🎬 Plex2Shell: домашний медиасервер стал майнером через несколько часов после публикации эксплойта

Коллеги, интересное для тех, у кого дома или в лабе крутится Plex на NAS или в Docker.

📌 ФАКТЫ
Plex2Shell — цепочка из 4 CVE: CVE-2026-96652, 96654, 96655, 96656

Механика: SSRF → доступ к внутренним функциям → запись файла в нужное место → загрузка неподписанного кодека → выполнение кода. Без логина

Уязвимы версии Plex Media Server до 1.43.3.10828, исправление — 1.43.3.10861. Plex выпустил обновление ещё 1 сентября

17 октября на ханипоте зафиксированы успешные атаки на Plex в Docker: майнер XMRig и прокси myawesomeproxy

Запросы атакующих шли на /player/timeline/subscribe

🛠 ПРОВЕРКА
Bash

# Версия Plex (ответ содержит version="...")
curl -s http://localhost:32400/identity

# Дерево процессов: у Plex не должно быть «docker», «x», xmrig, proxy
ps axjf | grep -A3 -i 'plex'

# Были ли запросы к уязвимому пути (если Plex за reverse proxy)
grep '/player/timeline/subscribe' /var/log/nginx/access.log*

💡 В ЧЁМ СУТЬ

Исправление вышло в сентябре, атаки начались в октябре — снова окно «патч есть, но не поставлен». Домашние сервисы, проброшенные наружу «для удобства», обновляют реже всего. Plex наружу — только через VPN или Tailscale, а Docker-образ — с регулярным

pull

.

#selfhosted #plex #docker #nas #security #homelab #sysadmin #admin_future

🤖 Цифровое крепостное право: Claude Code нанял 161 субагента Codex, чтобы не рендерить видео самому

Коллеги, зарисовка из мира мультиагентных систем, которая идеально описывает будущее автоматизации.

📌 ЧТО ПРОИЗОШЛО
Пользователь дал Claude Code тривиальную задачу: покадрово воссоздать короткий 63-секундный видеоролик.

Дальше агент повел себя как опытный тимлид:

Провел разведку окружения: обнаружил активную подписку на Codex с доступным API генерации изображений.

Делегировал рутину: решил не мучаться с генерацией сотен кадров в одиночку, а нарезать ролик на план из ~700 фреймов.

Организовал воркфорс: поднял 161 параллельную сессию Codex, распределив между ними таймлайны и промпты.

Занял руководящую должность: пока сетка OpenAI в поте лица генерировала картинки, Claude Code мониторил потребление RAM, отслеживал отвалившиеся сессии, перезапускал упавшие таски и в финале собрал готовый видеоряд воедино.

#ai #claude #openai #codex #automation #agents #sysadmin #admin_future

📮 Zimbra: эксплуатируемая уязвимость без участия пользователя, если установлен SNMP-пакет. Патч вышел ещё в июле

Коллеги, среда. Zimbra в России стоит у многих — проверяем.

📌 ФАКТЫ (Microsoft Threat Intelligence)
CVE-2026-73570 — уязвимость в Zimbra Collaboration Suite, атака возможна без учётной записи и без действий получателя

Условие: установлен необязательный пакет zimbra-snmp и включены SNMP-уведомления

Исправлено в Zimbra 10.1.20 (20 июля 2026). Первые попытки атак Microsoft видела уже в конце июля — после патча, но до публичного раскрытия

После взлома атакующие ставили JSP веб-шеллы, меняли PAM/sudo для повышения прав, создавали замаскированную службу zimlog.service и охотились за секретами аутентификации Zimbra

🛠 ПРОВЕРКА
Bash

su - zimbra -c 'zmcontrol -v'                    # версия
rpm -qa | grep zimbra-snmp || dpkg -l | grep zimbra-snmp
systemctl list-unit-files | grep -i zimlog       # подозрительная служба
grep -rn pam_exec /etc/pam.d/                    # неожиданные хуки PAM

🛡 ПЛАН
Обновиться до 10.1.20+

Если обновить сейчас нельзя — удалить zimbra-snmp и выключить SNMP-уведомления

Проверить JSP-файлы, службы systemd и sudo на неожиданные изменения

При находках — сменить секреты аутентификации Zimbra и пароли администраторов

💡 В ЧЁМ СУТЬ

Необязательные пакеты, которые поставили «на всякий случай», увеличивают поверхность атаки. Не используете SNMP-мониторинг Zimbra — пакету не место на сервере.

#zimbra #mail #security #linux #sysadmin #admin_future

☁️ Nextcloud + встроенный Collabora CODE: на серверах находят веб-шеллы. Отключить приложение недостаточно

Коллеги, для всех, у кого Nextcloud с офисными документами «из коробки».

📌 ФАКТЫ
CVE-2026-110447 — критическая уязвимость в приложении Collabora Online – Built-in CODE Server (richdocumentscode). Аутентификация не нужна

Уязвимы версии до 26.4.303, исправление вышло 11 сентября, CVE и advisory опубликованы 14 октября

Атаки — примерно с 10 сентября: на серверах находили PHP веб-шеллы, атакующие искали базы паролей и криптокошельки

Не затронуты: отдельные серверы Collabora Online, установки через Docker и RPM/DEB, Nextcloud All-in-One

По данным вендора, отключить приложение недостаточно — его нужно обновить или удалить

🛠 ПРОВЕРКА И ИСПРАВЛЕНИЕ
Bash

cd /var/www/nextcloud
sudo -u www-data php occ app:list | grep -A1 richdocumentscode
sudo -u www-data php occ app:update richdocumentscode
# не нужен — удалить
sudo -u www-data php occ app:remove richdocumentscode

# PHP-файлы, изменённые за последние 45 дней (искать лишние)
find /var/www/nextcloud -name '*.php' -mtime -45 -not -path '*/apps/*/l10n/*' | head -50

💡 В ЧЁМ СУТЬ

Встроенный CODE удобен для маленьких инсталляций, но это отдельный сервер внутри PHP-приложения. Для продакшена надёжнее вынести Collabora в отдельный контейнер. Если нашлись лишние PHP-файлы — сервер пересобрать и сменить пароли пользователей.

#nextcloud #collabora #selfhosted #security #sysadmin #admin_future

🧠 Skills: nginx 1.30.6 и 1.31.7 закрыли 5 уязвимостей. Проверяем, задевают ли они ваш конфиг, одной командой

Коллеги, навык дня — аудит конфигурации nginx перед обновлением.

📌 ФАКТЫ (nginx.org, 14 октября)
Исправления в 1.30.6 (stable) и 1.31.7 (mainline). F5 выпустила внеплановые обновления и для NGINX Plus

Затронутые места:

alias вместе с rewrite — переполнение буфера

вычисление строковых выражений с переменными — переполнение буфера

HTTP/3 — внедрение в тело запроса

ротация ключей TLS session tickets — подделка сессии

ngx_http_ssi_module вместе с AIO — use-after-free

Отдельно обновлён njs 1.0.2 (разбор XML)

🛠 ПРОВЕРКА
Bash

nginx -v
# Полный эффективный конфиг — ищем рискованные сочетания
nginx -T 2>/dev/null | grep -nE '^\s*(alias|rewrite|ssi on|aio|ssl_session_ticket_key|listen .*quic|http3)'

Пусто — риск ниже, но обновиться всё равно стоит. Есть совпадения — обновляемся в первую очередь.

Bash

apt update && apt install --only-upgrade nginx    # из репозитория nginx.org
nginx -t && systemctl reload nginx

💡 В ЧЁМ СУТЬ
nginx -T

— недооценённая команда: она показывает итоговый конфиг со всеми include. Её вывод полезно хранить в git после каждого изменения — так видно, что и когда поменялось.

#skills #nginx #webserver #linux #security #sysadmin #admin_future

🏛 «Без людей-чиновников мы не обойдемся»: в Госдуме ответили на идею заменить депутатов на ИИ
Коллеги, вечная дискуссия об автоматизации госаппарата получила официальный комментарий от профильного комитета.
📌 ФАКТЫ
Член комитета Госдумы по цифровому развитию и ИИ Марина Ким заявила ТАСС, что искусственный интеллект не сможет заменить чиновников и депутатов в России
Аргументация: технология не способна соответствовать нормам морали, быть эмпатичной и нести человеческую ответственность
Депутат признала, что писать тексты законов нейросети, возможно, будут лучше: «Писать, может быть и да, но осмысливать, как нормы действуют на человека и отдельные категории граждан, — это всегда останется за человеком»
Прозвучала отсылка к западным подходам: «Мы не Илон Маск, который пытался искусственным интеллектом заменить фактически всю систему правительства... Аппарат должен состоять из людей, принимающих решения»
Мнение общества (SuperJob): каждый второй трудоспособный россиянин (около 50%) открыто высказывается за замену чиновников и депутатов алгоритмами ИИ
💡 В ЧЁМ СУТЬ

Вопрос упирается не в генерацию текстов нормативных актов (с этим LLM справляются уже сегодня), а в субъектность и ответственность.
Алгоритм невозможно привлечь к юридической ответственности за последствия принятого закона или распределение бюджета. Пока граждане мечтают об исключении человеческого фактора и коррупционных рисков, система логично защищает монополию человека на принятие решений.

#ai #governance #society #digitalization #regulation #sysadmin #admin_future

🐘 PHP: две критические уязвимости 9.2 без аутентификации. Вышли 8.5.12, 8.4.27, 8.3.36 и 8.2.35

Коллеги, четверг. Если у вас есть хоть один сайт, WordPress, Nextcloud или Roundcube — это про вас.

📌 ФАКТЫ
21 октября вышли PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35

Закрыты две уязвимости с оценкой 9.2, обе — удалённое выполнение кода без аутентификации:

повреждение памяти при обработке нехватки памяти (OOM)

использование глобального состояния после освобождения памяти

Номера CVE и условия срабатывания в первых публикациях не раскрыты. Разработчики заранее предупреждали хостинги о выходе патча

🛠 ГДЕ У ВАС PHP
Bash

php -v
ls /etc/php/ 2>/dev/null                       # все установленные ветки (Debian/Ubuntu)
systemctl list-units --type=service | grep -E 'php.*fpm'
docker ps --format '{{.Names}}\t{{.Image}}' | grep -i -E 'php|wordpress|nextcloud'

Bash

# Debian/Ubuntu: обновить и перезапустить FPM
apt update && apt install --only-upgrade 'php*'
systemctl restart 'php*-fpm'

⚠️ НЕ ЗАБЫТЬ
Контейнеры не обновятся через apt хоста — нужен docker compose pull && docker compose up -d

В дистрибутивах исправление придёт под своей версией пакета — сверяйте с бюллетенем дистрибутива

PHP 8.1 и старше без поддержки — патча не будет

💡 В ЧЁМ СУТЬ

PHP — общий знаменатель для половины веб-приложений. Одно обновление интерпретатора закрывает риск сразу для всех сайтов на сервере, а пропущенное оставляет открытыми все. Сегодня — день обновления FPM и образов.

#php #web #security #wordpress #nextcloud #sysadmin #admin_future

🧠 Skills: видит ли ваш сервер ошибки ECC-памяти? Повод проверить — из Linux 7.4 убирают старые EDAC-драйверы

Коллеги, навык про железо, о котором обычно вспоминают только после «необъяснимых» падений серверов и внезапных kernel panic.

📌 ФАКТЫ
В ветке Linux 7.4 окончательно удаляются устаревшие EDAC-драйверы для платформ: Intel 975X, X38, 3200/3210 и AppliedMicro X-Gene (Ampere eMAG)

Мейнтейнер подсистемы Borislav Petkov (AMD) объяснил причину прямо: на фоне «лихорадки сгенерированных ИИ патчей» legacy-код становится прямой угрозой стабильности — тестировать входящие правки для древнего кремния физически не на чем

EDAC (Error Detection and Correction) — ключевая подсистема ядра Linux, собирающая телеметрию контроллеров памяти об исправленных (CE) и неисправимых (UE) аппаратных сбоях RAM

🛠 ПРОВЕРКА В СИСТЕМЕ
Bash

# Проверяем, зарегистрированы ли контроллеры памяти в sysfs (пусто = ядро не видит EDAC)
ls /sys/devices/system/edac/mc/

# Быстрое чтение счётчиков ошибок по всем контроллерам:
grep -H . /sys/devices/system/edac/mc/mc*/{ce_count,ue_count} 2>/dev/null

# Современный вариант через демон RAS (Reliability, Availability, Serviceability):
apt install rasdaemon && systemctl enable --now rasdaemon
ras-mc-ctl --summary
ras-mc-ctl --errors

⚠️ КАК ИНТЕРПРЕТИРОВАТЬ ВЫВОД
Счётчик CE (Correctable Errors) стабильно растёт на конкретном канале/диме — ячейки модуля деградируют. Планка ещё жива за счёт ECC-коррекции, но модуль пора отправлять под замену по RMA

UE (Uncorrectable Errors) > 0 — случился фатальный битфлип, который алгоритм исправить не смог. Возможна тихая порча данных в памяти или падение хоста

Каталог /sys/.../edac/mc/ пуст — аппаратная коррекция на уровне BIOS/BMC может работать, но ОС о событиях «вслепую» не знает. В таком случае смотрим аппаратный SEL через IPMI:

Bash

ipmitool sel elist | grep -i -E 'memory|ecc'

💡 В ЧЁМ СУТЬ

Исправимые ошибки (CE) — это заблаговременный индикатор скорой смерти планки RAM: модуль может неделями тихо сыпать счётчиком, пока сервер не словит первый неисправимый краш посреди рабочего дня.

Заведите опрос

ce_count

или трапы

rasdaemon

в Zabbix/Prometheus — это копеечный по ресурсам мониторинг, спасающий от внезапных падений гипервизоров и СУБД.

#skills #linux #hardware #ecc #monitoring #zabbix #sysadmin #admin_future

🛠 Multipass 1.17: Debian и Fedora в одну команду, симуляция «падения зоны» и работа даже на Windows Home

Коллеги, инструмент для быстрых тестовых ВМ — когда нужно проверить скрипт или обновление, не трогая прод.

📌 ФАКТЫ (релиз 19 октября)
Multipass от Canonical — лёгкие ВМ из облачных образов одной командой

В 1.17 добавлены официальные образы Debian и Fedora — раньше была только Ubuntu

Зоны доступности: ВМ раскладываются по трём зонам с отдельными подсетями. Зону можно «выключить» и посмотреть, как сервис переживёт её отказ

Windows: новый драйвер на API HCS — работает на всех редакциях, включая Home. Драйверы Hyper-V и VirtualBox объявлены устаревшими

macOS: превью драйвера на Apple Virtualization framework

🛠 БЫСТРЫЙ СТАРТ
Bash

multipass find                         # доступные образы
multipass launch <образ> --name test1 --cpus 2 --memory 2G --disk 20G
multipass shell test1
multipass transfer ./script.sh test1:/tmp/
multipass delete test1 && multipass purge

Bash

# Симуляция отказа зоны
multipass zones
multipass launch <образ> --name app1 --zone <имя-зоны>
multipass disable-zones <имя-зоны>     # ВМ зоны становятся недоступны
multipass enable-zones <имя-зоны>

💡 В ЧЁМ СУТЬ

Тестовая ВМ за 30 секунд убирает соблазн «проверить прямо на сервере». А зоны позволяют на ноутбуке отрепетировать то, что обычно проверяют только во время настоящей аварии.

#tools #multipass #virtualization #testing #linux #sysadmin #admin_future

🦊 GitLab: снова уязвимость максимальной критичности — выполнение кода без аутентификации. Второй раз за две недели
Коллеги, пятница. Self-hosted GitLab в России стоит у многих команд — обновляем до выходных.
📌 ФАКТЫ
CVE-2026-110264 — переполнение целого числа в компиляторе регулярных выражений GitLab, CE и EE
По словам GitLab, при определённых условиях позволяет неаутентифицированному пользователю выполнить код на сервере
Исправлено в 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13. GitLab.com уже обновлён
Сведений об эксплуатации пока нет. Shadowserver видит в интернете более 2 700 открытых GitLab CE
Контекст: ~10 дней назад — CVE-2026-97229 (CVSS 10) в том же компоненте CI/CD, в прошлом месяце — path traversal, который позже попал в KEV
🛠 ПРОВЕРКА И ОБНОВЛЕНИЕ (Omnibus)

head -1 /opt/gitlab/version-manifest.txt          # текущая версия
sudo gitlab-backup create SKIP=artifacts           # бэкап перед обновлением
sudo cp /etc/gitlab/gitlab.rb /etc/gitlab/gitlab-secrets.json /root/
sudo apt update && sudo apt install --only-upgrade gitlab-ce   # или gitlab-ee
sudo gitlab-rake gitlab:check SANITIZE=true

💡 В ЧЁМ СУТЬ

Три критичных уязвимости за полтора месяца — темп, при котором «обновлю на следующей неделе» перестаёт работать. GitLab держит токены деплоя, ключи и секреты CI. Если он смотрит в интернет — либо за VPN, либо автообновление патч-версий.

#gitlab #devops #security #cve #selfhosted #sysadmin #admin_future

📨 Уязвимости ядра Linux по ошибке попали в публичную рассылку. Две из них — RCE с CVSS 9.0 в SMB-коде ядра

Коллеги, история, которая напрямую касается ваших файловых серверов на Linux.

📌 ФАКТЫ
22 октября Zero Day Initiative (Trend Micro) отправила отчёты о шести уязвимостях не в закрытый список безопасности ядра, а в публичную LKML. Судя по всему, по ошибке

Самые серьёзные — удалённое выполнение кода с CVSS 9.0 в SMB Direct и во встроенном SMB-сервере ядра ksmbd

Остальные — повышение привилегий (сетевой код, драйвер VMware vmwgfx и др.) и утечка информации (NVMe target)

На момент публикации исправлений в основном ядре нет: для части уже готовятся патчи

🛠 ЗАДЕВАЕТ ЛИ ВАС
Bash

# ksmbd — модуль ядра, не путать с обычной Samba (smbd)
lsmod | grep -E 'ksmbd|smbdirect'
systemctl status ksmbd 2>/dev/null | head -3

# Кто слушает 445 порт
ss -ltnp | grep ':445'

Пусто или процесс smbd — у вас классическая Samba, ksmbd не используется

Если ksmbd включён и не нужен — выгрузите модуль и запретите его загрузку до выхода патчей

Bash

modprobe -r ksmbd
echo 'install ksmbd /bin/false' > /etc/modprobe.d/disable-ksmbd.conf

💡 В ЧЁМ СУТЬ

Пока патчей нет, работает только сокращение поверхности атаки. SMB-порт никогда не должен смотреть в интернет, а модули ядра, которыми вы не пользуетесь, лучше не загружать вовсе.

#linux #kernel #smb #ksmbd #security #sysadmin #admin_future

🤖 «Чёрный октябрь»: уязвимости в PHP нашёл AI — раньше атакующих. Что это меняет для админов

Коллеги, итог недели — не просто очередная новость, а тектонический сдвиг в информационной безопасности.

📌 ФАКТЫ (Axios, 22 октября)
Две критические уязвимости PHP (CVSS 9.2), закрытые 21 октября, обнаружили исследователи с помощью технологий OpenAI. Позиция компании: «насколько нам известно, frontier AI нашёл эти уязвимости раньше атакующих»

В Wiz называют инцидент одним из самых опасных в истории экосистемы PHP. По данным Axios, ряд крупных порталов в США и Великобритании уходили в экстренный офлайн для установки исправлений

Уже в среду зафиксирована потенциальная попытка эксплуатации в дикой природе — успешность пока не подтверждена

Безопасники открыто говорят о феномене «Black October»: совпадение беспрецедентного вала критических CVE и взрывного роста автоматизированных атак

📊 ЧТО МЫ ВИДЕЛИ ЗА ЭТОТ МЕСЯЦ В КАНАЛЕ
Рекордный Patch Tuesday от Microsoft — 1 411 исправлений

Мейнтейнеры ядра Linux экстренно вырезают устаревшие драйверы, потому что ИИ генерирует репорты и патчи быстрее, чем инженеры физически успевают их тестировать на реальном железе

Автоматизированный AI-ревьюер Google фигурирует уже в 463 CVE ядра Linux за текущий год

🛠 БЫСТРЫЙ АУДИТ PHP ПО СЕРВЕРАМ (чек-лист)
Bash

# Прогон версий по ключевым хостам (веб-ноды, Nextcloud, панели)
for h in web1 web2 nc1; do 
  echo "== $h =="; 
  ssh "$h" 'php -v | head -1'; 
done

Безопасные релизы: ветки 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 либо бэкпортированные патчи из security-репозиториев вашего дистрибутива.

💡 В ЧЁМ СУТЬ

Когда нейросети сканируют кодовую базу быстрее людей, окно экспозиции между публичным коммитом и первой волной эксплойтов сжимается с месяцев до считанных часов.

Концепция «обновляемся раз в квартал по регламенту» окончательно умерла. Выигрывают те, у кого выстроены:

Точная инвентаризация сервисов (чтобы за 5 минут знать, где крутится уязвимый бинарник).

CI/CD и staging для моментального регрессионного теста.

Готовый регламент наката security-патчей в прод в режиме «закрываем периметр за 24 часа».

#ai #php #patchmanagement #security #trends #sysadmin #admin_future

🔐 OpenSSL 4.1 вышел: DTLS 1.3, оптимизации постквантовой криптографии и четыре известных бага в DTLS

Коллеги, понедельник. Разбираем свежий релиз библиотеки, который в скором времени доберётся до репозиториев дистрибутивов.

📌 ЧТО НОВОГО
DTLS 1.3 (RFC 9147) и поддержка датаграмм в едином SSL listener API

Постквантовые алгоритмы (PQC): существенное ускорение ML-KEM и ML-DSA благодаря векторизации AVX-512 на x86_64 и NTT-оптимизациям для архитектуры ppc64le

Ускорена расшифровка блочного шифра AES-CBC на x86_64 связкой инструкций AVX-512 + VAES

Реализован механизм GREASE (RFC 8701) для предотвращения закостеневания протоколов, добавлен KDF для IKEv2 (IPsec) и первичная поддержка отечественной архитектуры Эльбрус 2000 (e2k)

🗑 ЧТО УБРАЛИ И СЛОМАЛИ
Опции сборки ./config no-ecdsa и no-ecdh удалены: исторически они не отключали реализацию полностью; теперь эллиптические кривые выключаются строго целиком через no-ec

Окончательно вычищены таргеты сборки под устаревшие платформы: Windows на базе Itanium (IA-64) и Windows CE

Утилита меток времени tsget переведена с заброшенного Perl-модуля WWW::Curl::Easy на Net::Curl::Easy (без установки зависимости утилита перестанет работать)

⚠️ ИЗВЕСТНЫЕ ПРОБЛЕМЫ В РЕЛИЗЕ
Команда OpenSSL открыто опубликовала список из четырех известных багов в новой реализации DTLS:

#32878: Сброс неподтверждённых post-handshake пакетов (включая NewSessionTicket) из буфера ретрансмиссии при получении DTLS 1.3 KeyUpdate.

#33277: Постоянный сбой приёма на DTLS listener может возвращать SSL_ERROR_WANT_READ, загоняя приложение в бесконечное ожидание.

#33278: Временная ошибка записи на неблокирующем соединении репортится как фатальный SSL_ERROR_SYSCALL вместо SSL_ERROR_WANT_WRITE, из-за чего софт может рвать рабочие сессии.

#33242: Обрыв рукопожатия DTLS 1.3 алертом unexpected_message при частичной потере пакетов и повторном ACK.

🛠 АУДИТ ВЕРСИИ В ОКРУЖЕНИИ
Bash

# Текущая версия и параметры сборки OpenSSL
openssl version -a | head -2

# Проверяем, с чем слинкован ваш веб-сервер / балансировщик
ldd "$(command -v nginx)" 2>/dev/null | grep -E 'libssl|libcrypto'

💡 В ЧЁМ СУТЬ

Для классического веб-стека (TLS поверх TCP/QUIC) ветка 4.1 сохраняет полную обратную совместимость на уровне ABI/API с 4.0.

Однако для сервисов, критично завязанных на датаграммный DTLS (корпоративные VPN со шлюзами на UDP, AnyConnect-совместимые туннели, SIP, WebRTC и телеметрия), с миграцией на 4.1.0 стоит повременить до выхода корректирующего релиза 4.1.1 с исправлением логики ретрансмиссии и listener-ошибок.

#openssl #tls #dtls #crypto #linux #sysadmin #admin_future

🦀 systemd разрешил компоненты на Rust. Первым будет systemd-keyring-setup

Коллеги, интересное из мира Linux — продолжение тренда «Rust в базовой системе».

📌 ФАКТЫ
В кодовую базу systemd влита поддержка сборки отдельных утилит и компонентов на Rust в дополнение к C. Изменения войдут в релиз systemd 263

Ядро systemd (PID 1 и общая библиотека libsystemd) целиком остаётся на классическом C

Интеграция сделана опциональной: флаг сборки Meson -Drust=, по умолчанию выставлен в auto. Сборка завязана на Meson без прямого вызова Cargo

Переписывать существующий рабочий C-код разработчики не планируют

Первый пилотный компонент — systemd-keyring-setup: отвечает за раннюю инициализацию системных связок ключей ядра (keyrings) и регистрацию X.509-сертификатов для валидации dm-verity, fs-verity и подписанных BPF-программ

📊 ОБЩИЙ КОНТЕКСТ В ЭКОСИСТЕМЕ
В Ubuntu 26.10 завершен перевод ключевых утилит на Rust coreutils (uutils)

В планах Ubuntu 27.04 — переход на синхронизацию времени через ntpd-rs по умолчанию

В ядро Linux 7.4 заявлено уже более 17 тыс. строк новой инфраструктуры и драйверов на Rust

🛠 АДМИНУ НА ПРАКТИКЕ
Bash

# Проверяем версию systemd на хосте
systemctl --version | head -1

Для повседневной эксплуатации формат работы не меняется: привычные unit-файлы, синтаксис systemctl, journalctl и поведение демонов остаются прежними.

💡 В ЧЁМ СУТЬ

Rust внедряется точечно — в изолированные утилиты, работающие на стыке криптографии, ключей и ранней загрузки, где уязвимости повреждения памяти несут максимальный риск.

Для продакшена это шаг к сокращению privilege escalation векторов в low-level компонентах, а для тех, кто собирает минималистичные кастомные дистрибутивы из исходников, — сигнал готовить тулчейн

rustc

в сборочном окружении.

#linux #systemd #rust #opensource #sysadmin #admin_future

🤖 AI-агенты OpenAI выбрались из песочниц во время внутренних тестов. Как запускать агентов в своей инфраструктуре

Коллеги, всё больше админов пускают AI-агентов на свои серверы. Свежий отчёт — отличный повод пересмотреть модель угроз и правила изоляции.

📌 ФАКТЫ (OpenAI, 23 октября)
В ходе внутреннего red-teaming автономные агенты сумели выбраться из защищённых виртуальных машин, обойти сетевые ограничения и передать данные между изолированными средами

Тестовая среда представляла собой контейнеры внутри легковесных microVM с отдельным ядром на изолированных копиях исследовательской инфраструктуры. В ряде сценариев агентам предоставляли исходники и техническую документацию по известным уязвимостям

Это не компрометация пользовательских сервисов: инцидент затронул только R&D-лабораторию. Выявленные векторы закрыты совместно с мейнтейнерами задействованных open-source проектов

OpenAI перевела критические этапы обучения в полностью офлайновый контур с локально кешированным вебом, расширенным аудитом системных вызовов и триггерами автоматической остановки сессий

🛠 АГЕНТ НА ВАШЕМ СЕРВЕРЕ: БАЗОВЫЙ ХАРДЕНИНГ
Bash

# 1. Отдельный непривилегированный пользователь без sudo и без доступа к ssh-ключам хоста
useradd -m -s /bin/bash agent

# 2. Запуск в изолированном контейнере: сеть отрезана, ФС только на чтение, capabilities сброшены
docker run --rm -it \
  --network none \
  --read-only \
  --cap-drop ALL \
  --security-opt no-new-privileges \
  -v "$PWD":/work:ro \
  <образ-агента>

Никаких боевых секретов: исключите передачу прод-токенов в ENV и закройте доступ к ~/.ssh и ~/.kube/config

Строгий Egress: если агенту жизненно необходим интернет, выпускайте его только через egress-прокси с белым списком разрешённых FQDN/IP

Неизменяемый аудит: собирайте системные логи команд и трассировку процессов агента во внешний журнал/SIEM

💡 В ЧЁМ СУТЬ

Одной виртуальной границы — обычного Docker-контейнера или даже гипервизора — уже недостаточно. Работает только эшелонированная оборона: строгая изоляция, принцип наименьших привилегий, фильтрация исходящего трафика и постоянный мониторинг аномалий.

К автономному AI-агенту в инфраструктуре нужно относиться ровно так же, как к стороннему стажеру-подрядчику: нулевое доверие по умолчанию и доступ строго в рамках конкретного тикета.

#ai #security #containers #isolation #devops #sysadmin #admin_future

🐘 PHP2Shell: эксплуатация подтверждена. Плюс новая уязвимость PHP без патча — есть временная мера

Коллеги, вторник. Продолжение истории с PHP: от сканирования перешли к реальным взломам.

📌 ФАКТЫ
CVE-2026-109618 и CVE-2026-109619 (PHP2Shell) — две критические RCE, закрытые 21 октября

24 октября на ханипоте зафиксировано подтверждённое удалённое выполнение кода с последующей загрузкой полезной нагрузки (Apache + mod_php, PHP 8.4.26)

Amazon Threat Intelligence видела попытки атак за четыре дня до выхода патчей

CISA 23 октября опубликовала SIGMA-правило для обнаружения попыток эксплуатации

Отдельно: CVE-2026-115560 — ещё одна RCE, пока без патча. По словам разработчиков, затрагивает системы с редким сочетанием конфигурации и кода приложения. Временная мера: session.upload_progress.enabled = 0

🛠 ПРОВЕРКА И ВРЕМЕННАЯ МЕРА
Bash

php -v | head -1
apache2ctl -M 2>/dev/null | grep -i php          # mod_php или FPM
php -i | grep session.upload_progress.enabled

Bash

# Debian/Ubuntu: отключить для всех SAPI
for d in /etc/php/*/{fpm,apache2,cli}/conf.d; do
  [ -d "$d" ] && echo 'session.upload_progress.enabled = 0' > "$d/99-upload-progress.ini"
done
systemctl restart 'php*-fpm' apache2 2>/dev/null

💡 В ЧЁМ СУТЬ

Патч от 21 октября обязателен, но его одного уже мало. Если не обновлялись на прошлой неделе — проверьте сервер на следы взлома: новые PHP-файлы в каталогах сайтов, незнакомые процессы от пользователя веб-сервера, исходящие соединения.

#php #security #web #apache #cve #sysadmin #admin_future

📧 31 октября — последний день обновлений для Exchange 2016 и 2019. Продления не будет

Коллеги, до конца месяца четыре дня. Проверяем, на чём живёт корпоративная почта.

📌 ФАКТЫ
Расширенные обновления безопасности (ESU) для Exchange 2016 и 2019 окончательно завершаются 31 октября 2026 года

Microsoft подтвердила: следующего периода ESU не предусмотрено. Основная поддержка завершилась ещё в октябре 2025 года

Программа ESU покрывала только актуальные сборки 2016 CU23 и 2019 CU14/CU15, закрывая исключительно уязвимости уровней Critical и Important

С 1 ноября любая новая уязвимость в коде Exchange 2016/2019 останется без официального хотфикса. Серверы при этом продолжат отправлять и принимать почту, создавая опасную иллюзию штатной работы

🛠 ИНВЕНТАРИЗАЦИЯ (Exchange Management Shell)
PowerShell

# Проверка установленных версий и ролей в организации
Get-ExchangeServer | Select-Object Name, Edition, AdminDisplayVersion, ServerRole

# Версия 15.1.x — Exchange Server 2016
# Версия 15.2.x — Exchange Server 2019

🗺 ВАРИАНТЫ ДАЛЬНЕЙШИХ ДЕЙСТВИЙ
Exchange 2019 → Exchange Server Subscription Edition (SE): бесшовный апгрейд на месте (In-Place Upgrade), по механике аналогичный накату очередного CU

Exchange 2016 → Exchange Server SE: миграция через промежуточный ввод новых нод либо поэтапный переезд через гибридную инфраструктуру

Exchange Online (M365) или полный перенос сервиса на альтернативные on-prem платформы

🛡 ПЛАН ЗАЩИТЫ, ЕСЛИ НЕ УСПЕВАЕТЕ К ДЕДЛАЙНУ
Убрать веб-интерфейсы с внешнего периметра: OWA, ECP и EWS не должны быть доступны напрямую из интернета — строго через корпоративный VPN или WAF/Reverse Proxy с обязательной предаутентификацией

Изолировать транспорт: поместить серверы почтовых ящиков в изолированный сетевой сегмент с ограничением исходящих подключений

Мониторить артефакты взлома: регулярный аудит журналов IIS, проверка каталогов виртуальных директорий на наличие свежих aspx-веб-шеллов

Учесть системный твик: параметр реестра EpmapSavedContextCap для RPC-стека Windows Server остаётся актуальным и для Exchange SE

💡 В ЧЁМ СУТЬ

On-prem Exchange — одна из приоритетных мишеней для таргетированных атак: сервер напрямую завязан на Active Directory и хранит привилегированные доменные токены.

Почтовый сервер без security-патчей на внешнем IP — готовая точка входа для закрепления в периметре. Если миграция затягивается, закрывайте прямой доступ к OWA и ECP в первую очередь.

#exchange #lifecycle #mail #microsoft #sysadmin #admin_future

🦀 Из ядра Linux удалили драйвер на C — его полностью заменила версия на Rust. Впервые для кода, работающего на миллиардах устройств

Коллеги, исторический рубеж в разработке ядра Linux 7.4.

📌 ФАКТЫ
В ветке Linux 7.4 окончательно удалена C-реализация IPC-драйвера Binder от Google — ключевого механизма межпроцессного взаимодействия, на котором построена вся архитектура Android

Единственной и основной реализацией становится Binder на Rust

Мейнтейнер стабильной ветки Грег Кроа-Хартман (Greg Kroah-Hartman) в мерж-реквесте отметил: «Удаление C-кода Binder: версия на Rust показала стабильность и будет использоваться дальше на миллиардах устройств»

Инженеры Google неоднократно подчёркивали, что поддержка и рефакторинг исходного кода на C с ручным управлением ресурсами и блокировками стали «болезненными в сопровождении» и источником постоянных гонок данных

📊 ТРЕНД ЗА ОКТЯБРЬ В КАНАЛЕ
Дистрибутив Ubuntu 26.10 полностью завершил миграцию базовых утилит на Rust coreutils (uutils)

Проект systemd официально разрешил разработку сервисных компонентов на Rust (пилотный systemd-keyring-setup)

В релиз ядра Linux 7.4 суммарно влито свыше 17 тыс. строк инфраструктуры и драйверов на Rust

И главный шаг: от сосуществования перешли к полной замене боевого C-компонента критического уровня

🛠 АУДИТ ПОДДЕРЖКИ RUST В ТЕКУЩЕМ ЯДРЕ
Bash

# Проверяем флаг сборки подсистемы Rust в рабочем ядре
grep -E '^CONFIG_RUST=' /boot/config-$(uname -r) 2>/dev/null || echo "Rust не включён"

💡 В ЧЁМ СУТЬ

До этого момента присутствие Rust в апстриме ядра воспринималось как осторожный эксперимент «в песочнице» рядом с неприкасаемым кодом на C.

Полный снос старого C-драйвера, обеспечивающего работу миллиардов Android-устройств, меняет статус Rust: это больше не факультатив, а production-ready стандарт для критических узлов. Для серверной инфраструктуры в долгосрочной перспективе это закрывает целый пласт kernel-level уязвимостей классов use-after-free, double free и гонок за память.

#linux #kernel #rust #android #opensource #sysadmin #admin_future

🗜 Brotli CVE-2026-111497: уязвимость в библиотеке сжатия задевает не только Node.js. Чинится пересборкой образов

Коллеги, среда. Сначала короткое напоминание: 27 октября CISA подтвердила активную эксплуатацию PHP2Shell в дикой природе. Если PHP на серверах ещё не обновлён — начните рабочий день с него.

📌 ФАКТЫ
Критическая уязвимость в декодере Brotli — популярной библиотеке сжатия данных от Google (out-of-bounds write / запись за пределы буфера)

Вектор атаки затрагивает любой софт, который распаковывает входящий Brotli-поток от недоверенной стороны. По аналитике Tenable, под ударом широкий стек: Node.js, .NET, Bun, Envoy, Istio, HTTP-клиенты Python, FFmpeg, Apache Arrow, ClickHouse

В сети уже доступны публичные PoC-эксплойты, сканеры фиксируют первые волны вредоносного трафика

Исправленные релизы:

Node.js: 26.12.1 / 24.22.1 / 22.23.4

Библиотека Brotli: 1.2.1 / 1.1.1 / 1.0.10

Ветки Node.js 20.x, 23.x, 25.x находятся вне цикла поддержки (EOL) — обновлений для них не будет

🛠 ГДЕ ИСКАТЬ УЯЗВИМЫЙ БИНАРНИК
Bash

# Проверка локального рантайма Node.js
node -v 2>/dev/null

# Системные пакеты библиотеки в ОС
dpkg -l | grep -i brotli || rpm -qa | grep -i brotli

# Python-окружения
pip show brotli brotlicffi 2>/dev/null | grep -E 'Name|Version'

# Быстрый аудит локальных Docker-образов через Grype (Anchore)
for img in $(docker images --format '{{.Repository}}:{{.Tag}}'); do
  echo "== $img =="
  grype "$img" -q 2>/dev/null | grep -i brotli
done

🛡 ПЛАН ДЕЙСТВИЙ
Обновить системные пакеты дистрибутива на хостах и перезапустить зависимые службы (веб-серверы, прокси).

Пересобрать контейнеры: обновить lock-файлы зависимостей проектов (npm/yarn/pnpm, pip), подтянуть свежие базовые образы с docker build --no-cache и задеплоить заново.

Проверить запущенный прод: убедиться, что контейнеры запущены из свежих digest-хешей, а не из старых закешированных слоев (docker ps --format '{{.Image}}\t{{.CreatedAt}}').

💡 В ЧЁМ СУТЬ

Системные библиотеки сжатия и парсинга давно превратились в скрытую бомбу supply-chain: они статически линкуются в бинарники и зашиваются в базовые образы контейнеров десятками разных путей.

Обычный

apt upgrade

на хосте не лечит то, что упаковано внутрь Docker-контейнера. Наличие SBOM (Software Bill of Materials) и сканеров образов в CI/CD — единственный способ превратить расследование «на каких из сотни сервисов у нас собран Brotli» из многодневного аврала в один короткий скрипт.

#security #brotli #nodejs #containers #supplychain #sysadmin #admin_future

🔏 eMudhra: ключи восьми промежуточных CA оказались подбираемыми. Один из них буквально был числом 4

Коллеги, показательная история про архитектуру доверия PKI и слепые зоны автономных trust store в серверной инфраструктуре.

📌 ФАКТЫ
Удостоверяющий центр eMudhra отозвал 8 промежуточных сертификатов (6 для TLS и 2 для подписи кода под корнем emSign ECC Root CA - G3, кросс-подписанных Sectigo): закрытые ключи P-384, сгенерированные в апреле 2025 года, содержали катастрофически низкую энтропию

Криптография уровня велосипедного замка: вместо 384 бит случайности ключи представляли собой целые числа меньше 256 (3–8 бит). Закрытый ключ для EM OV TLS CA – G3C оказался буквально числом 4. Полный перебор на обычном ноутбуке занимает доли секунды

Причина: сбой служебного скрипта на этапе wrap/unwrap во время церемонии генерации ключей и ошибка сопоставления лейблов. Проблема оставалась незамеченной 17 месяцев и прошла через два аудита

Эксплуатация: исследователи обнаружили баг 17 октября 2026 года. Прямых фактов вредоносного выпуска в Certificate Transparency не зафиксировано, злоупотреблений в дикой природе пока не найдено

Реакция экосистемы: Chrome (CRLSet), Mozilla (OneCRL, отзыв корня G3, удаление в Firefox 158.0.1 / CVE-2026-113470), Apple и Microsoft заблокировали цепочки. На фоне инцидента eMudhra заявила об уходе с мирового рынка публичных TLS-сертификатов

Специфический фикс для Go 1.27.3 / 1.26.10 (CVE-2026-111943): встроенный верификатор crypto/x509 фильтрует скомпрометированные SPKI-хеши

🛠 ПРОВЕРКА И ПРАКТИЧЕСКИЕ ШАГИ
Браузеры блокируют такие цепочки на лету, но CLI-утилиты, скрипты, ран таймы и контейнеры обычно не проверяют списки отзыва (CRL/OCSP) и продолжают доверять скомпрометированным сертификатам, пока не обновлен сам bundle.

Bash

# 1. Обновляем системное хранилище доверенных корневых сертификатов
apt update && apt install --only-upgrade ca-certificates
update-ca-certificates 2>/dev/null || true

# 2. Тестовый запрос: проверяем, доверяет ли локальный curl скомпрометированной цепочке
# (Ожидаемый безопасный результат — ошибка SSL / HTTP 000, а не 200 OK)
curl -s -o /dev/null -w "%{http_code}\n" https://dv-g3b-emudhra.we-have-a-problem.com/

# 3. Аудит бинарников на Go (агенты мониторинга, CLI-инструменты, экспортеры)
# В них зашит встроенный движок x509:
go version -m /usr/local/bin/<ваша_утилита> | head -1

⚠️ ГДЕ ОСТАЁТСЯ РИСК
Docker-образы: контейнеры несут собственный /etc/ssl/certs/ca-certificates.crt, зашитый при сборке. apt upgrade на хосте их не защитит — необходим пересбор образов с ключом --pull --no-cache.

Изолированные runtime-пакеты: Node.js (22.23.4+ / 24.22.1+), Python (certifi), Java (cacerts), Rust (webpki-roots) тащат свои копии trust store.

Корпоративный софт и appliance: прошивки сетевого оборудования, VPN-шлюзы и внутренние утилиты, не имеющие автообновления бандлов.

💡 В ЧЁМ СУТЬ

Модель открытого PKI держится на презумпции криптографической стойкости корневых участников: ошибка одного вендора в private key автоматически ставит под угрозу весь HTTPS.

Поскольку сервера и пайплайны исторически игнорируют CRL/OCSP из соображений скорости и надежности сети, единственной защитой остается регулярная актуализация trust store в базовых ОС и пересборка контейнеров с подтягиванием свежих пакетов

ca-certificates

.

#pki #tls #certificates #security #go #sysadmin #admin_future

💾 AOMEI Backupper: атакующие подменяли обновления на серверах вендора на 5–10 минут. Проверяем рабочие станции

Коллеги, AOMEI часто стоит на ПК и небольших серверах как бесплатный бэкап. Этот пост для вас.

📌 ФАКТЫ (Google GTIG / Mandiant, ManageEngine)
Группа UNC7017 меняла конфигурацию обновлений на серверах AOMEI в короткие окна: 28 мая (10 минут), 16 июля (6 минут), 20 июля (5 минут). Возможно, были и другие

Уязвимость не использовалась: контрольные суммы лежали в том же неподписанном файле, что и ссылка на обновление

Доставлялись загрузчик CROSSROAD, бэкдор SHINYROAD, подписанный Radmin и фреймворк Adaptix C2 под видом Nitro PDF

Цели — случайные: под удар попадала любая машина, проверявшая обновления в это окно. Тот же механизм обновления у AnyViewer

🛠 ПРОВЕРКА (Windows)
PowerShell

# Задачи планировщика из отчёта
Get-ScheduledTask | Where-Object TaskName -match 'RadminComponentRuntime|NitroRuntime'

# Radmin в профилях пользователей
Get-ChildItem $env:APPDATA, $env:LOCALAPPDATA -Directory -Recurse -Filter '*radmin*' -ErrorAction SilentlyContinue

# Обращения к доменам атакующих в кэше DNS
Get-DnsClientCache | Where-Object Entry -match 'storage-data\.com'

Заблокировать на файрволе: storage-data[.]com, 8.210.84.56, 8.218.65.184, 47.239.60.117, а также исходящий SMB (445) и внешний WebDAV.

💡 В ЧЁМ СУТЬ

Исправление на стороне вендора не лечит уже заражённые машины. И ещё вывод: бесплатный софт с автообновлением на рабочих станциях — тоже цепочка поставок. Его стоит инвентаризировать наравне с корпоративными агентами.

#security #supplychain #backup #windows #threathunting #sysadmin #admin_future