌 ФАКТЫ
Статус Deprecated: начиная с ядра Linux 7.3 режим монтирования data=journal в файловой системе EXT4 официально помечен как устаревший.

Таймлайн удаления: полное выпиливание кода запланировано на начало 2028 года (аккурат после стабилизации LTS-ветки 2027 года).

Что это за режим: в журнал транзакций пишутся не только метаданные файловой системы, но и само тело файлов (данные). Это давало максимальную защиту от повреждений ценой катастрофической просадки пропускной способности (двойная запись). Режим наглухо отключает Delayed Allocation и Direct I/O.

По умолчанию EXT4 работает в режиме data=ordered (журналируются только метаданные) — его эти изменения никак не затрагивают.

🛠 БЫСТРЫЙ ЧЕК СВОИХ СИСТЕМ
Bash

# 1. Смотрим, смонтировано ли что-то прямо сейчас в режиме data=journal
findmnt -t ext4 -o TARGET,SOURCE,OPTIONS | grep "data=journal"

# 2. Проверяем статическую конфигурацию в fstab
grep -n 'data=journal' /etc/fstab

# 3. Проверяем, не зашит ли режим в суперблок раздела как опция по умолчанию
for d in $(findmnt -t ext4 -no SOURCE | sort -u); do
  echo "Устройство $d:"
  tune2fs -l "$d" 2>/dev/null | grep -i 'default mount options'
done

⚠️ Если в выводе суперблока есть параметр

journal_data

— режим активируется ядром по умолчанию при каждом монтировании, даже если в

/etc/fstab

он явно не указан!

💡 В ЧЁМ СУТЬ

Опцию

data=journal

исторически любили включать «для железобетонной надёжности» под базы данных, транзакционные логи или серверы 1С:Предприятия.

На практике за это платили колоссальным падением производительности дисковой подсистемы и деградацией SSD, получая взамен мнимую безопасность. Реальную сохранность данных дают качественные ИБП, корректная работа приложения с системным вызовом

fsync()

и регулярные проверенные бэкапы, а не костыли на уровне драйвера ФС.

Запас времени на миграцию ещё есть, но найти и перевести такие разделы в стандартный

data=ordered

лучше уже сейчас.

#skills #linux #ext4 #kernel #filesystem #storage #sysadmin #admin_future

🌐 Сайты Canonical под затяжной DDoS-атакой. Ваши обновления не должны зависеть от чужого аптайма

Коллеги, поучительная инфраструктурная история, которая регулярно повторяется с любым крупным апстримом.

📌 ФАКТЫ
Атака на апстрим: 8 октября Canonical официально сообщила о «sustained DDoS» на свои публичные веб-ресурсы и предупредила о нестабильности и периодической недоступности инфраструктуры.

Что затронуто: по данным профильных изданий (Phoronix), лежали основной портал Ubuntu и прямая загрузка установочных ISO-образов. Полный перечень задетых сервисов компания не раскрывает.

Мониторинг доступности: оперативный статус отслеживается на status.canonical.com.

🛠 ЛОКАЛЬНЫЙ КЭШ ПАКЕТОВ ЗА 10 МИНУТ
Разворачиваем прозрачный кэширующий прокси, чтобы не зависеть от внешних зеркал при каждой установке пакета:

Bash

# 1. Сервер кэша (Debian / Ubuntu) — поднимается одной командой
apt update && apt install apt-cacher-ng    # служба слушает порт TCP/3142

# 2. Настройка клиентских машин через конфиг APT:
echo 'Acquire::http::Proxy "http://apt-cache.lan:3142";' > /etc/apt/apt.conf.d/01proxy
apt update

Плюсы решения:

Любой пакет скачивается из интернета ровно один раз на весь офис или дата-центр.

Вся последующая раскатка по серверному парку идёт на скорости локальной сети (1–10 Гбит/с).

При падении апстрима или внешнего канала уже выкачанные версии пакетов остаются мгновенно доступны для переустановки и деплоя.

⚠️ ЧТО ЕЩЁ ОБЯЗАТЕЛЬНО ДЕРЖАТЬ НА СВОЕЙ ПОЛКЕ
Базовые ISO: проверенные дистрибутивы Linux (Debian, Ubuntu LTS, Alma/Rocky) и образы Windows Server со сверенными контрольными суммами (SHA256).

Платформы виртуализации: инсталляторы Proxmox VE, образы ESXi, вендорские драйверы RAID-контроллеров, HBA и сетевых карт, а также прошивки для IPMI/iLO/iDRAC.

Шаблоны: золотые образы ВМ (cloud-init / sysprep) и закэшированные базовые слои Docker-контейнеров во внутреннем реестре.

💡 В ЧЁМ СУТЬ

Аварийное восстановление упавшего сервера слишком часто начинается с оптимистичной фразы: «Сейчас по-быстрому скачаю свежий образ».

В день атаки на вендора, аварии на магистральном провайдере или внезапных сетевых ограничений этот сценарий мгновенно оборачивается часами простоя боевого сервиса. Локальный кэш пакетов и собственная локальная библиотека образов — простейшая и копеечная страховка вашего времени.

#linux #ubuntu #apt #mirror #ddos #disasterrecovery #network #infrastructure #sysadmin #admin_future

🤖 Sashiko от Google: AI-ревьюер ядра Linux проверил 191 тысячу патчей. 463 CVE за год ссылаются на него

Коллеги, интереснейший доклад с Linux Plumbers 2026 — вторая сторона медали в истории про «лавину AI-патчей в ядре».

📌 ФАКТЫ (доклад Романа Гущина, Google)
Что такое Sashiko: открытый агентный инструмент для автоматизированного ревью патчей ядра Linux, работающий в связке с моделями Gemini и другими LLM.

Масштаб работы менее чем за год:

191 000+ проведённых код-ревью в 99 официальных списках рассылки (LKML и подсистемы);

19 млн+ автоматизированных обращений к Git-дереву;

7 600+ ответов от 1 100+ живых разработчиков ядра на замечания и баг-репорты Sashiko;

1 277 коммитов в апстрим основного ядра и 1 567 в ветку linux-next содержат прямые ссылки на отчёты инструмента;

463 CVE ядра Linux, выпущенных в этом году, напрямую цитируют выводы Sashiko.

Роадмап проекта: запуск локального CLI-режима для проверки кода из терминала разработчика, формирование постоянной базы найденных багов и пре-ревью собственных коммитов.

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Если в понедельник мы обсуждали, что мейнтейнеров ядра буквально заваливает сгенерированными AI-патчами, то сегодня виден встречный процесс: AI на стороне ревью отлавливает критические баги и регрессии задолго до того, как они попадут в релиз.

Итог для эксплуатации один: количество регистрируемых CVE в ядре будет только расти. И это индикатор качественной и глубокой проверки кода, а не признак того, что Linux стал хуже.

Концепция «обновляем ядро раз в два года, когда совсем прижмёт» окончательно устарела: патч-менеджмент ядра должен быть регулярным и плановым процессом.

🛠 БЫСТРЫЙ ЧЕК СЕРВЕРА: НА СКОЛЬКО СВЕЖЕМ ЯДРЕ ВЫ ЖИВЁТЕ
Bash

# 1. Текущая активная версия ядра и время с последнего ребута ноды
uname -r; uptime -s

# 2. Проверяем, есть ли в /boot ядро новее работающего (Debian / Ubuntu)
ls -t /boot/vmlinuz-* 2>/dev/null | head -1

# 3. Висит ли флаг обязательной перезагрузки после обновлений пакетов
[ -f /var/run/reboot-required ] && cat /var/run/reboot-required

#linux #kernel #ai #google #opensource #cve #security #sysadmin #admin_future

📅 Завтра, 13 октября, три события в один день: Patch Tuesday, конец основной поддержки Server 2022 и блокировка NTLMv1 для SSO

Коллеги, понедельник. Неделя, которую критически важно спланировать заранее, чтобы не тушить пожары на выходных.

📌 ЧТО ПРОИСХОДИТ
Октябрьский Patch Tuesday: плановый пакет обновлений безопасности Microsoft. Помним, что в сентябре был рекордный объем исправлений (около 970 CVE) и неприятные сайд-эффекты для инфраструктуры.

Windows Server 2022 — завершение Mainstream Support: прекращается выпуск несекьюрных хотфиксов и прием бесплатных обращений по общим багам. Фаза Extended Support (ежемесячные обновления безопасности) продолжится до октября 2031 года.

Блокировка NTLMv1 для SSO: плановое переключение ключа BlockNtlmv1SSO в дефолтный режим Enforce (1) на Windows 11 24H2 и Windows Server 2025. Под прямым ударом — бесшовный вход по Wi-Fi (802.1X) и VPN через MS-CHAPv2 (если на машинах не задействован Credential Guard).

🛠 СЕГОДНЯ, ДО ПРИХОДА ОБНОВЛЕНИЙ
Обязательно снимаем свежие бэкапы/снапшоты контроллеров домена и критических хостов до установки апдейтов:

PowerShell

# 1. Смотрим последние установленные обновления в системе
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

# 2. Ищем, кто в сети все еще генерирует NTLMv1 SSO (события аудита Event ID 4024)
Get-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' `
  -FilterXPath '*[System[EventID=4024]]' -MaxEvents 20 -ErrorAction SilentlyContinue

🛡 ОПЕРАЦИОННЫЙ ПЛАН НА НЕДЕЛЮ
Вторник: не бросаемся ставить всё подряд — сначала прицельно вычитываем список zero-day и свежие записи в каталоге CISA KEV.

Среда: раскатываем апдейты на тестовую группу серверов. Хосты Remote Desktop Services (RDS) тестируем отдельно и с пристрастием (учитывая сентябрьские зависания сессий).

Четверг – пятница: плановый накат на основной прод-парк. Держим открытым Microsoft Update Catalog — в сентябре критические фиксы для RDS были доступны исключительно там, минуя WSUS/WU.

Контроль всю неделю: внимательно следим за тикетами о проблемах с офисным Wi-Fi и подключением к VPN — с высокой вероятностью это будет блокировка NTLMv1 SSO, а не проблемы с физической сетью или точками доступа.

#patchtuesday #windows #ntlm #windowsserver #sysadmin #security #admin_future

🚨 AhsayCBS: два zero-day, SYSTEM на сервере бэкапов без пароля. Эксплуатация началась через сутки после обнаружения

Коллеги, очередное жесткое подтверждение базового правила: сервер резервного копирования — приоритетная цель номер один для злоумышленников.

📌 ФАКТЫ (отчет Field Effect от 9 октября)
Связка уязвимостей:

CVE-2026-105133 (CVSS 5.5) — логическая ошибка аутентификации в функции проверки пароля checkSysPwd;

CVE-2026-105134 (CVSS 9.3) — критическая инъекция команд ОС (Command Injection) в компоненте Replication Receiver.

Результат цепочки: удаленное неаутентифицированное исполнение произвольного кода (RCE) с наивысшими правами NT AUTHORITY\SYSTEM.

Под ударом: все версии платформы до 10.3.4 включительно. Официальный исправленный релиз на момент публикации вендором не обозначен.

Активная эксплуатация: реальные атаки зафиксированы поздно вечером 7 октября — всего через сутки после первых сигналов. За первые 24 часа подтверждена компрометация как минимум 5 организаций.

Анатомия закрепления: злоумышленники конфигурировали поддельный приемник репликации, заливали JSP веб-шелл, разворачивали скрытый майнер XMRig под маской легитимного процесса Microsoft Edge и прописывали фальшивую службу обновления браузера для автозагрузки.

🛠 ФОРЕНЗИКА И ПОИСК СЛЕДОВ (PowerShell на хосте AhsayCBS)
PowerShell

# 1. Поиск свежих JSP-файлов и шеллов за последнюю неделю
$installDir = 'C:\Program Files\AhsayCBS'
Get-ChildItem -Path $installDir -Recurse -Filter *.jsp -ErrorAction SilentlyContinue |
  Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-7) } |
  Select-Object FullName, LastWriteTime

# 2. Выявление процессов msedge, запущенных вне легитимной директории Microsoft
Get-CimInstance Win32_Process | 
  Where-Object { $_.Name -like 'msedge*' -and $_.ExecutablePath -notlike '*\Microsoft\Edge\*' } |
  Select-Object ProcessId, Name, ExecutablePath

# 3. Аудит подозрительных служб с «Edge» в названии
Get-CimInstance Win32_Service | 
  Where-Object { $_.DisplayName -match 'Edge' -or $_.Name -match 'Edge' } |
  Select-Object Name, DisplayName, PathName, StartMode

💡 В ЧЁМ СУТЬ

В данном кейсе атакующие ограничились установкой майнера, но уровень привилегий SYSTEM на сервере бэкапов автоматически означает полный доступ к архивам данных, теневым копиям и служебным учетным записям всех защищаемых хостов предприятия.

Правило изоляции едино для любого решения (Ahsay, Veeam, Proxmox Backup Server, Commvault):

Любые порты управления, API и сервисы репликации никогда не должны смотреть в публичный интернет — только выделенный Management VLAN, изолированный VPN или защищенный туннель.

Если на сервере бэкапов обнаружены следы веб-шелла или сторонних служб — машина считается скомпрометированной целиком. Она не «лечится» установкой патча, а подлежит полной переустановке с чистого образа с обязательным отзывом и перевыпуском всех ключей доступа.

#security #backup #zeroday #ahsay #threathunting #powershell #windows #sysadmin #admin_future

🤖 Линус Торвальдс пишет патч для ядра с Claude Code. И честно это указывает

Коллеги, интересное из жизни ядра — без хайпа и строго по фактам.

📌 ФАКТЫ
Ветка в репозитории: в персональном Git-дереве Торвальдса появилась ветка noref-filemap-read-with-llm.

Архитектурная суть: оптимизация сценария, когда множество параллельных потоков одновременно читают один и тот же файл небольшими порциями. Чтение из Page Cache переводится в режим без инкремента счётчика ссылок на folio (page refcount contention). Именно постоянное атомарное обновление счётчика ссылок создаёт узкое горлышко и конкуренцию на кэш-линиях CPU при интенсивном параллельном I/O.

Честный commit message: в описании патча Линус прямо зафиксировал, что изменения подготовлены «LLM-ассистентом (Claude Code) под моим руководством». Модель помогла со скелетом кода, синтетическими тестовыми программами, перекрёстным ревью и черновиком сопроводительного письма.

Верификация: все бенчмарки и профилирование Торвальдс проводил лично на своём рабочем железе. Патчи ещё не влиты в апстрим, вероятная цель — окно слияния Linux 7.4.

Индустриальный контекст: одновременно с этим NVIDIA представила Boro — локальный AI-инструмент, заточенный под разработку и верификацию кода ядра на языке Rust.

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Важен не сам факт задействования нейросетей, а культура инженерной ответственности:

Архитектурную постановку задачи, контроль логики и валидацию замеров выполняет живой сеньор-инженер. Факт использования ассистента декларируется открыто, а персональная ответственность за продакшен-код остаётся на авторе коммита.

Ровно по этой модели должна строиться эксплуатация любого AI-инструмента в инфраструктуре: генерировать скрипт или конфиг может модель, но валидирует, пушит в прод и несёт ответственность только сисадмин.

При принятии коммитов прямую выгоду по I/O получат высоконагруженные веб-серверы (Nginx/Envoy, отдающие статику), ноды контейнеризации с общими read-only слоями образов и CI/CD сборочные фермы.

#linux #kernel #ai #torvalds #opensource #performance #sysadmin #admin_future

🗓 Patch Tuesday сегодня вечером: как разобрать бюллетень за 15 минут, а не за 3 часа

Коллеги, вторник, 13 октября. Октябрьские обновления Microsoft традиционно начнут раскатываться около 20:00 МСК. Сегодня же официально завершается фаза основной поддержки Windows Server 2022.

📌 АЛГОРИТМ ПРИОРИТИЗАЦИИ НА ВЕЧЕР
Zero-day и CISA KEV (эксплуатация в wild): единственный класс уязвимостей, требующий внеочередной установки в первые 24–48 часов.

Сетевые RCE на внешнем периметре: компоненты, смотрящие наружу (Exchange, RDS Gateway, IIS, Always On VPN), берутся во вторую очередь в рамках текущего спринта.

Внутренний контур (LPE, Client-side): штатный цикл тестирования (лабораторная среда → пилотные серверы → общий продакшен-пул).

Раздел Known Issues: обязательное чтение перечня известных проблем в KB до нажатия кнопки одобрения во WSUS/SCCM (в сентябре это уберегло бы RDS-фермы от мертвых зависаний).

🛠 АВТОМАТИЗАЦИЯ ВЫБОРКИ: KEV И EPSS НА BASH
Bash

# 1. Выгрузка свежих уязвимостей Microsoft, попавших в CISA KEV сегодня
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json | \
  jq -r '.vulnerabilities[] 
    | select(.vendorProject=="Microsoft" and .dateAdded=="2026-10-13") 
    | "\(.cveID)\t\(.vulnerabilityName)"'

# 2. Экспресс-запрос скоринга вероятности эксплуатации (EPSS) через API FIRST
# Замените список CVE на целевые идентификаторы из вечернего бюллетеня
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2026-XXXXX,CVE-2026-YYYYY" | \
  jq -r '.data[] | "\(.cve)\tEPSS: \(.epss)\t(процентиль: \(.percentile))"'

⚠️ КОНТРОЛЬНЫЙ ЧЕКЛИСТ ДО НАЧАЛА РАСКАТКИ
Снапшоты и бэкапы: контроллеры домена, базы данных и шлюзы аутентификации бэкапятся со сбросом транзакционных логов строго до применения обновлений.

NTLMv1 Enforce: клиентские рабочие станции на Windows 11 24H2 и серверы 2025 с корпоративным Wi-Fi/VPN через PEAP-MSCHAPv2 находятся в зоне риска отвала бесшовного входа при отсутствии Credential Guard.

Windows Server 2022: статус Mainstream завершён. Начиная со следующего месяца серверы ветки 2022 будут получать исключительно секьюрные патчи (Extended Support до 2031 года).

#patchtuesday #windows #security #kev #epss #patchmanagement #sysadmin #admin_future

🚨 Atlassian Data Center: чтение файлов без авторизации. Атаки начались через 2 часа после публикации деталей

Коллеги, после ухода Atlassian многие команды в РФ зафиксировали инфраструктуру на self-hosted инстансах Jira и Confluence Data Center. Этот пост — прямой сигнал на аудит периметра.

📌 ФАКТЫ
Идентификатор и критичность: CVE-2026-21589, базовый балл CVSS 9.3 — неаутентифицированное чтение произвольных файлов (Arbitrary File Read) в контексте каталога веб-приложения.

Специфика вектора: прямого листинга каталогов нет — атакующему необходимо знать точный относительный путь и целевое имя файла.

Масштаб покрытия: уязвимы Data Center редакции практически всей линейки: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible, Fisheye.

Скорость реагирования ботнетов: первые попытки эксплуатации в wild зафиксированы примерно через 2 часа после выхода технического разбора от исследователей watchTowr. На текущий момент фиксируется массовое автоматизированное сканирование с вычиткой дефолтных путей конфигурационных файлов.

Исправленные релизы вендора:

Plaintext

Jira Software / JSM : 9.12.40 · 10.3.26 · 11.3.12 (JSM: 5.12.40)
Confluence          : 9.2.26  · 10.2.19
Bitbucket           : 9.4.26  · 10.2.8   · 10.5.1
Crowd               : 6.3.7   · 7.0.3   · 7.1.7 · 7.2.4
Bamboo              : 10.2.24 · 12.1.12
Crucible / Fisheye  : 4.9.15

🛠 ВРЕМЕННЫЙ МИТИГЕЙТ (ЕСЛИ НЕТ ВОЗМОЖНОСТИ НАКАТИТЬ ПАТЧ ПРЯМО СЕЙЧАС)
Изоляция сетевого контура: немедленно убрать внешние публикации (0.0.0.0/0) за корпоративный VPN или reverse-proxy с пре-аутентификацией.

Фильтрация на обратном прокси / WAF: заблокировать сигнатуры обращения к внутренним служебным эндпоинтам веб-приложения.

Локальная блокировка веб-сервера:

Для Jira, Confluence, Bamboo, Crowd — подключение модуля Tomcat RewriteValve в конфигурации контейнера сервлетов (server.xml / rewrite.config);

Для Bitbucket — активация правил отсечения запросов через urlrewrite.xml по вендорскому security bulletin.

💡 В ЧЁМ СУТЬ

Чтение файлов без RCE кажется неопасным лишь на первый взгляд.

В каталогах веб-приложений лежат файлы вроде

dbconfig.xml

, содержащие логины и открытые пароли к базам данных PostgreSQL/Oracle, секреты сессий, приватные ключи подписи и API-токены интеграций.

Если ваш инстанс торчал наружу в публичный интернет — простого наката патча недостаточно. После обновления обязательно проведите ротацию пароля сервисной учетной записи БД в СУБД и перевыпустите все связанные токены интеграций.

#security #atlassian #jira #confluence #bitbucket #cve #threathunting #devops #sysadmin #admin_future

🐍 Python 3.15 вышел: UTF-8 по умолчанию может сломать ваши скрипты на Windows

Коллеги, важный релиз для всех, кто пишет скрипты автоматизации, интеграции и парсеры системных логов на Python.

📌 ФАКТЫ
Стабильный релиз: 9 октября представлена финальная ветка Python 3.15.

UTF-8 Mode по умолчанию (PEP 686): встроенная функция open() без явного параметра encoding теперь всегда открывает файлы в кодировке UTF-8, игнорируя региональные параметры операционной системы (locale.getencoding()).

Ленивые импорты (PEP 810): синтаксис вида lazy import json — модуль парсится и загружается в память только при первом фактическом вызове атрибута (включается строго явно флагом или директивой). Существенно срезает время холодного старта CLI-утилит.

Экспериментальный JIT: прирост производительности +7–8% на архитектуре x86_64 под Linux.

Сэмплирующий профилировщик Tachyon: низкоуровневый профилировщик без остановки рантайма. Умеет аттачиться к уже запущенному production-процессу и строить flame graph узких мест.

Новые базовые типы: добавлены нативные frozendict (неизменяемый словарь) и sentinel (удобные уникальные маркеры-заглушки вместо object()).

⚠️ ГДЕ ВЫСТРЕЛИТ НА WINDOWS
Исторически на русскоязычных Windows-серверах и рабочих станциях open() по умолчанию поднимал кодировку CP1251 (ANSI) для файлов и CP866 (OEM) для консольных утилит.

После обновления интерпретатора до 3.15:

Выгрузки отчетов, реестров и прайсов из 1С:Предприятия;

Экспортированные CSV-таблицы из классического Excel;

Текстовые журналы старых служб, конфиги и .bat/.cmd скрипты в кодировке ANSI

при попытке прочитать их «по старинке» (open('file.txt')) мгновенно уронят процесс с ошибкой UnicodeDecodeError: 'utf-8' codec can't decode byte... либо тихо запишут кракозябры при сохранении.

🛠 КАК ПРАВИЛЬНО ОБРАБАТЫВАТЬ КОДИРОВКИ
1. Явная фиксация кодировки в Python
Python

# Чтение локальных Windows-выгрузок (1С, Excel, старые сервисы)
with open('export_1c.csv', mode='r', encoding='cp1251') as f:
    data = f.read()

# Корректный перехват stdout системных CLI-команд Windows (ipconfig, ping, netstat)
import subprocess

res = subprocess.run(
    ['ipconfig', '/all'], 
    capture_output=True, 
    encoding='cp866', 
    check=True
)
print(res.stdout)

2. Временный откат поведения через переменные окружения
PowerShell

# Принудительное отключение UTF-8 режима для конкретного сеанса PowerShell
$env:PYTHONUTF8 = '0'
python automation_script.py

3. Экспресс-аудит репозитория скриптов перед обновлением Python
Bash

# Ищем потенциально опасные вызовы open() без аргумента encoding в проекте
grep -rnE "open\([^)]*\)" --include="*.py" . | grep -v "encoding="

💡 В ЧЁМ СУТЬ

Явный параметр

encoding=

в каждом вызове

open()

— базовый стандарт инженерной гигиены, делающий скрипт полностью переносимым между Windows Server, Debian/Ubuntu и любыми версиями рантайма.

Перед тем как обновлять глобальный Python на серверах автоматизации или в контейнерах сборщиков, прогоните аудит кода регуляркой выше.

#skills #python #automation #windows #1c #linux #devops #sysadmin #admin_future

📊 Октябрьский Patch Tuesday: 1 411 уязвимостей — абсолютный рекорд. Что ставить первым

Коллеги, среда. Разбираем вчерашний массивный релиз Microsoft строго по инженерному алгоритму приоритизации.

📌 ФАКТЫ
Масштаб пакета: закрыто 1 411 уязвимостей (против рекордных ~970 в сентябре).

Критический сегмент: 70 бюллетеней со статусом Critical (57 RCE, 11 Elevation of Privilege, 2 Spoofing).

Внеочередные фиксы: ещё 348 уязвимостей закрыты редмондской командой ранее в течение месяца (преимущественно инфраструктура Azure и облачные сервисы).

🔴 ПРИОРИТЕТ 1 — СЕГОДНЯ (ЭКСПЛУАТАЦИЯ В WILD)
CVE-2026-96951 (Windows Shell, CVSS 8.8): обход механизма защиты Mark of the Web (MotW).

Активно эксплуатируется в атаках, внесена в каталог CISA KEV со строгим дедлайном устранения до 16 октября.

Позволяет вредоносному вложению или загруженному из сети исполняемому файлу запускаться без предупреждения SmartScreen — классический первичный вектор целевого фишинга.

Таргет наката: рабочие станции пользователей и терминальные фермы.

🟠 ПРИОРИТЕТ 2 — ЭТА НЕДЕЛЯ (СЕРВЕРНАЯ ИНФРАСТРУКТУРА)
CVE-2026-70229 (Active Directory Domain Services, CVSS 8.1): удалённое исполнение кода (RCE) на контроллерах домена. Рейтинг Microsoft Exploitability: «Exploitation More Likely».

CVE-2026-70571 (Exchange Server, CVSS 8.1): сетевое RCE в почтовом бэкенде, «Exploitation More Likely».

CVE-2026-70187 (Remote Desktop Services, CVSS 8.1): уязвимость RCE в стеке RDS.

Пул RCE в Microsoft Outlook (5 уязвимостей, CVSS 9.8): исполнение произвольного кода без взаимодействия с пользователем — триггерится прямо через область предварительного просмотра (Reading Pane).

Hyper-V (две RCE, CVSS 8.8): побег из виртуальной машины на хост гипервизора («Exploitation Less Likely»).

🟡 ОБРАТИТЬ ВНИМАНИЕ (АРХИТЕКТУРНЫЕ ОБХОДЫ)
CVE-2026-108398 (.NET Framework, CVSS 7.8): обход политик целостности кода Windows Defender Application Control (WDAC). Уязвимость раскрыта публично Джеймсом Форшоу (Google Project Zero), PoC доступен в исследовательских кругах.

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

За пугающей цифрой в 1 411 CVE скрывается стандартное правило Парето: реально горящих проблем — около десяти.

Оптимальный порядок развёртывания:

Рабочие станции и ноутбуки — закрыть MotW (

CVE-2026-96951

) и превью Outlook, перекрыв входящий фишинг.

Контроллеры домена (AD DS) — строго поочерёдно, контролируя репликацию (

repadmin /replsummary

) после каждого узла.

Exchange Server и RDS Gateway/Session Hosts — обязательно со снятием свежего бэкапа состояния системы/ВМ и предварительным тестом на пилотной ноде.

Изолированный бэкенд и внутренние сервисы — в рамках штатного сервисного окна выходных дней.

#patchtuesday #windows #activedirectory #exchange #cve #security #sysadmin #admin_future

📧 Skills: 5 RCE в Outlook с CVSS 9.8 — достаточно открыть письмо в области чтения. Проверяем версию Office по всему парку

Коллеги, разбираем детально самый неприятный и опасный блок октябрьского Patch Tuesday.

📌 ФАКТЫ
Идентификаторы уязвимостей: CVE-2026-88156, CVE-2026-97016, CVE-2026-70291, CVE-2026-70242, CVE-2026-97749.

Критичность: максимальный базовый балл CVSS 9.8 (Remote Code Execution, класс — классические переполнения буфера в парсерах форматов сообщений).

Вектор атаки — Preview Pane (Zero-Click): по официальному бюллетеню безопасности Microsoft, эксплуатация инициируется автоматически при отображении письма в области предварительного просмотра (Reading Pane) — пользователю не нужно открывать вложения или переходить по ссылкам.

Затронутые платформы: почтовые клиенты Outlook в составе Microsoft 365 Apps for enterprise, Office LTSC 2021 и Office LTSC 2024 (как под Windows, так и под macOS). Для двух уязвимостей патчи под Mac LTSC задержатся до конца месяца.

Статус эксплуатации: в дикой природе активных эксплойтов пока не зафиксировано («Exploitation Less Likely»).

Главный риск: обходных путей (workarounds) и изолирующих настроек реестра вендор не предоставил — единственным методом защиты является установка апдейта сборок Office.

🛠 ИНВЕНТАРИЗАЦИЯ И ПРИНУДИТЕЛЬНЫЙ ПУШ ОБНОВЛЕНИЙ (Click-to-Run)
В большинстве сетей Microsoft 365 Apps и Office 2021/2024 развернуты по модели Click-to-Run (C2R), минуя классический каталог WSUS:

PowerShell

# 1. Проверка текущей версии, CDN-источника и статуса автообновлений локально
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' |
  Select-Object VersionToReport, CDNBaseUrl, UpdatesEnabled

# 2. Массовая инвентаризация версий Office по доменным рабочим станциям через WinRM
$pcs = (Get-ADComputer -Filter 'OperatingSystem -like "*Windows 1*" -and Enabled -eq $true').Name

Invoke-Command -ComputerName $pcs -ErrorAction SilentlyContinue -ScriptBlock {
  $c2r = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' -ErrorAction SilentlyContinue
  if ($c2r) {
    [PSCustomObject]@{
      Version = $c2r.VersionToReport
      Enabled = $c2r.UpdatesEnabled
    }
  }
} | Select-Object PSComputerName, @{N='OfficeVersion'; E={$_.Version}}, @{N='UpdatesActive'; E={$_.Enabled}} | 
    Sort-Object OfficeVersion

# 3. Принудительный старт тихой фоновой загрузки и установки обновлений на клиенте
$c2rClient = "$env:CommonProgramFiles\microsoft shared\ClickToRun\OfficeC2RClient.exe"
if (Test-Path $c2rClient) {
  Start-Process -FilePath $c2rClient -ArgumentList '/update user displaylevel=false'
}

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Office C2R часто существует обособленно от централизованного патч-менеджмента ОС и тихо обновляется из CDN Microsoft — ровно до тех пор, пока ключ

UpdatesEnabled

не оказывается отключен.

Часто это происходит при развертывании машин из старых кастомных образов, после оптимизационных твикеров или если обновления замораживали локально, «чтобы интерфейс не дёргался посреди рабочего дня».

При RCE через Reading Pane со скорингом 9.8 любая рабочая станция со старой сборкой Outlook внутри корпоративной сети превращается в открытый плацдарм для закрепления через одно-единственное входящее письмо. Скрипт выше выявляет отставшие машины за пару минут.

#skills #outlook #office #security #cve #powershell #patchmanagement #sysadmin #admin_future

🗓 Windows 11 24H2 Home и Pro больше не получают обновлений. В ноябре — очередь 23H2 Enterprise

Коллеги, вместе с рекордным Patch Tuesday незаметно подошли дедлайны жизненного цикла операционных систем Microsoft. Самое время проверить ревизии клиентских сборок в корпоративном сегменте.

📌 ФАКТЫ
Windows 11 24H2 (Home и Pro): октябрьский кумулятивный пакет стал финальным официальным обновлением безопасности для потребительских и стандартных профессиональных редакций.

Windows 10 Enterprise LTSB 2016: полностью завершился 10-летний цикл расширенной поддержки (Extended Support).

Windows 11 23H2 (Enterprise, Education, IoT Enterprise): финальный секьюрити-патч выйдет ровно через месяц, во вторник 10 ноября.

Windows Server 2022: с 13 октября серверная ветка перешла в фазу Extended Support — только обновления безопасности без функциональных доработок (до октября 2031 года).

🛠 ИНВЕНТАРИЗАЦИЯ КЛИЕНТСКИХ ОС ПО ACTIVE DIRECT
Быстрый аудит доменных рабочих станций для выявления устаревших сборок:

PowerShell

# Билды: 22631 = 23H2 | 26100 = 24H2 | 26200 = 25H2
Get-ADComputer -Filter 'Enabled -eq $true -and OperatingSystem -like "Windows 1*"' `
  -Properties OperatingSystem, OperatingSystemVersion, LastLogonDate |
  Group-Object OperatingSystem, OperatingSystemVersion |
  Sort-Object Count -Descending | 
  Select-Object Count, Name | 
  Format-Table -AutoSize

PowerShell

# Локальная проверка редакции, версии и точного номера сборки на хосте
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion' |
  Select-Object ProductName, EditionID, DisplayVersion, CurrentBuild, UBR |
  Format-List

⚠️ ГЛАВНАЯ ЛОВУШКА В ПАРКЕ
Во многих филиалах и офисах ноутбуки закупаются сразу с OEM-редакцией Windows 11 Pro. Если апгрейды версий ранее замораживали через GPO или отключали службу доставки обновлений («чтобы не тормозило и не перезагружалось»), эти машины начиная с текущего месяца полностью отрезаны от секьюрити-патчей.

Ни закрытия MotW (CVE-2026-96951), ни критических RCE в превью Outlook они уже не получат штатным образом.

💡 В ЧЁМ СУТЬ

Обновление машин с 24H2 до актуальной 25H2 не требует длительной переустановки ОС или раскатки «тяжелого» WIM-образа — оно выполняется через компактный Enablement Package (eKB) через WSUS, Intune или Windows Update for Business.

Процесс сводится к одной быстрой перезагрузке рабочей станции (занимает 2–3 минуты). Прогоните инвентаризацию скриптом выше, сформируйте список хостов на 24H2 Pro и одобрите пакет перехода до конца недели.

#windows #lifecycle #windows11 #inventory #powershell #security #patchmanagement #sysadmin #admin_future

🚨 Cisco Secure Email Gateway: zero-day через вложение в письме, root на шлюзе. Второй почтовый шлюз за две недели

Коллеги, четверг. Вслед за инцидентами вокруг FortiMail под прицел попали решения Cisco. Почтовые шлюзы (Secure Email Gateway / ESA) окончательно утвердились в статусе приоритетного вектора атак на внешний периметр.

📌 ФАКТЫ
Идентификатор и скоринг: CVE-2026-76519, критический базовый балл CVSS 9.8. Затрагивает операционную систему AsyncOS и механизм анализа репутации файлов AMP (Advanced Malware Protection) File Reputation.

Вектор Zero-Click: неаутентифицированная атака через отправку специально сформированного письма с вредоносным вложением.

В процессе штатного парсинга вложения модулем сканирования происходит запись произвольных файлов в файловую систему appliance с последующим выполнением произвольного кода с правами суперпользователя root.

Каких-либо действий от конечного пользователя или администратора не требуется — разбор и триггер уязвимости происходят на лету самим шлюзом.

Необходимые условия уязвимости:

Функция File Reputation включена и назначена хотя бы на одну политику обработки входящей почты (Inbound Mail Policy);

Версия служебного компонента Content Scanner Tools ниже 25.3.0.5525.

Статус эксплуатации: активные атаки в дикой природе зафиксированы в октябре. Официальный security advisory опубликован 14 октября. Обходных путей (workarounds) и изолирующих твиков конфигурации не существует.

Векторы устранения:

Накат пакета определений Content Scanner Tools версии 25.3.0.5525 или новее (применяется динамически без ребута ноды);

Либо мажорный апгрейд образов системы до AsyncOS 15.5.5-014 / 16.5.0-780;

Облачная инфраструктура Cisco Secure Email Cloud Gateway уже пропатчена на стороне вендора.

🛠 ДИАГНОСТИКА И ПАТЧИНГ (CLI AsyncOS)
Проверку и принудительное обновление необходимо выполнять понодово на каждом физическом или виртуальном узле кластера:

Plaintext

# 1. Проверяем текущую установленную версию движков сканирования
contentscannerstatus

# 2. Если включен ручной режим обновлений — форсируем немедленную выкачку сигнатур
contentscannerupdate

# 3. Базовый поиск следов аномалий безопасности в системных журналах
grep "System Security" system_logs

⚠️ Важное замечание вендора по форензике:

Так как цепочка эксплойта даёт злоумышленнику права

root

на уровне базовой ОС FreeBSD/Linux шлюза, атакующий имеет возможность напрямую зачистить следы в локальных журналах

system_logs

и

mail_logs

. «Чистый» вывод журнала не гарантирует отсутствие компрометации.

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Почтовый шлюз архитектурно обязан принимать входящие SMTP-соединения со всего интернета (

0.0.0.0/0

), поэтому доставка полезной нагрузки через стандартный почтовый конверт — идеальный сценарий для атакующих.

Два фундаментальных правила эксплуатации SEG:

Автообновление движков контента (Antivirus, AMP, Content Scanner): должно быть включено по умолчанию в режиме реального времени, без задержек и ручного подтверждения администратором.

Жёсткий Egress-контроль: почтовому шлюзу из внешних направлений нужны только порт TCP/25 для доставки почты и доступ к вендорским CDN/серверам репутации по портам 80/443. Любые внезапные исходящие TCP/UDP-сессии с IP шлюза в сторону неизвестных внешних серверов на пограничном межсетевом экране должны немедленно отправлять алерт в SIEM/Telegram.

#security #cisco #email #zeroday #mail #gateway #sysadmin #admin_future

🛠 Октябрьское обновление Windows 11: что починили и что может сломаться. RDP-ошибка 0xC000000D

Коллеги, детальный разбор накопительного пакета KB5127648 — фокус не на индексах CVE, а на реальном поведении ОС в боевой инфраструктуре.

⚠️ ГЛАВНАЯ ПРОБЛЕМА: ОТВАЛ RDP (ОШИБКА 0xC000000D)
Симптомы: пользователи без локальных прав администратора внезапно теряют возможность подключиться по RDP к рабочим станциям и серверам управления. Клиент выдаёт ошибку 0xC000000D («The token that was passed to the function is invalid» / «Указан недопустимый маркер»).

Причина и триггер: механизм Administrator Protection (новая изолированная модель маркерной защиты LSA). С выходом этого обновления она активируется автоматически при применении свежих редакций Microsoft Security Baselines.

Статус исправления: вендор признал регрессию и готовит хотфикс.

Временный воркэраунд: не отключать политики целиком по домену, а точечно переопределить параметр UAC «User Account Control: Run all administrators in Admin Approval Mode» через GPO для хостов, где необходим доступ непривилегированных RDP-пользователей.

✅ ЧТО ПОЧИНИЛИ (РЕАЛЬНО ПОЛЕЗНЫЕ ФИКСЫ)
Storage Spaces Direct (S2D): решена критическая проблема, когда многоуровневые (tiered) виртуальные диски оставались в статусе Offline / Detached после планового ребута нод кластера.

Always On VPN: устранён баг с мертвым зависанием тоннеля в статусе «Connecting / Подключение» при динамическом согласовании протоколов (IKEv2 / SSTP).

Спулер печати: устранены сбои при печати через устаревшие драйверы RAW и Generic / Text Only (последствия августовского ужесточения RPC-хэндлов).

AVD и виртуальные рабочие столы с FSLogix: пофикшены чёрный экран (Black Screen of Death) и циклические падения процесса explorer.exe при монтировании профиля пользователя.

Биометрия Windows Hello: устранён отказ инициализации сканеров отпечатков пальцев после холодного старта (Fast Startup).

🛠 ПРОВЕРКА ЦЕЛЕВЫХ СБОРОК В ТЕРМИНАЛЕ
Патч переводит системы на следующие целевые ревизии:

24H2 → 26100.9711

25H2 → 26200.9711

PowerShell

# Экспресс-проверка версии и ревизии ядра (UBR)
$ver = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
[PSCustomObject]@{
    OSName         = $ver.ProductName
    DisplayVersion = $ver.DisplayVersion
    FullBuild      = "$($ver.CurrentBuild).$($ver.UBR)"
} | Format-Table -AutoSize

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Если в контуре эксплуатируются кластеры S2D с многоуровневым хранилищем или развернут Always On VPN — этот релиз стоит накатывать в приоритетном порядке: он закрывает реальные эксплуатационные сбои, а не просто латает уязвимости.

Однако, если в домене внедрены стандартные профили Microsoft Security Baselines, заранее проинструктируйте первую линию техподдержки: при жалобах на ошибку

0xC000000D

в RDP проблема кроется именно в токене Administrator Protection, а не в сети или правах доступа в группу Remote Desktop Users.

#windows #windows11 #rdp #s2d #vpn #patchmanagement #sysadmin #admin_future