Атаки на Ivanti EPMM вышли на промышленный масштаб
🌐 В сети доступно более 4400 серверов Ivanti EPMM, и злоумышленники массово сканируют их в автоматическом режиме. Под удар попали государственные структуры, медицинские организации и промышленные компании в США, Германии, Австралии и Канаде.
🐚 Обе уязвимости связаны с небезопасной обработкой данных в bash-сценариях Apache — атакующий внедряет команду прямо в HTTP GET-запрос. После подтверждения выполнения кода через команду sleep 5 злоумышленники устанавливают веб-оболочки, обратные шеллы и агенты ботнета Nezha.
🔧 Ivanti выпустила патч ещё в январе 2026 года, и он устанавливается без остановки сервисов. Однако производитель предупреждает: даже после обновления нужно проверить систему на следы закрепления — атакующие могут сохранять скрытый доступ.
#ivanti #zeroday #кибербезопасность #исправление
@ZerodayAlert
🌐 В сети доступно более 4400 серверов Ivanti EPMM, и злоумышленники массово сканируют их в автоматическом режиме. Под удар попали государственные структуры, медицинские организации и промышленные компании в США, Германии, Австралии и Канаде.
🐚 Обе уязвимости связаны с небезопасной обработкой данных в bash-сценариях Apache — атакующий внедряет команду прямо в HTTP GET-запрос. После подтверждения выполнения кода через команду sleep 5 злоумышленники устанавливают веб-оболочки, обратные шеллы и агенты ботнета Nezha.
🔧 Ivanti выпустила патч ещё в январе 2026 года, и он устанавливается без остановки сервисов. Однако производитель предупреждает: даже после обновления нужно проверить систему на следы закрепления — атакующие могут сохранять скрытый доступ.
#ivanti #zeroday #кибербезопасность #исправление
@ZerodayAlert
SecurityLab.ru
Обновление Ivanti – это когда можно взломать компании по всему миру. Пароли даже не нужны
Хакеры массово атакуют государственные и медицинские организации через ошибки в программах Ivanti.
2❤16
🔓 Рынок 0day: как продают уязвимости за миллионы
Zero-day — уязвимость в программе, о которой разработчик еще не знает. Патча нет, защиты нет, а у атакующего уже есть путь внутрь.
Именно такой доступ и продают.
Схема рынка простая:
Исследователь находит баг → брокер проверяет и продает → покупатель получает доступ
Что влияет на цену? Главный фактор, нужно ли жертве что-то сделать.
• Атака с кликом — от $500 000
Жертва должна открыть ссылку, вложение или сообщение.
Звучит как мелочь, но такой клик часто легко организовать через фишинг, подставной контакт или просто хорошо написанное письмо.
• Без единого клика — от $1 500 000
Сообщение пришло, и устройство уже скомпрометировано.
Жертва ничего не открывала, не нажимала и даже не смотрела на экран. Такие уязвимости стоят дороже всего, потому что советы в духе «будь осторожен» здесь почти не работают.
• Полная цепочка под ключ — от $4 000 000
Речь не про одну уязвимость, а про связку из нескольких багов, собранных в готовый маршрут атаки:
сначала выполняется код в приложении, потом атака выходит из изоляции, затем получает права администратора.
Результат: полный контроль над устройством, без действий со стороны жертвы и почти без следов. Покупатель получает готовый инструмент и просто указывает цель.
🤑 Покупатели на таком рынке разные: спецслужбы, военные подрядчики, корпоративная разведка и криминальные группы.
Иногда один и тот же инструмент в итоге оказывается сразу у всех.
@ZerodayAlert
Zero-day — уязвимость в программе, о которой разработчик еще не знает. Патча нет, защиты нет, а у атакующего уже есть путь внутрь.
Именно такой доступ и продают.
Схема рынка простая:
Исследователь находит баг → брокер проверяет и продает → покупатель получает доступ
Что влияет на цену? Главный фактор, нужно ли жертве что-то сделать.
• Атака с кликом — от $500 000
Жертва должна открыть ссылку, вложение или сообщение.
Звучит как мелочь, но такой клик часто легко организовать через фишинг, подставной контакт или просто хорошо написанное письмо.
• Без единого клика — от $1 500 000
Сообщение пришло, и устройство уже скомпрометировано.
Жертва ничего не открывала, не нажимала и даже не смотрела на экран. Такие уязвимости стоят дороже всего, потому что советы в духе «будь осторожен» здесь почти не работают.
• Полная цепочка под ключ — от $4 000 000
Речь не про одну уязвимость, а про связку из нескольких багов, собранных в готовый маршрут атаки:
сначала выполняется код в приложении, потом атака выходит из изоляции, затем получает права администратора.
Результат: полный контроль над устройством, без действий со стороны жертвы и почти без следов. Покупатель получает готовый инструмент и просто указывает цель.
Иногда один и тот же инструмент в итоге оказывается сразу у всех.
@ZerodayAlert
Please open Telegram to view this post
VIEW IN TELEGRAM
1👍14👏3💯3
RoguePilot: атака через описание задачи
В GitHub выявили способ обойти защиту репозитория через связку GitHub Copilot и GitHub Codespaces. Исследователи из Orca Security показали, что достаточно запустить среду разработки из специально подготовленной задачи, чтобы ассистент начал выполнять скрытые инструкции.
Злоумышленник добавлял вредоносный фрагмент в описание issue. Copilot автоматически получал этот текст при старте Codespace и воспринимал его как рабочую подсказку. Далее модель переходила к созданному pull request, считывала внутренний файл через символическую ссылку и отправляла данные, включая GITHUB_TOKEN, на внешний сервер. Всё происходило в рамках штатного сценария, без модификации кода и расширений.
История наглядно показывает, что текст в ИИ-интеграциях всё чаще становится каналом управления. Microsoft изменила обработку входных данных, но сам риск никуда не делся. Чем глубже ассистенты встроены в процессы разработки, тем выше цена ошибки в архитектуре доверия.
#copilot #github #цепочкапоставок #иб
@ZerodayAlert
В GitHub выявили способ обойти защиту репозитория через связку GitHub Copilot и GitHub Codespaces. Исследователи из Orca Security показали, что достаточно запустить среду разработки из специально подготовленной задачи, чтобы ассистент начал выполнять скрытые инструкции.
Злоумышленник добавлял вредоносный фрагмент в описание issue. Copilot автоматически получал этот текст при старте Codespace и воспринимал его как рабочую подсказку. Далее модель переходила к созданному pull request, считывала внутренний файл через символическую ссылку и отправляла данные, включая GITHUB_TOKEN, на внешний сервер. Всё происходило в рамках штатного сценария, без модификации кода и расширений.
История наглядно показывает, что текст в ИИ-интеграциях всё чаще становится каналом управления. Microsoft изменила обработку входных данных, но сам риск никуда не делся. Чем глубже ассистенты встроены в процессы разработки, тем выше цена ошибки в архитектуре доверия.
#copilot #github #цепочкапоставок #иб
@ZerodayAlert
SecurityLab.ru
Токен на блюдечке. Как архитектурная ошибка в GitHub позволила угонять проекты через встроенный чат
Иногда излишнее удобство ведёт к катастрофическим последствиям.
👍10🏆1
Почтовый клиент Roundcube стал вектором активных кибератак
CISA предупредило о двух уязвимостях в Roundcube Webmail — популярном почтовом клиенте, широко используемом в корпоративных сетях. Обе бреши уже применяются в реальных атаках, что и послужило основанием для обновления списка известных активно эксплуатируемых уязвимостей.
Первая — CVE-2025-49113 с оценкой CVSS 9.9 — позволяет авторизованному пользователю выполнить произвольный код на сервере через модуль загрузки файлов и затрагивает версии до 1.5.10 и 1.6.x до 1.6.11 включительно. Вторая — CVE-2025-68461 с оценкой CVSS 7.2 — эксплуатирует XSS через SVG-теги и позволяет выполнять вредоносный код прямо в браузере жертвы без её ведома. Эксплуатация обеих брешей была зафиксирована ещё до их попадания в каталог.
Федеральные ведомства США обязаны устранить уязвимости в установленные сроки согласно директиве 2021 года. Остальным организациям рекомендуется как можно скорее обновить Roundcube до безопасных версий, поскольку взлом почтового сервера открывает доступ к переписке и учётным данным.
#кибербезопасность #roundcube #уязвимости #cisa
@ZerodayAlert
CISA предупредило о двух уязвимостях в Roundcube Webmail — популярном почтовом клиенте, широко используемом в корпоративных сетях. Обе бреши уже применяются в реальных атаках, что и послужило основанием для обновления списка известных активно эксплуатируемых уязвимостей.
Первая — CVE-2025-49113 с оценкой CVSS 9.9 — позволяет авторизованному пользователю выполнить произвольный код на сервере через модуль загрузки файлов и затрагивает версии до 1.5.10 и 1.6.x до 1.6.11 включительно. Вторая — CVE-2025-68461 с оценкой CVSS 7.2 — эксплуатирует XSS через SVG-теги и позволяет выполнять вредоносный код прямо в браузере жертвы без её ведома. Эксплуатация обеих брешей была зафиксирована ещё до их попадания в каталог.
Федеральные ведомства США обязаны устранить уязвимости в установленные сроки согласно директиве 2021 года. Остальным организациям рекомендуется как можно скорее обновить Roundcube до безопасных версий, поскольку взлом почтового сервера открывает доступ к переписке и учётным данным.
#кибербезопасность #roundcube #уязвимости #cisa
@ZerodayAlert
SecurityLab.ru
Всю сеть взломали через одно письмо. К чему ещё приводит отказ обновить Roundcube
Обнаруженные ошибки позволяют злоумышленникам выполнять код на серверах.
❤6
Forwarded from Топ кибербезопасности Батранкова
В мире действует множество компаний, которые разрабатывают наступательное кибероружие: zero-click эксплойты, комплексы перехвата информации и управления, готовые инструменты для взлома iOS/Android и браузеров. Формально им разрешают работать, потому что они созданы “для спецслужб”. Фактически - это никем не контролируемый серый рынок глобального масштаба.
Топ-10 ключевых игроков и их инструменты:
🇮🇱 NSO Group - утилиты Pegasus, QuaDream; выполняют взлом iPhone/Android без единого клика пользователя.
🇮🇱 Candiru - скрытые эксплойты для Chrome и Edge.
🇨🇾🇬🇷🇮🇱 Intellexa / Cytrox - Predator, активные zero-day.
🇮🇹 Hacking Team → теперь Memento Labs — удалённое управление для ПК и мобильных устройств.
🇩🇪🇬🇧 FinFisher / Gamma Group - FinSpy, перехват зашифрованного трафика.
🇪🇸 Variston IT - эксплойты для Chrome/Firefox/Windows (раскрыты Google TAG).
🇮🇹 RCS Lab / Tykelab - IMSI-catchers, lawful intercept, SS7-перехват.
🇮🇱 Circles - полный доступ к SS7, определение локации и перехват SMS.
🇦🇪 DarkMatter - offensive-разработка под заказ.
🇮🇳 BellTroX, Appin - «цифровые наёмники», фишинг + эксплойты.
И это только вершина айсберга!
Почему эти компании работают открыто?
🔹Их клиенты - правительства. Страны сами заинтересованы в подобных инструментах.
🔹Экспортный контроль формален: разрешения выдаёт тот же регулятор, которому выгодно их наличие.
🔹Легальное позиционирование (“lawful intercept” - полицейские функции) создаёт серую зону, где сложно предъявить обвинения.
🔹Рынок огромен: миллионы долларов за одну цепочку zero-day — сильный экономический стимул.
🔹Их технологии используют не только разведки, но и многие силовые ведомства — никто не хочет закрывать источник.
Но есть проблема
Поставщиков кибероружия тоже ломают. Если 10 лет назад ломали итальянскую компанию Hacking Team, то недавно, утекло кибероружие из китайской компании Knowsec.
К сожалению, кибероружие из подобных утечек уже использовалось в массовых атаках. Например, WannaCry и NotPetya не появились бы, если бы не утечка эксплойта EternalBlue - инструмента, украденного у Equation Group, подразделения NSA.
Рекомендую специалистам по кибербезопасности учитывать риск того, что против топ-менеджеров российских компаний могут применять коммерческое или государственное кибероружие. Как показывают утечки последних лет, такие инструменты разрабатываются в десятках стран и рано или поздно оказываются в руках тех, кому они не предназначались. И я лшь констатирую факт. Без паники. Защиты просто нет. И это нормально.
Это продолжение серии постов о кибероружии.
В следующих заметках - как эти инструменты применяются против бизнеса и топ-менеджеров. И почему сегодня опасно лететь со своим телефоном в некоторые страны. Предыдущий пост про утилиты ЦРУ был тут.
Канал Топ Кибербезопасности
#кибербезопасность #ДляВсех #разведка #хакеры #кибероружие #кибероружие
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥12❤3🤣2
Пять стран скоординировали ответ на массовые атаки против Cisco SD-WAN
CISA выпустила экстренную директиву, обязательную для всех гражданских федеральных ведомств США. Документ предписывает выявить затронутые системы, проверить их на признаки компрометации и установить обновления до 27 февраля 2026 года.
В основе атак лежат две уязвимости в Cisco Catalyst SD-WAN — CVE-2026-20127, позволяющая удалённо обойти аутентификацию и получить административные права, и CVE-2022-20775, открывающая путь к правам root. Злоумышленники внедряют в инфраструктуру фиктивный узел, который выполняет доверенные действия и обеспечивает долгосрочное закрепление в системе.
К совместному предупреждению присоединились агентства Великобритании, Канады, Новой Зеландии, Австралии и США. Австралийская разведка установила, что как минимум один атакующий использовал уязвимость нулевого дня в Cisco SD-WAN с 2023 года — обнаружить её удалось лишь в конце 2025 года.
#cisco #zeroday #sdwan #уязвимости
@ZerodayAlert
CISA выпустила экстренную директиву, обязательную для всех гражданских федеральных ведомств США. Документ предписывает выявить затронутые системы, проверить их на признаки компрометации и установить обновления до 27 февраля 2026 года.
В основе атак лежат две уязвимости в Cisco Catalyst SD-WAN — CVE-2026-20127, позволяющая удалённо обойти аутентификацию и получить административные права, и CVE-2022-20775, открывающая путь к правам root. Злоумышленники внедряют в инфраструктуру фиктивный узел, который выполняет доверенные действия и обеспечивает долгосрочное закрепление в системе.
К совместному предупреждению присоединились агентства Великобритании, Канады, Новой Зеландии, Австралии и США. Австралийская разведка установила, что как минимум один атакующий использовал уязвимость нулевого дня в Cisco SD-WAN с 2023 года — обнаружить её удалось лишь в конце 2025 года.
#cisco #zeroday #sdwan #уязвимости
@ZerodayAlert
SecurityLab.ru
Полный контроль, захват сетей и обход паролей. Две критические уязвимости затронули оборудование Cisco по всему миру
На этот раз все настолько плохо, что в США опубликовали экстренную директиву.
🔥10❤5🙈3🤩2👌2
Coruna: анатомия идеального взлома iPhone
Специалисты Google Threat Intelligence обнаружили сложный инструмент Coruna – набор из 5 цепочек атак и 23 уязвимостей для iOS, работающий против iPhone на версиях от iOS 13 до iOS 17.2.1. Инструмент использует уязвимости WebKit, обходит Pointer Authentication Code и маскирует полезную нагрузку под JavaScript-файлы.
История Coruna охватывает три разные кампании: точечная слежка через коммерческую компанию-разработчика шпионского ПО, кибершпионаж против украинских пользователей через заражённые сайты, а также кража криптоактивов через сеть поддельных китайских финансовых сайтов. Один набор – три разных оператора.
Финальная полезная нагрузка PlasmaLoader внедряется в системный процесс powerd и охотится за фразами восстановления криптокошельков BIP39, перехватывает MetaMask, Trust Wallet, Exodus и Phantom.
#iphone #ios #кибершпионаж #zeroday
@ZerodayAlert
Специалисты Google Threat Intelligence обнаружили сложный инструмент Coruna – набор из 5 цепочек атак и 23 уязвимостей для iOS, работающий против iPhone на версиях от iOS 13 до iOS 17.2.1. Инструмент использует уязвимости WebKit, обходит Pointer Authentication Code и маскирует полезную нагрузку под JavaScript-файлы.
История Coruna охватывает три разные кампании: точечная слежка через коммерческую компанию-разработчика шпионского ПО, кибершпионаж против украинских пользователей через заражённые сайты, а также кража криптоактивов через сеть поддельных китайских финансовых сайтов. Один набор – три разных оператора.
Финальная полезная нагрузка PlasmaLoader внедряется в системный процесс powerd и охотится за фразами восстановления криптокошельков BIP39, перехватывает MetaMask, Trust Wallet, Exodus и Phantom.
#iphone #ios #кибершпионаж #zeroday
@ZerodayAlert
SecurityLab.ru
Сначала следят спецслужбы, а потом мошенники крадут крипту – жизненный цикл новой уязвимости iOS
Google нашел инструмент Coruna для массового взлома iPhone.
🔥5👍2❤1😢1👀1
Zero Day в Android уже используется в целенаправленных атаках
Наиболее опасная уязвимость бюллетеня – CVE-2026-0006 – находится в системном компоненте Android. Именно через него злоумышленник способен выполнить произвольный код на устройстве удалённо, без каких-либо прав и без участия пользователя.
Уязвимость CVE-2026-21385, обнаруженная в системных службах и инфраструктуре платформы Android, уже применяется в реальных целенаправленных атаках. Google подтвердила факты эксплуатации, однако подробности о механизме атак не раскрывает.
Критические ошибки в ядре Linux, которое лежит в основе Android, затрагивают подсистемы виртуализации, гипервизора и файловых систем, позволяя повысить привилегии и получить контроль над системой. Отдельные уязвимости выявлены в компонентах чипсетов и графических процессоров от Arm, MediaTek, Qualcomm и Unisoc.
#android #безопасность #уязвимости #исправление
@ZerodayAlert
Наиболее опасная уязвимость бюллетеня – CVE-2026-0006 – находится в системном компоненте Android. Именно через него злоумышленник способен выполнить произвольный код на устройстве удалённо, без каких-либо прав и без участия пользователя.
Уязвимость CVE-2026-21385, обнаруженная в системных службах и инфраструктуре платформы Android, уже применяется в реальных целенаправленных атаках. Google подтвердила факты эксплуатации, однако подробности о механизме атак не раскрывает.
Критические ошибки в ядре Linux, которое лежит в основе Android, затрагивают подсистемы виртуализации, гипервизора и файловых систем, позволяя повысить привилегии и получить контроль над системой. Отдельные уязвимости выявлены в компонентах чипсетов и графических процессоров от Arm, MediaTek, Qualcomm и Unisoc.
#android #безопасность #уязвимости #исправление
@ZerodayAlert
SecurityLab.ru
Вы даже не трогали смартфон – а он уже взломан. Google нашёл уязвимости там, где их никто не искал
Google закрыла десятки уязвимостей в мартовском обновлении безопасности Android.
👀11😢4🙈3🙉2❤1
Один символ Unicode обошёл защиту популярной системы поддержки
В системе поддержки FreeScout обнаружена критическая уязвимость CVE-2026-28289 (оценка CVSS 10). Для атаки достаточно отправить письмо с вложением на любой подключённый к системе адрес – авторизация не требуется.
Проблема связана с обходом проверки имени файла при помощи невидимого символа Unicode U+200B – пробела нулевой ширины. Система пропускает такой файл как безопасный, а затем удаляет невидимый символ и сохраняет его уже как исполняемый скрытый файл.
Разработчики выпустили исправление в версии FreeScout 1.8.207 – все более ранние версии остаются уязвимыми. Дополнительно администраторам рекомендуют отключить параметр AllowOverrideAll в настройках Apache для снижения рисков.
#уязвимость #freescout #unicode #zeroday
@ZerodayAlert
В системе поддержки FreeScout обнаружена критическая уязвимость CVE-2026-28289 (оценка CVSS 10). Для атаки достаточно отправить письмо с вложением на любой подключённый к системе адрес – авторизация не требуется.
Проблема связана с обходом проверки имени файла при помощи невидимого символа Unicode U+200B – пробела нулевой ширины. Система пропускает такой файл как безопасный, а затем удаляет невидимый символ и сохраняет его уже как исполняемый скрытый файл.
Разработчики выпустили исправление в версии FreeScout 1.8.207 – все более ранние версии остаются уязвимыми. Дополнительно администраторам рекомендуют отключить параметр AllowOverrideAll в настройках Apache для снижения рисков.
#уязвимость #freescout #unicode #zeroday
@ZerodayAlert
SecurityLab.ru
Вы ничего не нажимали, а хакеры уже забрали сервер целиком через символ, который никто не видит. Так работает 0-click в FreeScout
Разработчики FreeScout выпустили экстренное обновление после обнаружения способа обхода защиты.
😱5❤3😨3👎1🔥1
Дыра в pac4j-jwt. Теперь буквально каждый — «admin»
В библиотеке pac4j-jwt обнаружили критическую уязвимость CVE-2026-29000 (10,0). Злоумышленник может выдать себя за любого пользователя, включая администратора. Пароли и закрытые ключи не нужны.
Фокус в том, как библиотека обрабатывает JWT. Если сделать токен без подписи (PlainJWT) и зашифровать публичным RSA-ключом сервера, код «теряет» признак подписи и пропускает её проверку. Сервер читает роль из токена и верит ей.
История не только про один пакет. Шифрование часто добавляют как «усиление», но шифрование не доказывает источник. Если подпись проверяют не в самом начале, любая ошибка превращается во вход с любыми правами. Обновление зависимостей здесь реально закрывает входную дверь.
#jwt #java #auth #аутентификация
В библиотеке pac4j-jwt обнаружили критическую уязвимость CVE-2026-29000 (10,0). Злоумышленник может выдать себя за любого пользователя, включая администратора. Пароли и закрытые ключи не нужны.
Фокус в том, как библиотека обрабатывает JWT. Если сделать токен без подписи (PlainJWT) и зашифровать публичным RSA-ключом сервера, код «теряет» признак подписи и пропускает её проверку. Сервер читает роль из токена и верит ей.
История не только про один пакет. Шифрование часто добавляют как «усиление», но шифрование не доказывает источник. Если подпись проверяют не в самом начале, любая ошибка превращается во вход с любыми правами. Обновление зависимостей здесь реально закрывает входную дверь.
#jwt #java #auth #аутентификация
SecurityLab.ru
Любой пользователь — админ. Коротко о критической дыре в библиотеке pac4j-jwt
Уязвимость CVE-2026-29000 получила 10 баллов по шкале CVSS.
1❤19🤓4💔1👨💻1
Зафиксированы реальные атаки через продукты Omnissa, SolarWinds и Ivanti
Агентство CISA пополнило каталог активно эксплуатируемых уязвимостей сразу тремя проблемами в продуктах Omnissa Workspace One UEM, SolarWinds Web Help Desk и Ivanti Endpoint Manager. Попадание в этот список – прямой сигнал того, что атаки с использованием этих брешей уже идут, а не являются гипотетическими.
Наиболее критична уязвимость CVE-2025-26399 в SolarWinds Web Help Desk с оценкой CVSS 9.8: ошибка десериализации позволяет злоумышленнику выполнять произвольные команды на сервере. Ошибку уже применяет группа вымогателей Warlock для первоначального проникновения в инфраструктуру жертв.
CISA обязало закрыть уязвимость в SolarWinds Web Help Desk до 12 марта 2026 года, а две оставшиеся – до 23 марта. Ведомство особо отмечает, что подобные ошибки регулярно становятся точкой входа для атак на федеральные информационные системы.
#CISA #уязвимости #эксплуатация #вымогатели
@ZerodayAlert
Агентство CISA пополнило каталог активно эксплуатируемых уязвимостей сразу тремя проблемами в продуктах Omnissa Workspace One UEM, SolarWinds Web Help Desk и Ivanti Endpoint Manager. Попадание в этот список – прямой сигнал того, что атаки с использованием этих брешей уже идут, а не являются гипотетическими.
Наиболее критична уязвимость CVE-2025-26399 в SolarWinds Web Help Desk с оценкой CVSS 9.8: ошибка десериализации позволяет злоумышленнику выполнять произвольные команды на сервере. Ошибку уже применяет группа вымогателей Warlock для первоначального проникновения в инфраструктуру жертв.
CISA обязало закрыть уязвимость в SolarWinds Web Help Desk до 12 марта 2026 года, а две оставшиеся – до 23 марта. Ведомство особо отмечает, что подобные ошибки регулярно становятся точкой входа для атак на федеральные информационные системы.
#CISA #уязвимости #эксплуатация #вымогатели
@ZerodayAlert
SecurityLab.ru
Неделя на исправление или взлом: какие обновления безопасности необходимо установить до середины марта 2026 года
Установлены жесткие сроки для исправления уязвимостей в SolarWinds и Ivanti.
😎3❤1
«Zombie ZIP»: как один байт ломает проверку архивов
Специалист Bombadil Systems Крис Азиз показал необычный способ обхода антивирусов через ZIP-архивы. Метод «Zombie ZIP» меняет значение поля, которое описывает способ сжатия файла. Проверяющие системы видят в заголовке «данные без сжатия» и анализируют содержимое в таком виде.
Архив при этом хранит файл в стандартном формате Deflate. Антивирусы читают поток данных как несжатый, получая бессмысленный набор байтов, из-за чего сигнатуры не совпадает и детектирование не срабатывает. Дополнительная деталь — подменённая контрольная сумма CRC. Из-за несоответствия популярные архиваторы считают файл повреждённым и отказываются распаковывать содержимое.
С технической точки зрения проблема лежит не в ZIP как формате, а в логике проверки. Многие защитные движки анализируют архив «по паспорту», а не по фактической структуре данных. Zombie ZIP наглядно показывает последствия такого подхода. Если метаданные формата можно подделать, значит проверка должна уметь игнорировать заголовки и проверять реальную структуру архива.
#malware #zip #архивы #кибербезопасность
Специалист Bombadil Systems Крис Азиз показал необычный способ обхода антивирусов через ZIP-архивы. Метод «Zombie ZIP» меняет значение поля, которое описывает способ сжатия файла. Проверяющие системы видят в заголовке «данные без сжатия» и анализируют содержимое в таком виде.
Архив при этом хранит файл в стандартном формате Deflate. Антивирусы читают поток данных как несжатый, получая бессмысленный набор байтов, из-за чего сигнатуры не совпадает и детектирование не срабатывает. Дополнительная деталь — подменённая контрольная сумма CRC. Из-за несоответствия популярные архиваторы считают файл повреждённым и отказываются распаковывать содержимое.
С технической точки зрения проблема лежит не в ZIP как формате, а в логике проверки. Многие защитные движки анализируют архив «по паспорту», а не по фактической структуре данных. Zombie ZIP наглядно показывает последствия такого подхода. Если метаданные формата можно подделать, значит проверка должна уметь игнорировать заголовки и проверять реальную структуру архива.
#malware #zip #архивы #кибербезопасность
SecurityLab.ru
ZIP-архив Шрёдингера: для антивируса внутри ничего нет, а для хакера там рабочий вирус
Изучаем феномен Zombie ZIP, обманывающего зрение программных сканеров.
👏14😁4❤2👍2
Уязвимость в Ally показала слабое место экосистемы WordPress
В WordPress-плагине Ally от Elementor обнаружили критическую уязвимость CVE-2026-2413. Ошибка позволяет получать доступ к данным без авторизации через внедрение SQL-запросов. На первый взгляд новость про очередную SQL-инъекцию, но в реальности случай интереснее: проблема возникла в массовом расширении, которое ставят не ради экспериментов, а как штатный инструмент для повышения доступности сайта.
Корень проблемы связан с обработкой пользовательского параметра URL. Функция get_global_remediations() добавляла значение в SQL-запрос без полноценной очистки, а применённая защита через esc_url_raw() оказалась защитой не от той угрозы. Для разработчика разница принципиальная: одна функция проверяет корректность URL, другая задача требует жёстко исключить влияние пользовательского ввода на структуру SQL. Когда эти уровни защиты путают, появляются уязвимости, которые удобно эксплуатировать даже без прямого доступа к панели управления. В данном случае речь идёт о слепой SQL-инъекции по времени ответа, а такой подход часто недооценивают до первого реального инцидента.
Показательнее всего статистика после выхода патча. Исправление доступно в Ally 4.1.0, но обновление установила лишь часть сайтов, и более 250 тысяч ресурсов продолжают работать на уязвимых версиях. Для рынка WordPress проблема давно шире конкретного плагина: окно между публикацией исправления и массовым обновлением остаётся достаточно большим, чтобы любая технически несложная ошибка превращалась в массовый риск. Именно поэтому подобные истории читаются уже не как локальный сбой одного продукта, а как симптом всей модели сопровождения расширений.
#wordpress #elementor #уязвимость #безопасность
В WordPress-плагине Ally от Elementor обнаружили критическую уязвимость CVE-2026-2413. Ошибка позволяет получать доступ к данным без авторизации через внедрение SQL-запросов. На первый взгляд новость про очередную SQL-инъекцию, но в реальности случай интереснее: проблема возникла в массовом расширении, которое ставят не ради экспериментов, а как штатный инструмент для повышения доступности сайта.
Корень проблемы связан с обработкой пользовательского параметра URL. Функция get_global_remediations() добавляла значение в SQL-запрос без полноценной очистки, а применённая защита через esc_url_raw() оказалась защитой не от той угрозы. Для разработчика разница принципиальная: одна функция проверяет корректность URL, другая задача требует жёстко исключить влияние пользовательского ввода на структуру SQL. Когда эти уровни защиты путают, появляются уязвимости, которые удобно эксплуатировать даже без прямого доступа к панели управления. В данном случае речь идёт о слепой SQL-инъекции по времени ответа, а такой подход часто недооценивают до первого реального инцидента.
Показательнее всего статистика после выхода патча. Исправление доступно в Ally 4.1.0, но обновление установила лишь часть сайтов, и более 250 тысяч ресурсов продолжают работать на уязвимых версиях. Для рынка WordPress проблема давно шире конкретного плагина: окно между публикацией исправления и массовым обновлением остаётся достаточно большим, чтобы любая технически несложная ошибка превращалась в массовый риск. Именно поэтому подобные истории читаются уже не как локальный сбой одного продукта, а как симптом всей модели сопровождения расширений.
#wordpress #elementor #уязвимость #безопасность
SecurityLab.ru
Кавычки решают всё. Как одна забытая проверка в коде подставила четверть миллиона владельцев сайтов
Огромная веб-аудитория оказалась совершенно беззащитной.
❤9❤🔥1
CISA зафиксировала атаки через "безобидную" утечку в Wing FTP
🎯 Агентство по кибербезопасности США добавило в каталог активно эксплуатируемых уязвимостей CVE-2025-47813 — дефект в Wing FTP Server, который на первый взгляд выглядит безобидно. Он просто раскрывает полный путь установки приложения на сервере. Никакого удаленного выполнения кода, никакой кражи данных. Но злоумышленники используют эту утечку как разведку перед основным ударом: сервер сам подсказывает, где лежат нужные файлы и как устроена структура. А дальше в ход идет CVE-2025-47812 — критическая RCE-уязвимость, которая дает полный контроль.
🔗 Wing FTP стоит на внешнем периметре у ВВС США, Sony, Airbus, Reuters и еще десяти тысяч клиентов по всему миру. Сервер работает с чувствительными файлами, часто доступен извне, и любая брешь здесь — это прямая дорога внутрь инфраструктуры. Исследователь Жюльен Аренс опубликовал демонстрационный код для CVE-2025-47813, после чего связка из двух уязвимостей стала работать как конвейер: сначала вытащить служебную информацию, потом использовать ее для точного удара через RCE. CISA не раскрывает детали текущих атак, но само включение в KEV уже много значит.
⏰ Патч вышел в мае 2025 года — версия 7.4.4 закрыла сразу три дыры, включая обе из этой цепочки. Но между публикацией технических деталей и началом атак прошел буквально день. У администраторов не осталось привычного запаса времени на спокойное обновление. Федеральным ведомствам США дали две недели на установку патча, всем остальным CISA настоятельно рекомендует не затягивать.
#wingftp #cisa #kev #цепочкаатак
@CyberStrikeNews
🎯 Агентство по кибербезопасности США добавило в каталог активно эксплуатируемых уязвимостей CVE-2025-47813 — дефект в Wing FTP Server, который на первый взгляд выглядит безобидно. Он просто раскрывает полный путь установки приложения на сервере. Никакого удаленного выполнения кода, никакой кражи данных. Но злоумышленники используют эту утечку как разведку перед основным ударом: сервер сам подсказывает, где лежат нужные файлы и как устроена структура. А дальше в ход идет CVE-2025-47812 — критическая RCE-уязвимость, которая дает полный контроль.
🔗 Wing FTP стоит на внешнем периметре у ВВС США, Sony, Airbus, Reuters и еще десяти тысяч клиентов по всему миру. Сервер работает с чувствительными файлами, часто доступен извне, и любая брешь здесь — это прямая дорога внутрь инфраструктуры. Исследователь Жюльен Аренс опубликовал демонстрационный код для CVE-2025-47813, после чего связка из двух уязвимостей стала работать как конвейер: сначала вытащить служебную информацию, потом использовать ее для точного удара через RCE. CISA не раскрывает детали текущих атак, но само включение в KEV уже много значит.
⏰ Патч вышел в мае 2025 года — версия 7.4.4 закрыла сразу три дыры, включая обе из этой цепочки. Но между публикацией технических деталей и началом атак прошел буквально день. У администраторов не осталось привычного запаса времени на спокойное обновление. Федеральным ведомствам США дали две недели на установку патча, всем остальным CISA настоятельно рекомендует не затягивать.
#wingftp #cisa #kev #цепочкаатак
@CyberStrikeNews
SecurityLab.ru
Думали — мелкая утечка. Оказалось — ключ к взлому. Опасный 0-day в Wing FTP рисует хакерам карту: вот файлы, крадите на здоровье
CISA внесла уязвимость в список эксплуатируемых. И это очень плохие новости.
❤7😁2
Критическая уязвимость Telnet: код выполняется до ввода пароля
🔓 В GNU InetUtils telnetd нашли критическую уязвимость CVE-2026-32746, которая ломает все привычные правила. Обычно для взлома нужно хотя бы пройти аутентификацию, подобрать пароль, получить доступ к системе. Здесь достаточно подключиться к порту 23 и отправить специально сформированное сообщение на этапе начального согласования протокола — еще до появления приглашения ко входу. Проблема в обработчике подопции LINEMODE, который из-за некорректной работы с данными допускает переполнение буфера. Дальше — стандартная цепочка до удаленного выполнения кода.
⚡️ После захвата открываются все двери: установка постоянных закладок, кража данных, перемещение по инфраструктуре и использование скомпрометированного узла как точки опоры для новых атак. Израильская компания Dream передала информацию разработчикам 11 марта, исправление обещают к 1 апреля.
🚨 Самое тревожное — это уже вторая критическая дыра в telnetd за два месяца. В январе раскрыли CVE-2026-24061 с той же оценкой 9.8, которую позже начали активно эксплуатировать. Telnet считается устаревшим протоколом, но продолжает жить в старых Unix-системах, встраиваемых устройствах, лабораторных стендах и забытой инфраструктуре. Пока патча нет, единственный надежный способ защиты — полностью отключить службу. Если это невозможно, нужно запускать telnetd без прав root, закрыть порт 23 на периметре и изолировать доступ настолько, насколько позволяет архитектура.
#telnet #rce #preauth #критическаяуязвимость
🔓 В GNU InetUtils telnetd нашли критическую уязвимость CVE-2026-32746, которая ломает все привычные правила. Обычно для взлома нужно хотя бы пройти аутентификацию, подобрать пароль, получить доступ к системе. Здесь достаточно подключиться к порту 23 и отправить специально сформированное сообщение на этапе начального согласования протокола — еще до появления приглашения ко входу. Проблема в обработчике подопции LINEMODE, который из-за некорректной работы с данными допускает переполнение буфера. Дальше — стандартная цепочка до удаленного выполнения кода.
⚡️ После захвата открываются все двери: установка постоянных закладок, кража данных, перемещение по инфраструктуре и использование скомпрометированного узла как точки опоры для новых атак. Израильская компания Dream передала информацию разработчикам 11 марта, исправление обещают к 1 апреля.
🚨 Самое тревожное — это уже вторая критическая дыра в telnetd за два месяца. В январе раскрыли CVE-2026-24061 с той же оценкой 9.8, которую позже начали активно эксплуатировать. Telnet считается устаревшим протоколом, но продолжает жить в старых Unix-системах, встраиваемых устройствах, лабораторных стендах и забытой инфраструктуре. Пока патча нет, единственный надежный способ защиты — полностью отключить службу. Если это невозможно, нужно запускать telnetd без прав root, закрыть порт 23 на периметре и изолировать доступ настолько, насколько позволяет архитектура.
#telnet #rce #preauth #критическаяуязвимость
SecurityLab.ru
Telnet: "Введите логин, пожалуйста" — хакер: "Спасибо, но я уже root". Вторая критическая дыра за два месяца, CISA уже фиксирует…
Одно подключение = полный контроль.
😱9🔥5😁5❤4
Шесть уязвимостей и три бэкдора — как DarkSword взламывает iPhone
🕵️ На рынке кибершпионажа появился новый инструмент — DarkSword, набор эксплойтов для iPhone, который уже используют несколько хакерских группировок, в том числе предположительно связанных с государственными структурами. Об угрозе сообщили исследователи Google, iVerify и Lookout. По их данным, атаки ведутся как минимум с ноября 2025 года.
⚠️ DarkSword эксплуатирует шесть уязвимостей в iOS 18.4–18.7 и устанавливает три разных бэкдора. Заражение происходит через переход на вредоносный сайт: цепочка эксплойтов последовательно пробивается от браузера до ядра системы, после чего вредонос похищает переписку, фото, геолокацию, данные криптокошельков, журналы звонков и многое другое.
🛡Особую тревогу вызывает то, что DarkSword одновременно применяют несколько независимых группировок — в кампаниях против пользователей из Саудовской Аравии, Турции и Малайзии. Apple уже закрыла все шесть уязвимостей, поэтому специалисты настоятельно рекомендуют немедленно обновить iOS.
#кибербезопасность #iPhone #шпионскоеПО
🕵️ На рынке кибершпионажа появился новый инструмент — DarkSword, набор эксплойтов для iPhone, который уже используют несколько хакерских группировок, в том числе предположительно связанных с государственными структурами. Об угрозе сообщили исследователи Google, iVerify и Lookout. По их данным, атаки ведутся как минимум с ноября 2025 года.
⚠️ DarkSword эксплуатирует шесть уязвимостей в iOS 18.4–18.7 и устанавливает три разных бэкдора. Заражение происходит через переход на вредоносный сайт: цепочка эксплойтов последовательно пробивается от браузера до ядра системы, после чего вредонос похищает переписку, фото, геолокацию, данные криптокошельков, журналы звонков и многое другое.
🛡Особую тревогу вызывает то, что DarkSword одновременно применяют несколько независимых группировок — в кампаниях против пользователей из Саудовской Аравии, Турции и Малайзии. Apple уже закрыла все шесть уязвимостей, поэтому специалисты настоятельно рекомендуют немедленно обновить iOS.
#кибербезопасность #iPhone #шпионскоеПО
SecurityLab.ru
Ваш iPhone обновлён до последней версии iOS? Если нет — DarkSword уже может получить доступ к вашим данным и криптокошельку
Исследователи Google, iVerify и Lookout обнаружили новый набор эксплойтов для iPhone.
❤6✍6👀4😁1
Специалисты раскрыли 0Day-атаку вымогателей против Cisco
🕵️ Подразделение Amazon по анализу угроз обнаружило активную кампанию вымогателей, связанную с уязвимостью CVE-2026-20131 в Cisco Secure Firewall Management Center. Ошибка позволяет удалённо выполнять Java-код с максимальными правами без авторизации – Interlock начала её эксплуатировать ещё 26 января, тогда как Cisco раскрыла проблему лишь 4 марта.
🔓 Один из серверов группировки оказался плохо настроен и раскрыл всю инфраструктуру атакующих. Это позволило исследователям увидеть полный арсенал Interlock: RAT на JavaScript и Java, бесфайловую веб-оболочку, скрипты разведки на PowerShell и легальные инструменты ScreenConnect, Volatility и Certify.
🌍 Анализ временных меток с вероятностью 75–80% указывает на часовой пояс UTC+3 с пиком активности с 12:00 до 18:00. После взлома группировка собирает данные о системе, упаковывает их и отправляет на внешний ресурс – явная подготовка к атаке на всю инфраструктуру жертвы.
#cisco #zeroday #вымогатели #interlock
@ZerodayAlert
🕵️ Подразделение Amazon по анализу угроз обнаружило активную кампанию вымогателей, связанную с уязвимостью CVE-2026-20131 в Cisco Secure Firewall Management Center. Ошибка позволяет удалённо выполнять Java-код с максимальными правами без авторизации – Interlock начала её эксплуатировать ещё 26 января, тогда как Cisco раскрыла проблему лишь 4 марта.
🔓 Один из серверов группировки оказался плохо настроен и раскрыл всю инфраструктуру атакующих. Это позволило исследователям увидеть полный арсенал Interlock: RAT на JavaScript и Java, бесфайловую веб-оболочку, скрипты разведки на PowerShell и легальные инструменты ScreenConnect, Volatility и Certify.
🌍 Анализ временных меток с вероятностью 75–80% указывает на часовой пояс UTC+3 с пиком активности с 12:00 до 18:00. После взлома группировка собирает данные о системе, упаковывает их и отправляет на внешний ресурс – явная подготовка к атаке на всю инфраструктуру жертвы.
#cisco #zeroday #вымогатели #interlock
@ZerodayAlert
SecurityLab.ru
Работают с 12:00 до 18:00 и очень любят Java. Портрет хакеров, которые обошли защиту Cisco
Хакеры Interlock полтора месяца хозяйничали в сетях Cisco, пока мир ничего не подозревал.
😁7❤4👾1
Хакеры атакуют Apple, Craft CMS и Laravel
Три уязвимости затрагивают продукты Apple и уже применяются в сложных цепочках взлома. Специально подготовленные веб-страницы и ошибки синхронизации позволяют повредить память устройства, выйти из изоляции процессов и выполнить произвольный код.
Уязвимость в Craft CMS получила максимальные 10 баллов опасности и позволяет выполнить код на сервере без авторизации. Достаточно одного специально сформированного запроса – и злоумышленник получает полный контроль над системой.
Схожая проблема обнаружена в Laravel Livewire: ошибка в обработке компонентов открывает доступ к командам сервера без входа в систему. Такие уязвимости становятся точкой входа для захвата серверов, кражи данных и закрепления в инфраструктуре жертвы.
#zeroday #уязвимости #CMS #apple
@ZerodayAlert
Три уязвимости затрагивают продукты Apple и уже применяются в сложных цепочках взлома. Специально подготовленные веб-страницы и ошибки синхронизации позволяют повредить память устройства, выйти из изоляции процессов и выполнить произвольный код.
Уязвимость в Craft CMS получила максимальные 10 баллов опасности и позволяет выполнить код на сервере без авторизации. Достаточно одного специально сформированного запроса – и злоумышленник получает полный контроль над системой.
Схожая проблема обнаружена в Laravel Livewire: ошибка в обработке компонентов открывает доступ к командам сервера без входа в систему. Такие уязвимости становятся точкой входа для захвата серверов, кражи данных и закрепления в инфраструктуре жертвы.
#zeroday #уязвимости #CMS #apple
@ZerodayAlert
SecurityLab.ru
Ваш iPhone может больше, чем вы думали: например, выполнять чужой код из-за ошибки в памяти
В защите Apple и популярных серверов нашли еще пять удобных входов.
❤2👍2🥰2
Forwarded from SecurityLab.ru
Импортозамещение в ИБ вывело рынок на новый этап. Базовые задачи уже закрыты, и теперь заказчики смотрят шире: кому можно отдать сетевую и цифровую инфраструктуру на годы вперёд. Исследование UserGate подтверждает — ключевой фактор выбора сегодня не происхождение продукта, а доверие: стабильность, быстрое решение проблем, понятное развитие.
На конференции UserGate Open Conf 2026 компания объявила о новой роли — архитектор сетевого доверия — и представила пятилетнюю дорожную карту развития.
Цифры говорят сами за себя: 20+ лет собственных разработок, каждая третья компания из РБК-500 уже использует решения UserGate, 4 000 аппаратных платформ продано только за последний год, свыше 20 000 устройств за всю историю. Единственный в России разработчик NGFW класса Enterprise, на подходе — сертификация РБПО ФСТЭК.
«Доверие — не декларация, а совокупность факторов: стабильная работа решений, своевременное устранение проблем и последовательное развитие продуктов» — Юлия Косова, руководитель отдела стратегической аналитики UserGate Юлия Косова.
Please open Telegram to view this post
VIEW IN TELEGRAM
🥱3🙈3💯2❤1😁1
Для Telegram начался отсчёт до публичного раскрытия критической уязвимости
Zero Day Initiative зафиксировала в Telegram критическую уязвимость и запустила обратный отсчёт на исправление. Подробности пока закрыты, но оценка 9,8 из 10 уже выводит находку в категорию самых опасных. Публичное раскрытие назначено на 24 июля 2026 года. И если разработчики не закроют проблему до этого срока, подробности о ней станут доступны каждому.
Даже без описания механики картина выглядит тревожно. Предварительный CVSS-вектор указывает на удалённую атаку через сеть, низкую сложность эксплуатации, отсутствие привилегий и даже участия пользователя. Для защитника такой набор означает худший тип неопределённости: уязвимость ещё не раскрыли, а контур возможного ущерба уже выглядит максимально широким.
В таких случаях рынок следит не за формулировками пресс-службы, а за скоростью инженерной реакции. Критическая ошибка в мессенджере не бьёт точечно. Критическая ошибка ставит под вопрос устойчивость всей среды, через которую проходят личные сообщения, рабочие обсуждения и чувствительные данные. Времени на спокойный разбор у Telegram почти нет.
#telegram #cvss #уязвимость #кибербезопасность
@ZerodayAlert
Zero Day Initiative зафиксировала в Telegram критическую уязвимость и запустила обратный отсчёт на исправление. Подробности пока закрыты, но оценка 9,8 из 10 уже выводит находку в категорию самых опасных. Публичное раскрытие назначено на 24 июля 2026 года. И если разработчики не закроют проблему до этого срока, подробности о ней станут доступны каждому.
Даже без описания механики картина выглядит тревожно. Предварительный CVSS-вектор указывает на удалённую атаку через сеть, низкую сложность эксплуатации, отсутствие привилегий и даже участия пользователя. Для защитника такой набор означает худший тип неопределённости: уязвимость ещё не раскрыли, а контур возможного ущерба уже выглядит максимально широким.
В таких случаях рынок следит не за формулировками пресс-службы, а за скоростью инженерной реакции. Критическая ошибка в мессенджере не бьёт точечно. Критическая ошибка ставит под вопрос устойчивость всей среды, через которую проходят личные сообщения, рабочие обсуждения и чувствительные данные. Времени на спокойный разбор у Telegram почти нет.
#telegram #cvss #уязвимость #кибербезопасность
@ZerodayAlert
SecurityLab.ru
9,8 из 10. В Telegram обнаружили 0day-баг, позволяющий захватить аккаунт без ведома владельца
Личные чаты пользователей остались один на один с критической уязвимостью.
🤯11🤣7❤6😱2🤡2