🚨 AhsayCBS: два zero-day, SYSTEM на сервере бэкапов без пароля. Эксплуатация началась через сутки после обнаружения

Коллеги, очередное жесткое подтверждение базового правила: сервер резервного копирования — приоритетная цель номер один для злоумышленников.

📌 ФАКТЫ (отчет Field Effect от 9 октября)
Связка уязвимостей:

CVE-2026-105133 (CVSS 5.5) — логическая ошибка аутентификации в функции проверки пароля checkSysPwd;

CVE-2026-105134 (CVSS 9.3) — критическая инъекция команд ОС (Command Injection) в компоненте Replication Receiver.

Результат цепочки: удаленное неаутентифицированное исполнение произвольного кода (RCE) с наивысшими правами NT AUTHORITY\SYSTEM.

Под ударом: все версии платформы до 10.3.4 включительно. Официальный исправленный релиз на момент публикации вендором не обозначен.

Активная эксплуатация: реальные атаки зафиксированы поздно вечером 7 октября — всего через сутки после первых сигналов. За первые 24 часа подтверждена компрометация как минимум 5 организаций.

Анатомия закрепления: злоумышленники конфигурировали поддельный приемник репликации, заливали JSP веб-шелл, разворачивали скрытый майнер XMRig под маской легитимного процесса Microsoft Edge и прописывали фальшивую службу обновления браузера для автозагрузки.

🛠 ФОРЕНЗИКА И ПОИСК СЛЕДОВ (PowerShell на хосте AhsayCBS)
PowerShell

# 1. Поиск свежих JSP-файлов и шеллов за последнюю неделю
$installDir = 'C:\Program Files\AhsayCBS'
Get-ChildItem -Path $installDir -Recurse -Filter *.jsp -ErrorAction SilentlyContinue |
  Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-7) } |
  Select-Object FullName, LastWriteTime

# 2. Выявление процессов msedge, запущенных вне легитимной директории Microsoft
Get-CimInstance Win32_Process | 
  Where-Object { $_.Name -like 'msedge*' -and $_.ExecutablePath -notlike '*\Microsoft\Edge\*' } |
  Select-Object ProcessId, Name, ExecutablePath

# 3. Аудит подозрительных служб с «Edge» в названии
Get-CimInstance Win32_Service | 
  Where-Object { $_.DisplayName -match 'Edge' -or $_.Name -match 'Edge' } |
  Select-Object Name, DisplayName, PathName, StartMode

💡 В ЧЁМ СУТЬ

В данном кейсе атакующие ограничились установкой майнера, но уровень привилегий SYSTEM на сервере бэкапов автоматически означает полный доступ к архивам данных, теневым копиям и служебным учетным записям всех защищаемых хостов предприятия.

Правило изоляции едино для любого решения (Ahsay, Veeam, Proxmox Backup Server, Commvault):

Любые порты управления, API и сервисы репликации никогда не должны смотреть в публичный интернет — только выделенный Management VLAN, изолированный VPN или защищенный туннель.

Если на сервере бэкапов обнаружены следы веб-шелла или сторонних служб — машина считается скомпрометированной целиком. Она не «лечится» установкой патча, а подлежит полной переустановке с чистого образа с обязательным отзывом и перевыпуском всех ключей доступа.

#security #backup #zeroday #ahsay #threathunting #powershell #windows #sysadmin #admin_future

🤖 Линус Торвальдс пишет патч для ядра с Claude Code. И честно это указывает

Коллеги, интересное из жизни ядра — без хайпа и строго по фактам.

📌 ФАКТЫ
Ветка в репозитории: в персональном Git-дереве Торвальдса появилась ветка noref-filemap-read-with-llm.

Архитектурная суть: оптимизация сценария, когда множество параллельных потоков одновременно читают один и тот же файл небольшими порциями. Чтение из Page Cache переводится в режим без инкремента счётчика ссылок на folio (page refcount contention). Именно постоянное атомарное обновление счётчика ссылок создаёт узкое горлышко и конкуренцию на кэш-линиях CPU при интенсивном параллельном I/O.

Честный commit message: в описании патча Линус прямо зафиксировал, что изменения подготовлены «LLM-ассистентом (Claude Code) под моим руководством». Модель помогла со скелетом кода, синтетическими тестовыми программами, перекрёстным ревью и черновиком сопроводительного письма.

Верификация: все бенчмарки и профилирование Торвальдс проводил лично на своём рабочем железе. Патчи ещё не влиты в апстрим, вероятная цель — окно слияния Linux 7.4.

Индустриальный контекст: одновременно с этим NVIDIA представила Boro — локальный AI-инструмент, заточенный под разработку и верификацию кода ядра на языке Rust.

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Важен не сам факт задействования нейросетей, а культура инженерной ответственности:

Архитектурную постановку задачи, контроль логики и валидацию замеров выполняет живой сеньор-инженер. Факт использования ассистента декларируется открыто, а персональная ответственность за продакшен-код остаётся на авторе коммита.

Ровно по этой модели должна строиться эксплуатация любого AI-инструмента в инфраструктуре: генерировать скрипт или конфиг может модель, но валидирует, пушит в прод и несёт ответственность только сисадмин.

При принятии коммитов прямую выгоду по I/O получат высоконагруженные веб-серверы (Nginx/Envoy, отдающие статику), ноды контейнеризации с общими read-only слоями образов и CI/CD сборочные фермы.

#linux #kernel #ai #torvalds #opensource #performance #sysadmin #admin_future

🗓 Patch Tuesday сегодня вечером: как разобрать бюллетень за 15 минут, а не за 3 часа

Коллеги, вторник, 13 октября. Октябрьские обновления Microsoft традиционно начнут раскатываться около 20:00 МСК. Сегодня же официально завершается фаза основной поддержки Windows Server 2022.

📌 АЛГОРИТМ ПРИОРИТИЗАЦИИ НА ВЕЧЕР
Zero-day и CISA KEV (эксплуатация в wild): единственный класс уязвимостей, требующий внеочередной установки в первые 24–48 часов.

Сетевые RCE на внешнем периметре: компоненты, смотрящие наружу (Exchange, RDS Gateway, IIS, Always On VPN), берутся во вторую очередь в рамках текущего спринта.

Внутренний контур (LPE, Client-side): штатный цикл тестирования (лабораторная среда → пилотные серверы → общий продакшен-пул).

Раздел Known Issues: обязательное чтение перечня известных проблем в KB до нажатия кнопки одобрения во WSUS/SCCM (в сентябре это уберегло бы RDS-фермы от мертвых зависаний).

🛠 АВТОМАТИЗАЦИЯ ВЫБОРКИ: KEV И EPSS НА BASH
Bash

# 1. Выгрузка свежих уязвимостей Microsoft, попавших в CISA KEV сегодня
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json | \
  jq -r '.vulnerabilities[] 
    | select(.vendorProject=="Microsoft" and .dateAdded=="2026-10-13") 
    | "\(.cveID)\t\(.vulnerabilityName)"'

# 2. Экспресс-запрос скоринга вероятности эксплуатации (EPSS) через API FIRST
# Замените список CVE на целевые идентификаторы из вечернего бюллетеня
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2026-XXXXX,CVE-2026-YYYYY" | \
  jq -r '.data[] | "\(.cve)\tEPSS: \(.epss)\t(процентиль: \(.percentile))"'

⚠️ КОНТРОЛЬНЫЙ ЧЕКЛИСТ ДО НАЧАЛА РАСКАТКИ
Снапшоты и бэкапы: контроллеры домена, базы данных и шлюзы аутентификации бэкапятся со сбросом транзакционных логов строго до применения обновлений.

NTLMv1 Enforce: клиентские рабочие станции на Windows 11 24H2 и серверы 2025 с корпоративным Wi-Fi/VPN через PEAP-MSCHAPv2 находятся в зоне риска отвала бесшовного входа при отсутствии Credential Guard.

Windows Server 2022: статус Mainstream завершён. Начиная со следующего месяца серверы ветки 2022 будут получать исключительно секьюрные патчи (Extended Support до 2031 года).

#patchtuesday #windows #security #kev #epss #patchmanagement #sysadmin #admin_future

🚨 Atlassian Data Center: чтение файлов без авторизации. Атаки начались через 2 часа после публикации деталей

Коллеги, после ухода Atlassian многие команды в РФ зафиксировали инфраструктуру на self-hosted инстансах Jira и Confluence Data Center. Этот пост — прямой сигнал на аудит периметра.

📌 ФАКТЫ
Идентификатор и критичность: CVE-2026-21589, базовый балл CVSS 9.3 — неаутентифицированное чтение произвольных файлов (Arbitrary File Read) в контексте каталога веб-приложения.

Специфика вектора: прямого листинга каталогов нет — атакующему необходимо знать точный относительный путь и целевое имя файла.

Масштаб покрытия: уязвимы Data Center редакции практически всей линейки: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible, Fisheye.

Скорость реагирования ботнетов: первые попытки эксплуатации в wild зафиксированы примерно через 2 часа после выхода технического разбора от исследователей watchTowr. На текущий момент фиксируется массовое автоматизированное сканирование с вычиткой дефолтных путей конфигурационных файлов.

Исправленные релизы вендора:

Plaintext

Jira Software / JSM : 9.12.40 · 10.3.26 · 11.3.12 (JSM: 5.12.40)
Confluence          : 9.2.26  · 10.2.19
Bitbucket           : 9.4.26  · 10.2.8   · 10.5.1
Crowd               : 6.3.7   · 7.0.3   · 7.1.7 · 7.2.4
Bamboo              : 10.2.24 · 12.1.12
Crucible / Fisheye  : 4.9.15

🛠 ВРЕМЕННЫЙ МИТИГЕЙТ (ЕСЛИ НЕТ ВОЗМОЖНОСТИ НАКАТИТЬ ПАТЧ ПРЯМО СЕЙЧАС)
Изоляция сетевого контура: немедленно убрать внешние публикации (0.0.0.0/0) за корпоративный VPN или reverse-proxy с пре-аутентификацией.

Фильтрация на обратном прокси / WAF: заблокировать сигнатуры обращения к внутренним служебным эндпоинтам веб-приложения.

Локальная блокировка веб-сервера:

Для Jira, Confluence, Bamboo, Crowd — подключение модуля Tomcat RewriteValve в конфигурации контейнера сервлетов (server.xml / rewrite.config);

Для Bitbucket — активация правил отсечения запросов через urlrewrite.xml по вендорскому security bulletin.

💡 В ЧЁМ СУТЬ

Чтение файлов без RCE кажется неопасным лишь на первый взгляд.

В каталогах веб-приложений лежат файлы вроде

dbconfig.xml

, содержащие логины и открытые пароли к базам данных PostgreSQL/Oracle, секреты сессий, приватные ключи подписи и API-токены интеграций.

Если ваш инстанс торчал наружу в публичный интернет — простого наката патча недостаточно. После обновления обязательно проведите ротацию пароля сервисной учетной записи БД в СУБД и перевыпустите все связанные токены интеграций.

#security #atlassian #jira #confluence #bitbucket #cve #threathunting #devops #sysadmin #admin_future

🐍 Python 3.15 вышел: UTF-8 по умолчанию может сломать ваши скрипты на Windows

Коллеги, важный релиз для всех, кто пишет скрипты автоматизации, интеграции и парсеры системных логов на Python.

📌 ФАКТЫ
Стабильный релиз: 9 октября представлена финальная ветка Python 3.15.

UTF-8 Mode по умолчанию (PEP 686): встроенная функция open() без явного параметра encoding теперь всегда открывает файлы в кодировке UTF-8, игнорируя региональные параметры операционной системы (locale.getencoding()).

Ленивые импорты (PEP 810): синтаксис вида lazy import json — модуль парсится и загружается в память только при первом фактическом вызове атрибута (включается строго явно флагом или директивой). Существенно срезает время холодного старта CLI-утилит.

Экспериментальный JIT: прирост производительности +7–8% на архитектуре x86_64 под Linux.

Сэмплирующий профилировщик Tachyon: низкоуровневый профилировщик без остановки рантайма. Умеет аттачиться к уже запущенному production-процессу и строить flame graph узких мест.

Новые базовые типы: добавлены нативные frozendict (неизменяемый словарь) и sentinel (удобные уникальные маркеры-заглушки вместо object()).

⚠️ ГДЕ ВЫСТРЕЛИТ НА WINDOWS
Исторически на русскоязычных Windows-серверах и рабочих станциях open() по умолчанию поднимал кодировку CP1251 (ANSI) для файлов и CP866 (OEM) для консольных утилит.

После обновления интерпретатора до 3.15:

Выгрузки отчетов, реестров и прайсов из 1С:Предприятия;

Экспортированные CSV-таблицы из классического Excel;

Текстовые журналы старых служб, конфиги и .bat/.cmd скрипты в кодировке ANSI

при попытке прочитать их «по старинке» (open('file.txt')) мгновенно уронят процесс с ошибкой UnicodeDecodeError: 'utf-8' codec can't decode byte... либо тихо запишут кракозябры при сохранении.

🛠 КАК ПРАВИЛЬНО ОБРАБАТЫВАТЬ КОДИРОВКИ
1. Явная фиксация кодировки в Python
Python

# Чтение локальных Windows-выгрузок (1С, Excel, старые сервисы)
with open('export_1c.csv', mode='r', encoding='cp1251') as f:
    data = f.read()

# Корректный перехват stdout системных CLI-команд Windows (ipconfig, ping, netstat)
import subprocess

res = subprocess.run(
    ['ipconfig', '/all'], 
    capture_output=True, 
    encoding='cp866', 
    check=True
)
print(res.stdout)

2. Временный откат поведения через переменные окружения
PowerShell

# Принудительное отключение UTF-8 режима для конкретного сеанса PowerShell
$env:PYTHONUTF8 = '0'
python automation_script.py

3. Экспресс-аудит репозитория скриптов перед обновлением Python
Bash

# Ищем потенциально опасные вызовы open() без аргумента encoding в проекте
grep -rnE "open\([^)]*\)" --include="*.py" . | grep -v "encoding="

💡 В ЧЁМ СУТЬ

Явный параметр

encoding=

в каждом вызове

open()

— базовый стандарт инженерной гигиены, делающий скрипт полностью переносимым между Windows Server, Debian/Ubuntu и любыми версиями рантайма.

Перед тем как обновлять глобальный Python на серверах автоматизации или в контейнерах сборщиков, прогоните аудит кода регуляркой выше.

#skills #python #automation #windows #1c #linux #devops #sysadmin #admin_future

📊 Октябрьский Patch Tuesday: 1 411 уязвимостей — абсолютный рекорд. Что ставить первым

Коллеги, среда. Разбираем вчерашний массивный релиз Microsoft строго по инженерному алгоритму приоритизации.

📌 ФАКТЫ
Масштаб пакета: закрыто 1 411 уязвимостей (против рекордных ~970 в сентябре).

Критический сегмент: 70 бюллетеней со статусом Critical (57 RCE, 11 Elevation of Privilege, 2 Spoofing).

Внеочередные фиксы: ещё 348 уязвимостей закрыты редмондской командой ранее в течение месяца (преимущественно инфраструктура Azure и облачные сервисы).

🔴 ПРИОРИТЕТ 1 — СЕГОДНЯ (ЭКСПЛУАТАЦИЯ В WILD)
CVE-2026-96951 (Windows Shell, CVSS 8.8): обход механизма защиты Mark of the Web (MotW).

Активно эксплуатируется в атаках, внесена в каталог CISA KEV со строгим дедлайном устранения до 16 октября.

Позволяет вредоносному вложению или загруженному из сети исполняемому файлу запускаться без предупреждения SmartScreen — классический первичный вектор целевого фишинга.

Таргет наката: рабочие станции пользователей и терминальные фермы.

🟠 ПРИОРИТЕТ 2 — ЭТА НЕДЕЛЯ (СЕРВЕРНАЯ ИНФРАСТРУКТУРА)
CVE-2026-70229 (Active Directory Domain Services, CVSS 8.1): удалённое исполнение кода (RCE) на контроллерах домена. Рейтинг Microsoft Exploitability: «Exploitation More Likely».

CVE-2026-70571 (Exchange Server, CVSS 8.1): сетевое RCE в почтовом бэкенде, «Exploitation More Likely».

CVE-2026-70187 (Remote Desktop Services, CVSS 8.1): уязвимость RCE в стеке RDS.

Пул RCE в Microsoft Outlook (5 уязвимостей, CVSS 9.8): исполнение произвольного кода без взаимодействия с пользователем — триггерится прямо через область предварительного просмотра (Reading Pane).

Hyper-V (две RCE, CVSS 8.8): побег из виртуальной машины на хост гипервизора («Exploitation Less Likely»).

🟡 ОБРАТИТЬ ВНИМАНИЕ (АРХИТЕКТУРНЫЕ ОБХОДЫ)
CVE-2026-108398 (.NET Framework, CVSS 7.8): обход политик целостности кода Windows Defender Application Control (WDAC). Уязвимость раскрыта публично Джеймсом Форшоу (Google Project Zero), PoC доступен в исследовательских кругах.

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

За пугающей цифрой в 1 411 CVE скрывается стандартное правило Парето: реально горящих проблем — около десяти.

Оптимальный порядок развёртывания:

Рабочие станции и ноутбуки — закрыть MotW (

CVE-2026-96951

) и превью Outlook, перекрыв входящий фишинг.

Контроллеры домена (AD DS) — строго поочерёдно, контролируя репликацию (

repadmin /replsummary

) после каждого узла.

Exchange Server и RDS Gateway/Session Hosts — обязательно со снятием свежего бэкапа состояния системы/ВМ и предварительным тестом на пилотной ноде.

Изолированный бэкенд и внутренние сервисы — в рамках штатного сервисного окна выходных дней.

#patchtuesday #windows #activedirectory #exchange #cve #security #sysadmin #admin_future

📧 Skills: 5 RCE в Outlook с CVSS 9.8 — достаточно открыть письмо в области чтения. Проверяем версию Office по всему парку

Коллеги, разбираем детально самый неприятный и опасный блок октябрьского Patch Tuesday.

📌 ФАКТЫ
Идентификаторы уязвимостей: CVE-2026-88156, CVE-2026-97016, CVE-2026-70291, CVE-2026-70242, CVE-2026-97749.

Критичность: максимальный базовый балл CVSS 9.8 (Remote Code Execution, класс — классические переполнения буфера в парсерах форматов сообщений).

Вектор атаки — Preview Pane (Zero-Click): по официальному бюллетеню безопасности Microsoft, эксплуатация инициируется автоматически при отображении письма в области предварительного просмотра (Reading Pane) — пользователю не нужно открывать вложения или переходить по ссылкам.

Затронутые платформы: почтовые клиенты Outlook в составе Microsoft 365 Apps for enterprise, Office LTSC 2021 и Office LTSC 2024 (как под Windows, так и под macOS). Для двух уязвимостей патчи под Mac LTSC задержатся до конца месяца.

Статус эксплуатации: в дикой природе активных эксплойтов пока не зафиксировано («Exploitation Less Likely»).

Главный риск: обходных путей (workarounds) и изолирующих настроек реестра вендор не предоставил — единственным методом защиты является установка апдейта сборок Office.

🛠 ИНВЕНТАРИЗАЦИЯ И ПРИНУДИТЕЛЬНЫЙ ПУШ ОБНОВЛЕНИЙ (Click-to-Run)
В большинстве сетей Microsoft 365 Apps и Office 2021/2024 развернуты по модели Click-to-Run (C2R), минуя классический каталог WSUS:

PowerShell

# 1. Проверка текущей версии, CDN-источника и статуса автообновлений локально
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' |
  Select-Object VersionToReport, CDNBaseUrl, UpdatesEnabled

# 2. Массовая инвентаризация версий Office по доменным рабочим станциям через WinRM
$pcs = (Get-ADComputer -Filter 'OperatingSystem -like "*Windows 1*" -and Enabled -eq $true').Name

Invoke-Command -ComputerName $pcs -ErrorAction SilentlyContinue -ScriptBlock {
  $c2r = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' -ErrorAction SilentlyContinue
  if ($c2r) {
    [PSCustomObject]@{
      Version = $c2r.VersionToReport
      Enabled = $c2r.UpdatesEnabled
    }
  }
} | Select-Object PSComputerName, @{N='OfficeVersion'; E={$_.Version}}, @{N='UpdatesActive'; E={$_.Enabled}} | 
    Sort-Object OfficeVersion

# 3. Принудительный старт тихой фоновой загрузки и установки обновлений на клиенте
$c2rClient = "$env:CommonProgramFiles\microsoft shared\ClickToRun\OfficeC2RClient.exe"
if (Test-Path $c2rClient) {
  Start-Process -FilePath $c2rClient -ArgumentList '/update user displaylevel=false'
}

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Office C2R часто существует обособленно от централизованного патч-менеджмента ОС и тихо обновляется из CDN Microsoft — ровно до тех пор, пока ключ

UpdatesEnabled

не оказывается отключен.

Часто это происходит при развертывании машин из старых кастомных образов, после оптимизационных твикеров или если обновления замораживали локально, «чтобы интерфейс не дёргался посреди рабочего дня».

При RCE через Reading Pane со скорингом 9.8 любая рабочая станция со старой сборкой Outlook внутри корпоративной сети превращается в открытый плацдарм для закрепления через одно-единственное входящее письмо. Скрипт выше выявляет отставшие машины за пару минут.

#skills #outlook #office #security #cve #powershell #patchmanagement #sysadmin #admin_future

🗓 Windows 11 24H2 Home и Pro больше не получают обновлений. В ноябре — очередь 23H2 Enterprise

Коллеги, вместе с рекордным Patch Tuesday незаметно подошли дедлайны жизненного цикла операционных систем Microsoft. Самое время проверить ревизии клиентских сборок в корпоративном сегменте.

📌 ФАКТЫ
Windows 11 24H2 (Home и Pro): октябрьский кумулятивный пакет стал финальным официальным обновлением безопасности для потребительских и стандартных профессиональных редакций.

Windows 10 Enterprise LTSB 2016: полностью завершился 10-летний цикл расширенной поддержки (Extended Support).

Windows 11 23H2 (Enterprise, Education, IoT Enterprise): финальный секьюрити-патч выйдет ровно через месяц, во вторник 10 ноября.

Windows Server 2022: с 13 октября серверная ветка перешла в фазу Extended Support — только обновления безопасности без функциональных доработок (до октября 2031 года).

🛠 ИНВЕНТАРИЗАЦИЯ КЛИЕНТСКИХ ОС ПО ACTIVE DIRECT
Быстрый аудит доменных рабочих станций для выявления устаревших сборок:

PowerShell

# Билды: 22631 = 23H2 | 26100 = 24H2 | 26200 = 25H2
Get-ADComputer -Filter 'Enabled -eq $true -and OperatingSystem -like "Windows 1*"' `
  -Properties OperatingSystem, OperatingSystemVersion, LastLogonDate |
  Group-Object OperatingSystem, OperatingSystemVersion |
  Sort-Object Count -Descending | 
  Select-Object Count, Name | 
  Format-Table -AutoSize

PowerShell

# Локальная проверка редакции, версии и точного номера сборки на хосте
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion' |
  Select-Object ProductName, EditionID, DisplayVersion, CurrentBuild, UBR |
  Format-List

⚠️ ГЛАВНАЯ ЛОВУШКА В ПАРКЕ
Во многих филиалах и офисах ноутбуки закупаются сразу с OEM-редакцией Windows 11 Pro. Если апгрейды версий ранее замораживали через GPO или отключали службу доставки обновлений («чтобы не тормозило и не перезагружалось»), эти машины начиная с текущего месяца полностью отрезаны от секьюрити-патчей.

Ни закрытия MotW (CVE-2026-96951), ни критических RCE в превью Outlook они уже не получат штатным образом.

💡 В ЧЁМ СУТЬ

Обновление машин с 24H2 до актуальной 25H2 не требует длительной переустановки ОС или раскатки «тяжелого» WIM-образа — оно выполняется через компактный Enablement Package (eKB) через WSUS, Intune или Windows Update for Business.

Процесс сводится к одной быстрой перезагрузке рабочей станции (занимает 2–3 минуты). Прогоните инвентаризацию скриптом выше, сформируйте список хостов на 24H2 Pro и одобрите пакет перехода до конца недели.

#windows #lifecycle #windows11 #inventory #powershell #security #patchmanagement #sysadmin #admin_future

🚨 Cisco Secure Email Gateway: zero-day через вложение в письме, root на шлюзе. Второй почтовый шлюз за две недели

Коллеги, четверг. Вслед за инцидентами вокруг FortiMail под прицел попали решения Cisco. Почтовые шлюзы (Secure Email Gateway / ESA) окончательно утвердились в статусе приоритетного вектора атак на внешний периметр.

📌 ФАКТЫ
Идентификатор и скоринг: CVE-2026-76519, критический базовый балл CVSS 9.8. Затрагивает операционную систему AsyncOS и механизм анализа репутации файлов AMP (Advanced Malware Protection) File Reputation.

Вектор Zero-Click: неаутентифицированная атака через отправку специально сформированного письма с вредоносным вложением.

В процессе штатного парсинга вложения модулем сканирования происходит запись произвольных файлов в файловую систему appliance с последующим выполнением произвольного кода с правами суперпользователя root.

Каких-либо действий от конечного пользователя или администратора не требуется — разбор и триггер уязвимости происходят на лету самим шлюзом.

Необходимые условия уязвимости:

Функция File Reputation включена и назначена хотя бы на одну политику обработки входящей почты (Inbound Mail Policy);

Версия служебного компонента Content Scanner Tools ниже 25.3.0.5525.

Статус эксплуатации: активные атаки в дикой природе зафиксированы в октябре. Официальный security advisory опубликован 14 октября. Обходных путей (workarounds) и изолирующих твиков конфигурации не существует.

Векторы устранения:

Накат пакета определений Content Scanner Tools версии 25.3.0.5525 или новее (применяется динамически без ребута ноды);

Либо мажорный апгрейд образов системы до AsyncOS 15.5.5-014 / 16.5.0-780;

Облачная инфраструктура Cisco Secure Email Cloud Gateway уже пропатчена на стороне вендора.

🛠 ДИАГНОСТИКА И ПАТЧИНГ (CLI AsyncOS)
Проверку и принудительное обновление необходимо выполнять понодово на каждом физическом или виртуальном узле кластера:

Plaintext

# 1. Проверяем текущую установленную версию движков сканирования
contentscannerstatus

# 2. Если включен ручной режим обновлений — форсируем немедленную выкачку сигнатур
contentscannerupdate

# 3. Базовый поиск следов аномалий безопасности в системных журналах
grep "System Security" system_logs

⚠️ Важное замечание вендора по форензике:

Так как цепочка эксплойта даёт злоумышленнику права

root

на уровне базовой ОС FreeBSD/Linux шлюза, атакующий имеет возможность напрямую зачистить следы в локальных журналах

system_logs

и

mail_logs

. «Чистый» вывод журнала не гарантирует отсутствие компрометации.

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Почтовый шлюз архитектурно обязан принимать входящие SMTP-соединения со всего интернета (

0.0.0.0/0

), поэтому доставка полезной нагрузки через стандартный почтовый конверт — идеальный сценарий для атакующих.

Два фундаментальных правила эксплуатации SEG:

Автообновление движков контента (Antivirus, AMP, Content Scanner): должно быть включено по умолчанию в режиме реального времени, без задержек и ручного подтверждения администратором.

Жёсткий Egress-контроль: почтовому шлюзу из внешних направлений нужны только порт TCP/25 для доставки почты и доступ к вендорским CDN/серверам репутации по портам 80/443. Любые внезапные исходящие TCP/UDP-сессии с IP шлюза в сторону неизвестных внешних серверов на пограничном межсетевом экране должны немедленно отправлять алерт в SIEM/Telegram.

#security #cisco #email #zeroday #mail #gateway #sysadmin #admin_future

🛠 Октябрьское обновление Windows 11: что починили и что может сломаться. RDP-ошибка 0xC000000D

Коллеги, детальный разбор накопительного пакета KB5127648 — фокус не на индексах CVE, а на реальном поведении ОС в боевой инфраструктуре.

⚠️ ГЛАВНАЯ ПРОБЛЕМА: ОТВАЛ RDP (ОШИБКА 0xC000000D)
Симптомы: пользователи без локальных прав администратора внезапно теряют возможность подключиться по RDP к рабочим станциям и серверам управления. Клиент выдаёт ошибку 0xC000000D («The token that was passed to the function is invalid» / «Указан недопустимый маркер»).

Причина и триггер: механизм Administrator Protection (новая изолированная модель маркерной защиты LSA). С выходом этого обновления она активируется автоматически при применении свежих редакций Microsoft Security Baselines.

Статус исправления: вендор признал регрессию и готовит хотфикс.

Временный воркэраунд: не отключать политики целиком по домену, а точечно переопределить параметр UAC «User Account Control: Run all administrators in Admin Approval Mode» через GPO для хостов, где необходим доступ непривилегированных RDP-пользователей.

✅ ЧТО ПОЧИНИЛИ (РЕАЛЬНО ПОЛЕЗНЫЕ ФИКСЫ)
Storage Spaces Direct (S2D): решена критическая проблема, когда многоуровневые (tiered) виртуальные диски оставались в статусе Offline / Detached после планового ребута нод кластера.

Always On VPN: устранён баг с мертвым зависанием тоннеля в статусе «Connecting / Подключение» при динамическом согласовании протоколов (IKEv2 / SSTP).

Спулер печати: устранены сбои при печати через устаревшие драйверы RAW и Generic / Text Only (последствия августовского ужесточения RPC-хэндлов).

AVD и виртуальные рабочие столы с FSLogix: пофикшены чёрный экран (Black Screen of Death) и циклические падения процесса explorer.exe при монтировании профиля пользователя.

Биометрия Windows Hello: устранён отказ инициализации сканеров отпечатков пальцев после холодного старта (Fast Startup).

🛠 ПРОВЕРКА ЦЕЛЕВЫХ СБОРОК В ТЕРМИНАЛЕ
Патч переводит системы на следующие целевые ревизии:

24H2 → 26100.9711

25H2 → 26200.9711

PowerShell

# Экспресс-проверка версии и ревизии ядра (UBR)
$ver = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
[PSCustomObject]@{
    OSName         = $ver.ProductName
    DisplayVersion = $ver.DisplayVersion
    FullBuild      = "$($ver.CurrentBuild).$($ver.UBR)"
} | Format-Table -AutoSize

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Если в контуре эксплуатируются кластеры S2D с многоуровневым хранилищем или развернут Always On VPN — этот релиз стоит накатывать в приоритетном порядке: он закрывает реальные эксплуатационные сбои, а не просто латает уязвимости.

Однако, если в домене внедрены стандартные профили Microsoft Security Baselines, заранее проинструктируйте первую линию техподдержки: при жалобах на ошибку

0xC000000D

в RDP проблема кроется именно в токене Administrator Protection, а не в сети или правах доступа в группу Remote Desktop Users.

#windows #windows11 #rdp #s2d #vpn #patchmanagement #sysadmin #admin_future

📦 Office 2021 больше не получает обновлений безопасности. Найдите его в парке до следующего Patch Tuesday

Коллеги, ещё одна критическая дата жизненного цикла ПО Microsoft, прошедшая 13 октября практически незаметно на фоне рекордного количества CVE.

📌 ФАКТЫ
Завершение жизненного цикла: для Office LTSC 2021 (включая классические пакеты Word, Excel, PowerPoint, Outlook, Access, Project и Visio) официальная поддержка окончательно прекращена 13 октября 2026 года.

Текущий статус: приложения продолжают запускаться и работать штатно, но никаких патчей безопасности и хотфиксов вендор больше выпускать не будет.

Предшественники: поддержка Office 2016 и Office 2019 завершилась ещё в октябре 2025 года — обе эти ветки уже год находятся в «серой зоне».

Реальный масштаб риска: только в октябрьском выпуске обновлений Microsoft закрыла 173 уязвимости в компонентах Office, из которых 26 получили статус Critical (один только Excel собрал 69 уязвимостей, включая 11 критических RCE). Все новые дыры ноября останутся в Office 2021 навсегда.

Что остаётся на официальной поддержке:

Microsoft 365 Apps (корпоративная подписочная модель с регулярными апдейтами каналов);

Office LTSC 2024 (текущая бессрочная корпоративная редакция с фиксированным циклом поддержки).

🛠 ИНВЕНТАРИЗАЦИЯ УСТАНОВЛЕННЫХ РЕДАКЦИЙ В ДОМЕНЕ
Быстрый аудит машин на выявление неподдерживаемых сборок:

1. Для современных установок Click-to-Run (C2R)
PowerShell

# Определяем точный продуктовый идентификатор установленного пакета:
$prodId = (Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' -ErrorAction SilentlyContinue).ProductReleaseIds

# Расшифровка ключевых идентификаторов:
# ProPlus2021Volume / Standard2021Volume -> Office 2021 (ПОДДЕРЖКА ЗАВЕРШЕНА)
# ProPlus2019Volume / Standard2019Volume -> Office 2019 (ПОДДЕРЖКА ЗАВЕРШЕНА)
# O365ProPlusRetail                      -> Microsoft 365 Apps (ПОДДЕРЖИВАЕТСЯ)
# ProPlus2024Volume / Standard2024Volume -> Office 2024 (ПОДДЕРЖИВАЕТСЯ)

2. Для устаревших MSI-установок (Office 2016 и старше)
PowerShell

# Проверка классической ветки реестра Uninstall (32-бит и 64-бит):
Get-ItemProperty `
  'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*', `
  'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*' -ErrorAction SilentlyContinue |
  Where-Object { $_.DisplayName -match 'Microsoft Office (Professional|Standard|Home|LTSC)' } |
  Select-Object DisplayName, DisplayVersion, InstallDate |
  Format-Table -AutoSize

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Офисный пакет без регулярных секьюрити-обновлений — главная входная дверь для шифровальщиков и стилеров: входящие таблицы Excel, сметы и коммерческие предложения в Word открываются рядовыми сотрудниками ежедневно и на автомате.

Где искать в первую очередь:

Бухгалтерия, финансовый отдел и отдел кадров — рабочие места с максимальным входящим трафиком внешних документов от контрагентов.

Филиальные ПК и удалённые склады — где исторически «один раз поставили с дистрибутива и забыли».

Если бюджетный апгрейд всего парка на Office LTSC 2024 или облачный Microsoft 365 не согласован:

Рассмотрите гибридную схему: массовый перевод типовых рабочих мест на отечественные/open-source офисные пакеты (Р7-Офис, МойОфис, LibreOffice);

Для единичных пользователей с критической зависимостью от сложных VBA-макросов выделите изолированный терминальный сервер с актуальным поддерживаемым Office, отрезав прямой доступ из интернета.

#office #lifecycle #microsoft #security #inventory #powershell #patchmanagement #sysadmin #admin_future

🔥 Palo Alto PAN-OS: RCE с правами root через интерфейс управления. Плюс итоги недели по KEV

Коллеги, пятница. Перед выходными — закрываем периметр.

📌 ФАКТЫ
CVE-2026-0322, CVSS 4.0 — 8.6, внедрение кода (CWE-94) в management interface PAN-OS

Аутентифицированный атакующий с сетевым доступом выполняет код от root. Специальной конфигурации не требуется

Затронуты PA-Series, VM-Series и Panorama. Cloud NGFW и Prisma Access — нет

Palo Alto сообщает об «очень ограниченной эксплуатации». Обходного решения нет

Исправления — для веток 10.2, 11.1, 11.2, 12.1, 12.2 (например, 11.2.16). Неподдерживаемые версии патча не получат

📋 KEV ЗА НЕДЕЛЮ (CISA, сроки для госорганов США — 16–17 октября)
CVE-2026-0322 — Palo Alto PAN-OS

CVE-2026-76519 — Cisco Secure Email Gateway

CVE-2026-105133 / 105134 — AhsayCBS

CVE-2026-96951 — Windows Shell, обход MotW

🛡 ПЛАН НА СЕГОДНЯ
Интерфейс управления файрвола и Panorama — только из management-сети или с jump-хоста. Не из интернета

Обновить до исправленного hotfix в своей ветке

Сменить пароли администраторов и проверить список учёток: эксплуатация требует аутентификации, значит, атакующие используют украденные или слабые пароли

Логи управления — необычные входы, изменения конфигурации

💡 В ЧЁМ СУТЬ

«Требует аутентификации» не значит «не опасно». На практике это значит «опасно в связке с утёкшим паролем». Отдельная админ-сеть плюс MFA на вход в управление закрывают и эту CVE, и следующую.

#alert #paloalto #firewall #kev #cve #sysadmin #admin_future

🐧 Ubuntu 26.10 вышла: systemd 261 больше не поддерживает SysV-скрипты. Проверьте свои /etc/init.d

Коллеги, 15 октября состоялся релиз Ubuntu 26.10 «Stonking Stingray». Главное для серверов — не десктопный GNOME, а низкоуровневые изменения в подсистеме инициализации systemd.

📌 ФАКТЫ
Ядро Linux 7.3 (стартовый пакет собран на 7.3-rc6), поддержка 9 месяцев — до июля 2027

systemd 261 убрал поддержку SysV-скриптов (/etc/init.d/*)

Rust coreutils (uutils): в 26.10 на них переведены и cp, mv, rm

OpenSSL 4: Encrypted Client Hello, расширенный QUIC, улучшения постквантовой криптографии

dbus-broker вместо dbus-daemon, Sequoia PGP в main, вход через authd с паролем Microsoft и MFA

🛠 НАЙТИ СЛУЖБЫ НА SYSV-СКРИПТАХ
Bash

# Службы, которые systemd сейчас генерирует из /etc/init.d
for u in $(systemctl list-unit-files --type=service --no-legend | awk '{print $1}'); do
  systemctl show -p SourcePath --value "$u" | grep -q '^/etc/init.d/' && echo "$u"
done

Обычно туда попадают старые агенты мониторинга и бэкапа, ПО железа (RAID, ИБП), самописные демоны. На 26.10 они просто не запустятся.

💡 В ЧЁМ СУТЬ

26.10 — промежуточный релиз, на продакшен ставить не обязательно. Но это предупреждение: изменения из него придут в следующую LTS. Переписать init-скрипт на unit-файл — 15 минут. Делать это сейчас дешевле, чем после обновления.

#linux #ubuntu #systemd #migration #sysadmin #admin_future

🧠 Skills: Rust coreutils добрались до cp, mv и rm. Как проверить, что ваши скрипты не сломаются

Коллеги, навык выходного дня — короткий и полезный.

📌 ФАКТЫ
В Ubuntu 26.04 LTS большинство утилит coreutils уже работает на uutils (переписаны на Rust)

В 26.10 к ним добавились самые «опасные» в скриптах: cp, mv, rm

Цель Canonical — безопасность памяти. Но любая переписанная утилита может по-другому обрабатывать редкие флаги, сообщения об ошибках и граничные случаи

🛠 ЧЬИ У ВАС УТИЛИТЫ
Bash

cp --version | head -1        # «uutils coreutils» или «GNU coreutils»
ls -l "$(command -v cp)"      # куда ведёт бинарь

🛠 ПРОГОН СКРИПТОВ В КОНТЕЙНЕРЕ
Bash

# Чистая 26.10 рядом, ничего не ломая на сервере
docker run --rm -it -v "$PWD/scripts:/scripts:ro" ubuntu:26.10 bash
# внутри: прогоняем скрипты на тестовых данных
bash -x /scripts/backup.sh

⚠️ НА ЧТО СМОТРЕТЬ
Парсинг вывода ls, df, du, stat через awk/cut — формат может отличаться

Проверки по тексту ошибок (grep 'No such file')

Редкие флаги cp (--reflink, --preserve=..., --sparse)

💡 В ЧЁМ СУТЬ

Хороший скрипт проверяет код возврата, а не текст в выводе. Если скрипт ломается от смены реализации

ls

, значит, он и так был хрупким. Повод переписать его на

find -printf

или

stat -c

с явным форматом.

#skills #linux #bash #ubuntu #rust #coreutils #sysadmin #admin_future

🚨 PwnEscape (CVE-2026-99999): побег из ВМ на хост KVM через virtio-net. Proxmox уже выпустил исправленное ядро

Коллеги, понедельник. Если у вас Proxmox или любой KVM — это пост номер один на неделю.

📌 ФАКТЫ
Уязвимость ядра Linux в обработке virtio-net и TAP в KVM

Последствия: утечка памяти хоста, его падение или выполнение кода на хосте из гостевой ВМ

CVSS: Linux CNA/NVD — 9.3, Red Hat — 8.8. Оценки привилегий в госте расходятся: от «любая нагрузка, отправляющая трафик» до «нужен root в госте»

В KEV пока нет, эксплуатация в дикой природе не подтверждена. Утечку памяти показали в продакшене Vercel

Обходного решения нет, только обновление ядра и перезагрузка

Исправлено:

Plaintext

Proxmox VE : proxmox-kernel-7.0.14-24-pve (PSA-2026-00068-1)
Debian 13  : 6.12.113-1 (DSA-6568-1)
Debian 12  : 6.1.190-1  (DLA-4841-1)
Upstream   : 6.1.190 · 6.6.159 · 6.12.113 · 6.18.57 · 7.2.11

🛠 PROXMOX: ОБНОВЛЕНИЕ БЕЗ ПРОСТОЯ
Bash

# 1. Проверяем текущее ядро и версию PVE
uname -r && pveversion -v | grep -E 'kernel|manager'

# 2. Выкачиваем патчи
apt update && apt full-upgrade

# 3. Уводим ВМ с узла, ребутаем хост, возвращаем — узел за узлом
qm migrate <VMID> <NODE> --online

💡 В ЧЁМ СУТЬ

Граница между ВМ и хостом — главное обещание виртуализации. Если на одном хосте живут ВМ разной степени доверия (клиентские, тестовые, DMZ), обновляйтесь в первую очередь. Live migration делает это без простоя — ради таких дней её и настраивают.

#security #proxmox #kvm #virtualization #linux #cve #sysadmin #admin_future

🖥 Proxmox: с сегодняшнего дня поддержка 24/7, а ветка 8.x уже без обновлений. Чек-лист перехода на 9

Коллеги, два события по Proxmox, которые стоит связать между собой.

📌 ФАКТЫ
С 19 октября Proxmox запускает круглосуточную enterprise-поддержку (Premium — сразу, Standard — в Q4 2026)

Proxmox VE 8 — конец поддержки в августе 2026. Debian 12 продолжает получать патчи через LTS до июня 2028, но pve-manager, qemu-server, pve-qemu-kvm, ядро Proxmox и Ceph обновляться перестали

Значит, свежие исправления вроде PwnEscape приходят в ядро PVE 9. Узлы на 8.x их не получат

🛠 ЧЕК-ЛИСТ 8 → 9
Bash

pveversion                     # сначала до последней 8.4 (pve-manager ≥ 8.4.1)
ceph --version                 # гиперконвергентный Ceph — сначала до Squid 19.2
df -h /                        # минимум 5 ГБ свободно, лучше 10+
pve8to9 --full                 # только проверяет и сообщает, ничего не меняет

Дальше узел за узлом: унести ВМ → репозитории на Trixie → apt dist-upgrade → перезагрузка → проверка → следующий узел. Репозитории переходят на формат deb822, помогает apt modernize-sources.

💡 В ЧЁМ СУТЬ

Поддержка 24/7 появилась, но платить за неё и сидеть на неподдерживаемой 8.x — плохая комбинация. Сначала обновление до 9 и бэкап в PBS, потом подписка.

#proxmox #virtualization #upgrade #debian #sysadmin #admin_future

🐧 Linux 7.3 вышел — вероятная LTS-версия. Что в нём полезного для серверов

Коллеги, 18 октября Линус Торвальдс представил релиз ядра Linux 7.3. По традиции осенних релизов ожидается, что именно эта ветка получит статус долгосрочной поддержки (LTS).

📌 КЛЮЧЕВЫЕ ИЗМЕНЕНИЯ ДЛЯ СЕРВЕРОВ
Хранилища и ФС:

Оптимизирована параллельная прямая запись (direct I/O) и системный вызов fallocate() в ext4.

Ускорены мелкоблочные direct-чтения в ext4 и XFS: в синтетических тестах Bytedance на пуле быстрых NVMe Gen5 зафиксирован рост с 1,92 до 2,19 млн IOPS.

Время выполнения fsync в Btrfs сокращено до 5 раз в сценариях с частой фиксацией метаданных.

Планировщик CPU: переработан механизм распределения процессорного времени внутри cgroup для предотвращения «залипания» интерактивных и высокоприоритетных задач под тяжелым фоновым троттлингом. Новый сбалансированный режим concur включен по умолчанию (доступен откат к legacy-поведению).

Сетевой стек: поддержка Big TCP расширена на оверлейные туннели VXLAN и GENEVE — критично для высоконагруженных SDN-фабрик и оверлейных сетей Kubernetes/OpenStack (снижение оверхеда на обработку пакетов при 100G+ линках).

Виртуализация: гипервизор KVM научился эффективно детектировать и маркировать «холодную» (неиспользуемую) память гостевых ВМ для прозрачного освобождения хостовых страниц.

Файловый доступ: модуль ядра ksmbd получил нативную поддержку расширений для резервного копирования Apple Time Machine по SMB.

Низкоуровневый ввод-вывод: флаг RWF_DONTCACHE адаптирован для прямых операций с блочными устройствами; добавлены буферные пулы и поддержка zero-copy для FUSE через интерфейс io_uring.

Устаревание: режим монтирования data=journal в ext4 официально помечен как deprecated (полное удаление запланировано на 2028 год).

🛠 СРОКИ ПОЯВЛЕНИЯ В ДИСТРИБУТИВАХ
Ubuntu 26.10: релизный апдейт ядра прилетит через стандартные репозитории в ближайшие недели (стартовала с -rc6).

Ubuntu 26.04 LTS: через стек HWE (Hardware Enablement) в начале 2027 года.

Debian и Proxmox VE: по графику включения в тестовые и стабильные ветки (ветка Proxmox 9).

Bash

# Проверка текущего запущенного ядра на хосте
uname -r

💡 В ЧЁМ СУТЬ

Если 7.3 окончательно утвердят в качестве долгосрочной LTS-ветки, именно это ядро станет фундаментом для корпоративных дистрибутивов и гипервизоров на ближайшие несколько лет.

На хостах с высокой плотностью контейнеров (LXC, Docker, K8s) обратите особое внимание на поведение нового cgroup-планировщика под пиковой нагрузкой — распределение CPU-квот может стать заметно более агрессивным к фоновым воркерам.

#linux #kernel #lts #storage #performance #sysadmin #admin_future

📧 Октябрьские обновления Windows Server ломают Exchange: OWA не пускает, письма висят в «Исходящих». Лечится одним ключом реестра

Коллеги, вторник. Если у вас Exchange on-prem и после недавних обновлений начались плавающие сбои — вот прямая причина.

📌 ФАКТЫ
Затронуты Windows Server 2019 и новее с октябрьским обновлением безопасности, любая версия Exchange на них

Симптомы: не входит OWA, письма висят в «Исходящих», сбои доступа к почтовым ящикам при их перемещении. В журналах — MapiExceptionMdbOffline (ec=1142) и Event ID 1006

Причина: обновление ужесточило RPC-стек и ввело лимит на число одновременных вызовов Endpoint Mapper — по умолчанию всего 512. Нагруженному Exchange этого пула не хватает

Проявляется не везде: напрямую зависит от нагрузки и количества одновременных MAPI/RPC-соединений

Microsoft не советует удалять накопительное обновление, полноценный хотфикс готовится

🛠 ПРОВЕРКА И ОБХОДНОЕ РЕШЕНИЕ
PowerShell

# Проверка наличия ошибок в журнале Application
Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1006} -MaxEvents 20 |
  Select TimeCreated, ProviderName, Message

DOS

:: Временное решение от Microsoft (cmd от имени администратора), затем обязательная перезагрузка
reg add "HKLM\SOFTWARE\Microsoft\Rpc" /v EpmapSavedContextCap /t REG_DWORD /d 65536 /f

Если симптомы сохраняются при пиковом трафике, Microsoft рекомендует увеличить параметр до ещё более высокого значения.

⚠️ ЗАОДНО
У Exchange Server 2016 и 2019 подошли к концу сроки расширенной поддержки. Дальнейший официальный путь миграции on-prem — переход на Exchange Server Subscription Edition (SE).

💡 В ЧЁМ СУТЬ

Это не баг самого почтового сервера, а сайд-эффект ужесточения безопасности в ядре RPC Windows Server.

Почтовые серверы всегда стоит выносить в отдельную, изолированную волну патчинга, а после наката обновлений — контролировать очереди отправки (

Get-Queue

), статус баз и Application-лог, а не ориентироваться только на статус «Службы запущены».

#exchange #windowsserver #patchtuesday #mail #sysadmin #admin_future

🚨 BeyondTrust Remote Support: обход аутентификации, китайская APT и удалённые логи. Ещё один инструмент удалённого доступа под атакой

Коллеги, продолжаем тему «легитимный удалённый доступ как вход для атакующих».

📌 ФАКТЫ
CVE-2026-102764, CVSS 9.3 — обход аутентификации в BeyondTrust Remote Support

Эксплуатация с конца августа по сентябрь, пострадали минимум два клиента BeyondTrust

Mandiant видит пересечение с китайской группой UNC5221. После входа: повышение привилегий, горизонтальное перемещение, веб-шелл SAWFLY, туннель BARECLAW, удаление логов на устройстве

CISA добавила CVE в KEV

Privileged Remote Access (PRA) использует тот же код: эксплуатацию BeyondTrust не воспроизвела, но патч выпустила и рекомендует ставить

С версиями путаница: в одних источниках уязвимы версии до 26.2.3, в других исправлением названа 24.3.1. Сверяйте с бюллетенем BT26-05

🛡 ПЛАН
Обновить self-hosted Remote Support и PRA по BT26-05

Проверить устройство на компрометацию: Mandiant предупреждает, что часть механизмов закрепления переживает перезагрузку и сброс конфигурации

Сменить учётки, которые проходили через инструмент, — особенно привилегированные

Логи с устройства — во внешний SIEM, чтобы их нельзя было стереть на месте

💡 В ЧЁМ СУТЬ

Инструмент привилегированного доступа — это ключи от всего, к чему он подключается. Его логи должны уходить наружу в реальном времени: здесь атакующие удаляли их на самом устройстве.

#security #beyondtrust #remoteaccess #apt #kev #sysadmin #admin_future

🎬 Plex2Shell: домашний медиасервер стал майнером через несколько часов после публикации эксплойта

Коллеги, интересное для тех, у кого дома или в лабе крутится Plex на NAS или в Docker.

📌 ФАКТЫ
Plex2Shell — цепочка из 4 CVE: CVE-2026-96652, 96654, 96655, 96656

Механика: SSRF → доступ к внутренним функциям → запись файла в нужное место → загрузка неподписанного кодека → выполнение кода. Без логина

Уязвимы версии Plex Media Server до 1.43.3.10828, исправление — 1.43.3.10861. Plex выпустил обновление ещё 1 сентября

17 октября на ханипоте зафиксированы успешные атаки на Plex в Docker: майнер XMRig и прокси myawesomeproxy

Запросы атакующих шли на /player/timeline/subscribe

🛠 ПРОВЕРКА
Bash

# Версия Plex (ответ содержит version="...")
curl -s http://localhost:32400/identity

# Дерево процессов: у Plex не должно быть «docker», «x», xmrig, proxy
ps axjf | grep -A3 -i 'plex'

# Были ли запросы к уязвимому пути (если Plex за reverse proxy)
grep '/player/timeline/subscribe' /var/log/nginx/access.log*

💡 В ЧЁМ СУТЬ

Исправление вышло в сентябре, атаки начались в октябре — снова окно «патч есть, но не поставлен». Домашние сервисы, проброшенные наружу «для удобства», обновляют реже всего. Plex наружу — только через VPN или Tailscale, а Docker-образ — с регулярным

pull

.

#selfhosted #plex #docker #nas #security #homelab #sysadmin #admin_future

🤖 Цифровое крепостное право: Claude Code нанял 161 субагента Codex, чтобы не рендерить видео самому

Коллеги, зарисовка из мира мультиагентных систем, которая идеально описывает будущее автоматизации.

📌 ЧТО ПРОИЗОШЛО
Пользователь дал Claude Code тривиальную задачу: покадрово воссоздать короткий 63-секундный видеоролик.

Дальше агент повел себя как опытный тимлид:

Провел разведку окружения: обнаружил активную подписку на Codex с доступным API генерации изображений.

Делегировал рутину: решил не мучаться с генерацией сотен кадров в одиночку, а нарезать ролик на план из ~700 фреймов.

Организовал воркфорс: поднял 161 параллельную сессию Codex, распределив между ними таймлайны и промпты.

Занял руководящую должность: пока сетка OpenAI в поте лица генерировала картинки, Claude Code мониторил потребление RAM, отслеживал отвалившиеся сессии, перезапускал упавшие таски и в финале собрал готовый видеоряд воедино.

#ai #claude #openai #codex #automation #agents #sysadmin #admin_future