🎇Как отличить полезный ИБ-канал от информационного мусора за 30 секунд

Полтора года назад у меня было 40+ подписок по кибербезопасности и 847 непрочитанных сообщений. Половина каналов дублировала одни и те же новости, треть репостила чужие скриншоты без контекста, а настоящие write-up'ы я находил случайно перед сном. Знакомо?

После ревизии осталось 12 каналов. Через месяц лабы на TryHackMe стал закрывать быстрее, потому что наконец читал осмысленно, а не сканировал заголовки по диагонали.

Вот три типа каналов, которые стоит различать до подписки:

📌Авторский блог — автор пишет от своего имени, разбирает техники, делится результатами лабораторных работ. Признаки: связный текст, ответы в комментариях, повторяющиеся рубрики, команды вроде nmap или Burp Suite в постах.

📌Агрегатор — собирает публикации из нескольких источников с минимальным комментарием. Широкий охват повестки, но глубины нет. Годится для мониторинга, не для обучения.

📌Репост-помойка — механический дубль постов из других каналов без добавленной ценности. Кликбейтные заголовки, ноль авторского текста, каша из тем. Таких — большинство. Проходим мимо.

Быстрый чек перед подпиской: откройте канал, пролистайте 20 последних постов. Если больше половины — голые ссылки без комментариев, это агрегатор. Если есть разборы с командами и скриншотами терминала — авторский блог. Если всё вперемешку без логики — не тратьте время.

А теперь главное — что конкретно читать новичку? Типичная болезнь подборок — сваливать в кучу всё от OSINT до промышленной безопасности АСУ ТП. Без фильтра по уровню входа это бесполезно.

Несколько каналов, проверенных на практике:

• Авторские блоги с write-up'ами по этичному хакингу — те, где показывают не просто «нашли уязвимость», а почему она критична и каков вектор эксплуатации
• Каналы по OSINT — разведка на основе открытых источников, это первый этап любого пентеста (по MITRE ATT&CK — техника Reconnaissance)
• Сообщества с живым чатом — где можно задать вопрос по конкретной лабе и получить ответ от практиков
• Каналы по социальной инженерии — на реальных пентестах нетехническая сторона часто решает больше, чем privilege escalation через LinPEAS

Важный совет: подпишитесь на каналы по threat intelligence уже сейчас, даже если пока не всё понятно. Через полгода те же тексты будут читаться совсем иначе.

Полный список каналов с пояснениями и критериями отбора — в статье на форуме⬇

https://codeby.net/threads/telegram-kanaly-po-kiberbezopasnosti-dlya-novichkov.95927/

Веб-пентест — это умение самостоятельно исследовать приложение и выстраивать цепочки уязвимостей.

🎇Именно этому учит онлайн-курс «Тестирование Веб-Приложений на Проникновение (WAPT)» от Академии Codeby — 4 месяца практики под руководством действующих пентестеров.

Что внутри:
⏺️поиск и эксплуатация уязвимостей из OWASP Top 10: SQLi, XXE, SSTI, SSRF, обход авторизации и другие
⏺️работа с Burp Suite, nmap, ffuf, wfuzz, nuclei, sqlmap, WPScan, nikto
⏺️методологии веб-пентеста и автоматизация рутинных задач
⏺️66 практических заданий разной сложности в собственной лаборатории
⏺️еженедельные вебинары, где вы с кураторами разбираете сложные моменты

Кураторы курса — действующие пентестеры:
⏺️Руслан Русланов — десятки успешных пентестов крупных компаний и банковского сектора
⏺️Александр Медведев (Bearsec) — трехкратный победитель Standoff в составе команды Codeby, топ-20 багбаунти-рейтинга standoff365 и топ-10 Standoff Hacks 2026

🎁Бонус для этого потока: выпускники получат фирменный печатный сертификат Академии Codeby с доставкой.

Доступна поэтапная оплата —
от 5 433 рублей в месяц

Старт потока — 22 октября

➡️Узнать программу и записаться
Бесплатная консультация — @CodebyAcademyBot

💫 Система упала. Найди причину!

Ночная смена. Админ просыпается от того, что всё горит. Перед вами — панель мониторинга. На ней 6 аномалий, они связаны, это одна история.

Ваша задача:
▶️Найти все 6 аномалий
▶️Понять, что произошло
▶️Назвать атаку или причину сбоя

⬇ Пишите свои варианты в комментариях!

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🧿 Как браузер получает страницу

Вы вводите адрес сайта, и через долю секунды видите страницу. За это время клиент и сервер успевают обменяться целой серией сообщений. Именно так это происходит:
▶️ DNS. Браузер узнаёт IP-адрес сервера по имени сайта.
▶️ TCP-рукопожатие. SYN → SYN-ACK → ACK: клиент и сервер договариваются о соединении на порту 80.
▶️ HTTP-запрос. Сразу за ACK уходит GET /index.html.
▶️ Обработка. Свободный воркер сервера читает файл с диска.
▶️ Ответ 200 OK. HTML возвращается клиенту, разбитый на TCP-сегменты.
▶️ Рендер. Браузер разбирает HTML и рисует страницу.
▶️ Keep-alive. Соединение остаётся открытым, и следующий запрос обходится без рукопожатия.
🔎 При задержке 20 мс в одну сторону весь цикл занимает около 112 мс. Для HTTPS добавляется ещё TLS-рукопожатие на порту 443.
🧠 Эти этапы полезно знать при анализе трафика, расследовании инцидентов и разборе логов веб-сервера: каждый из них оставляет свои следы.

#сети #HTTP #TCP #веб #основы

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Что такое SOC?

Центр обеспечения безопасности (SOC) помогает улучшать обнаружение угроз для организаций, а также предоставляет возможности предотвращения угроз за счет объединения и координации всех технологий и процессов в сфере кибербезопасности.

Что делает SOC?

SOC активности и задачи разделяются на 3 основные категории: (Подготовка, планирование и профилактика), (Мониторинг, обнаружение и ответ) и (Восстановление, доработка и обеспечение соответствия требованиям).

Подготовка, планирование и профилактика: Для обеспечения максимального уровня безопасности организации Центр оперативного управления безопасностью (SOC) должен вести полный учет активов, выполнять плановое обслуживание и планировать действия по реагированию на инциденты, а также проводить регулярные проверки, постоянно отслеживая актуальную информацию о новых угрозах и технологиях.

Мониторинг, обнаружение и ответ: SOC обеспечивает непрерывный круглосуточный (24/7/365) мониторинг и управление журналами событий в ИТ-инфраструктуре с использованием технологий SIEM и XDR. Это позволяет отделять реальные угрозы от ложных срабатываний и оперативно - зачастую в автоматическом режиме - реагировать на инциденты, минимизируя ущерб от действий злоумышленников и выявляя первопричины атак.

Восстановление, доработка и обеспечение соответствия требованиям: После инцидента SOC обеспечивает восстановление и устранение последствий, нейтрализуя угрозы и возвращая затронутые активы в исходное состояние; проводит последующий анализ для выявления закономерностей и совершенствования политик безопасности с целью защиты от будущих уязвимостей, а также контролирует соблюдение нормативных требований, касающихся конфиденциальности данных и обязательного уведомления об утечках.

Узнать больше о работе SOC можно здесь: https://codeby.net/threads/analitik-soc-s-chego-nachat-instrumenty-navyki-i-plan-vyzhivaniya-v-pervyye-90-dnei.92864/

#soc #blueteam

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🔎Скрапер не ломает — он просто читает. И в этом главная проблема

В 2023 году Chess.com подтвердила утечку данных миллионов профилей. Ни SQL-инъекций, ни компрометации серверов — атакующий просто отправлял валидные GET-запросы к публичному API, подставляя юзернеймы из словаря. Каждый запрос по отдельности выглядел абсолютно легитимно. SIEM молчал. Алертов — ноль.

И это не уникальный случай. Паттерн один и тот же: предсказуемые идентификаторы, одинаковый throttling на всех эндпоинтах и полное отсутствие детектирования до момента, когда дамп уже в продаже.

❓Зачем скраперу ваши профили?

Не стоит недооценивать «просто чтение». Собранные email, username, дата регистрации и привязанные соцсети — это топливо для:

⏺️Credential stuffing — если email активен на вашей платформе, атакующий прицельно бьёт по нему паролями из других утечек
⏺️Таргетированного фишинга — «Поздравляем с рейтингом 1800, подтвердите аккаунт» работает в разы лучше массовой рассылки
⏺️Перепродажи на теневых площадках — базы с tier-статусами подписчиков имеют прямую коммерческую ценность

По OWASP API Security Top 10 это сразу два риска: Unrestricted Resource Consumption и Unrestricted Access to Sensitive Business Flows.

🎯Как распознать скрапера в логах?

Вот реальная картина из практики. Эндпоинт /api/v2/users/{id} за выходные обработал в 40 раз больше запросов, чем обычно. RPS с одного /24-подсета — стабильные 12 запросов в секунду, ровно на 2 ниже порога rate-limiter'а. Кто-то аккуратно подобрал скорость.

Что выдаёт бота:

• Интервал между запросами 83±2 мс — такая периодичность невозможна для человека
• Один и тот же User-Agent без единой вариации за 48 часов
• Последовательный перебор ID: /api/user/1001, /api/user/1002, /api/user/1003
• Нет навигационного контекста — бот бьёт только в один эндпоинт, как дятел
• IP из хостинг-подсетей (DigitalOcean, Hetzner, OVH)
• Доля 404-ответов выше 30% — перебор несуществующих ID

📌Ключевой принцип для SOC: алерт должен срабатывать на паттерн, а не на единичный запрос. По данным Cequence, GET-запросы — это до 99% всех транзакций типичного домена. Инструменты, заточенные под анализ POST, этот вектор просто не видят.

Для РФ контекст ещё жёстче: с 2024 года штрафы за утечку персональных данных стали оборотными. Если регулятор установит, что API работал без базового rate limiting — аргумент «мы не знали» не спасёт.

В полной статье — конкретные SIEM-правила, архитектура защиты и пошаговый план реагирования⬇

https://codeby.net/threads/kak-zashchitit-sya-ot-skrapinga-dannykh-gaid-soc.95935/

Из тысяч алертов за смену реальную угрозу несут единицы.
Аналитик SOC находит их, восстанавливает картину атаки и реагирует раньше, чем инцидент обернётся ущербом.

Курс «Профессия Аналитик SOC» от Академии Codeby — это 7,5 месяцев практики: от первой линии мониторинга до расследования сложных атак на уровне L2. Курс стартует 19 октября.

Что изучаем:
⏺️SIEM и IRP/SOAR: поиск, фильтрация и обработка алертов
⏺️логи Windows, Linux, Active Directory и FreeIPA
⏺️анализ сетевого трафика, фишинга и атак на веб-сервисы
⏺️разработку правил детектирования и анализ ВПО
⏺️MITRE ATT&CK, Threat Intelligence и Threat Hunting

Формат: видеоуроки, лаборатория с постоянным доступом, экзамены на реальных сценариях атак.

Если вы уже знакомы с работой первой линии SOC, начать обучение можно с уровня L2 — на курсе «Аналитик SOC L2». Длительность — 4 месяца. Вы научитесь реагировать на APT и Ransomware, выявлять атаки Living off the Land, анализировать ВПО и дорабатывать правила детектирования, чтобы отсекать ложные алерты.

Формат: видеоуроки, лаборатория с постоянным доступом, экзамен на реальных сценариях атак.

Старт курса «Аналитик SOC L2» — 9 ноября

➡️Посмотреть программу и записаться
🪧По вопросам — @CodebyAcademyBot

Один документ, который отделяет red team от уголовного дела

Оператор на проекте для финтеха нашёл, что тестируемое приложение обращается к API платёжного шлюза. Перешёл по эндпоинту, начал фаззить параметры — и уронил sandbox-среду провайдера на два часа. В Rules of Engagement не было ни строчки про третьи стороны. Итог — претензия от платёжной системы и урок, который стоил дороже контракта.

ROE — не формальность для подшивки к договору. Это граница между авторизованной операцией и реальными проблемами с законом. И путать его с двумя другими документами — ошибка, которую допускают постоянно.

➡️Договор — юридическая рамка: стороны, стоимость, сроки, штрафы. Никаких технических деталей.
➡️Scope of Work — что тестируем: IP-диапазоны, домены, приложения, физические объекты.
➡️ROE — как тестируем: какие тактики разрешены, какие запрещены, кому звонить в три часа ночи, если сработала физическая охрана.

SoW отвечает на вопрос «что входит в проект», ROE — «что оператор имеет право делать, стоя перед терминалом прямо сейчас». Без ROE каждое решение принимается на лету, и каждое такое решение — юридический риск.

🎇Главная ловушка в scope — не то, что перечислено, а то, что забыли перечислить. Грамотный ROE делит активы на четыре категории:

• В scope — IP-диапазоны, домены, офисы, конкретные сотрудники для социальной инженерии
• Вне scope — системы, которые нельзя трогать ни при каких условиях (production-базы, медоборудование, АСУ ТП)
• Серая зона — всё, что не классифицировано явно: зафиксировать, прекратить взаимодействие, запросить авторизацию
• Третьи стороны — облачные провайдеры, SaaS, партнёрские API

Последний пункт — тот самый, который привёл к инциденту из начала поста. Доступ к приложению заказчика не означает автоматического права тестировать его хостинг-провайдера или shared-инфраструктуру.

Ещё один момент, который часто упускают: формулировка цели операции. «Оценить защищённость» — бесполезная фраза, не ограничивающая оператора ничем. Рабочая цель выглядит так: «Определить, может ли внешний атакующий без инсайдерского доступа получить доступ к базе клиентов PCI DSS scope за 10 рабочих дней». Здесь задан тип операции, time-boxing и критерий успеха — спорить не о чем.

То же касается запретов. «Соблюдать осторожность» — формулировка, которая заставляет разных людей принимать разные решения под давлением. Полезный запрет называет конкретное действие и его границу.

📌В полной статье — готовая структура ROE с примерами формулировок, разбор разрешённых и запрещённых TTP, маппинг на MITRE ATT&CK и рекомендации NIST.

https://codeby.net/threads/rules-of-engagement-dlya-red-team-scope-i-riski.95949/

Переговорщик по рансомвеару арестован ФБР: где заканчивается белый хакинг?

Представьте: вы вызвали слесаря вскрыть замок в своей квартире. Он справился, но тайком снял копию ключа. Формально помог, фактически — получил доступ к вашему дому навсегда. Именно так выглядит обвинение против Эдварда Дубровского — канадского эксперта с 30-летним стажем в кибербезопасности, арестованного ФБР в октябре 2026 года.

Человек руководил реагированием на инциденты, преподавал в университете, написал книгу, вёл переговоры с хакерскими группировками от имени жертв. А потом — два обвинения: сговор с целью вымогательства и вмешательство в межштатную коммерцию по Hobbs Act.

Контекст шире, чем кажется. Переговорщик по рансомвеару — человек, который знает всё: какие данные украдены, сколько жертва готова заплатить, где её слабые места. И никакого формального контроля над тем, как он этой информацией распоряжается. Нет стандартизированных протоколов, нет обязательной сертификации, нет единых этических требований. Регуляторный вакуум в чистом виде.

Параллельно с делом Дубровского всплыла группировка ShinyHunters, которая, по данным следствия, скомпрометировала более 140 организаций и получила свыше 70 миллионов долларов вымогательных платежей. Точка входа? Подрядчик, который не установил доступный патч. Один пропущенный апдейт — и в открытом доступе адреса сотрудников ФБР, их телефоны, медицинские данные, сведения о разведывательных заданиях.

🔑Но главный урок тут не про патчи. Он про границы.

Закон не спрашивает о намерениях. В США CFAA определяет любой несанкционированный доступ как преступление — неважно, нашли ли вы уязвимость «во благо». В России картина не мягче:

• Ст. 272 УК РФ — неправомерный доступ, до 7 лет
• Ст. 273 УК РФ — вредоносные программы, до 7 лет
• Ст. 163 УК РФ — вымогательство: нашли уязвимость и требуете деньги за молчание

При этом в России до сих пор нет чёткого определения белого хакинга как легальной деятельности. По опросам, только 39% специалистов оценивают свою правовую защищённость как высокую. Четверо из десяти. Остальные шестеро — надеются, что пронесёт.

👉Что из этого следует для практиков? Без письменного scope-документа и rules of engagement — не трогай систему. Нашёл уязвимость случайно — сообщи через bug bounty или responsible disclosure. Никогда не храни и не используй чужие данные за пределами согласованного периметра.

Дело Дубровского — напоминание, что грань между защитником и преступником тоньше, чем кажется. Подробный разбор с чек-листом для пентестеров — в полной статье.

https://codeby.net/threads/granitsy-belogo-khakinga-arest-eksperta-fbr.95976/

🚩 Новые задания на платформе HackerLab!

👩‍💻  Категория Pentest Machines (Linux) — F_IndiaHotel

Приятного хакинга!

90 секунд до account takeover: почему password reset — самое слабое звено вашей инфраструктуры

Два часа разведки, fingerprinting стека, изучение периметра — а захват аккаунта администратора занял полторы минуты. Один POST-запрос к эндпоинту сброса пароля, и сервер молча принял новый пароль без email-подтверждения. Без токена. Без верификации текущего пароля. Просто взял и сбросил.

Это не теоретическая атака. Два свежих CVE показывают, как именно это работает на практике.

🎇CVE-2026-23760 (SmarterMail) — CVSS 9.8, CRITICAL

Эндпоинт /api/v1/auth/force-reset-password принимал анонимные запросы. Отправляешь POST с именем пользователя и новым паролем — готово, аккаунт твой. Никакой аутентификации, никакого reset-токена. Уязвимы все версии до билда 9511.

Насколько это серьёзно? CISA добавила уязвимость в каталог Known Exploited Vulnerabilities и пометила связь с ransomware-кампаниями. EPSS — 0.9654, то есть Top 0.12% по вероятности эксплуатации среди всех CVE в базе. Публичный PoC на GitHub, готовый Nuclei-шаблон — порог входа для атакующего практически нулевой.

🎇CVE-2026-18963 (Keycloak) — CVSS 9.1, CRITICAL

Тут другой паттерн, но результат тот же. Некорректная проверка состояния в потоке reset-credentials: атакующий отправлял специально сформированный запрос, и сессия перескакивала сразу к этапу обновления пароля, минуя email-верификацию. Уязвимы Keycloak до 26.7.2, RHBK 26.4 до 26.4.15, RHBK 26.6 до 26.6.6.

Пока активной эксплуатации не зафиксировано, но CISA оценивает автоматизируемость как yes, а технический импакт — total. Три публичных PoC на GitHub. Вопрос не «если», а «когда».

Что делать прямо сейчас:

• SmarterMail — обновиться до билда 9511+. Если патч невозможен — WAF-правило на блокировку POST к /api/v1/auth/force-reset-password и IP-whitelist для админки
• Keycloak — обновиться до 26.7.2. Временная мера: отключить Forgot Password в каждом realm через Realm Settings → Login. Глобального переключателя нет, придётся пройтись по каждому
• На пентесте — проверяйте эндпоинты сброса пароля в Burp Repeater: отправьте запрос на reset, перехватите, попробуйте перескочить к финальному шагу без токена

Общий паттерн у обеих CVE один: разработчики тестировали happy path — пользователь запросил сброс, получил email, перешёл по ссылке, ввёл новый пароль. А что если кто-то отправит запрос напрямую к API, минуя все промежуточные шаги? Этот сценарий просто не проверяли.

В полной версии — пошаговый чек-лист для Burp Suite, три паттерна эксплуатации и детальный разбор обеих CVE.

https://codeby.net/threads/uyazvimost-password-reset-razbor-cve-i-pentest.96019/

❗️ Новости недели (12 – 18 октября)
Разбираем события недели: от последствий атак на дата-центры до шпионских имплантов в криптокошельках.

1️⃣«Яндекс» восстанавливается после ударов по трём ЦОДам
Последствия атак на дата-центры «Яндекс» в Рязанской, Калужской и Владимирской областях оказались масштабнее, чем казалось на прошлой неделе. Сбои затронули не только российских пользователей, но и клиентов в других странах.
▶️Сильнее всего пострадал «Яндекс Пэй». Руководитель финтех-направления компании Дмитрий Пирогов обратился к пользователям с объяснением:

«Инфраструктура изначально создавалась так, чтобы данные об операциях реплицировались одновременно в нескольких дата-центрах. После недавних атак БПЛА на дата-центры «Яндекса» инженерам пришлось полностью перестраивать инфраструктуру, чтобы сохранить этот ключевой принцип и вернуть доступ к привычным функциям»

В компании заверили, что деньги пользователей не пострадали:

«Сами деньги не хранятся в дата-центре. Там находятся серверы, которые обеспечивают работу сервисов. Записи о каждом счете хранятся в нескольких копиях на разных площадках. Мы проверили их целостность: ни одна запись не потеряна»

В качестве компенсации «Яндекс» временно повысил ставку по «Яндекс Сейв» до 20% годовых и пообещал не учитывать просрочки, возникшие из-за технических проблем. «Яндекс Банк» также сообщил, что не будет начислять проценты за просрочку кредитных платежей.

2️⃣Хакеры устроили разморозку в сотнях супермаркетов Франции
Масштабная кибератака затронула холодильное оборудование сотен французских супермаркетов. Злоумышленники получили доступ к промышленным контроллерам Danfoss и дистанционно активировали режим разморозки.

Повышение температуры привело к порче продуктов и прямым финансовым потерям торговых сетей. Это не кража данных и не шифрование файлов, а атака на физические процессы.

Холодильники вышли из строя не из-за взлома IT-инфраструктуры, а через уязвимость в системах управления, которые обычно остаются без должного внимания.

3️⃣DeepSeek лежала почти 5 часов
Китайская нейросеть DeepSeek пережила масштабный сбой 15 октября. Веб-версия, мобильное приложение и API были недоступны с 8:11 до 13:04 по местному времени (4 часа 53 минуты).

Причиной назвали «单点依赖» (dān diǎn yī lài) - единую точку отказа. Компания заявила, что уже провела «всестороннюю проверку и полную реорганизацию», чтобы «решительно искоренить подобные проблемы»

В качестве компенсации DeepSeek вернула всем пользователям API стоимость потребления за 7 дней (с 8 по 14 октября) в виде бонусных средств. По данным китайских СМИ, это уже 5 сбой платформы за октябрь.

4️⃣В криптокошельках нашли шпионские импланты
Производитель аппаратных криптокошельков Ledger приостановил продажи через авторизованных посредников в Юго-Восточной Азии и Гонконге. Причиной служит обнаружение модифицированных устройств.

Внутри кошельков нашли скрытые электронные компоненты: дополнительную плату под экраном и LTE-модуль с eSIM. Имплант перехватывал изображение с дисплея в момент настройки и отправлял злоумышленникам секретную фразу восстановления из 24 слов. С ней можно полностью опустошить кошелёк

По данным аналитиков, общий ущерб оценивается в более 100 миллионов долларов. Ledger подтвердила как минимум один случай обнаружения импланта и начала расследование каналов поставок.

Источник: https://securitymedia.org/news/obzor-kiberatak-i-uyazvimostey-za-proshedshuyu-nedelyu-12-16-oktyabrya-2026-goda.html

#кибербезопасность #ИБ #кибератаки #Яндекс #Ledger #Франция #криптовалюта #news

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

✏ Adobe Experience Manager — цепочка из четырёх уязвимостей вела к RCE без аутентификации

Исследователи SL Cyber (Assetnote Security Research Team) обнаружили в облачной версии Adobe Experience Manager (AEM) цепочку из четырёх уязвимостей, которая позволяла неаутентифицированному атакующему добиться удалённого выполнения кода (RCE). Проблема касалась только cloud-версии AEM, уязвимости уже устранены.

🎇 Из чего состояла цепочка
По данным исследования, в связке были задействованы:
⏺️ неаутентифицированный массовый импорт в DAM (Digital Asset Management) — позволял анониму создавать ресурсы от имени сервисного аккаунта;
⏺️ хранимая (stored) XSS;
⏺️ небезопасный разбор XML;
⏺️ выполнение Groovy-кода через эндпоинт /bin/asynccommand — финальный шаг, дающий RCE.

🕵‍♂️ Логика атаки
Подробного пошагового PoC в публичном пересказе нет, но общая схема такова: атакующий без учётных данных создаёт нужные ресурсы через уязвимый импорт в DAM, с помощью XSS и небезопасного разбора XML добивается выполнения своего кода на стороне сервера, а через /bin/asynccommand запускает произвольный Groovy-скрипт — то есть получает полноценное выполнение кода на сервере AEM.

👌 Что известно про исправление
Уязвимости исправлены Adobe для облачной версии AEM. Точные номера CVE, оценки CVSS и список конкретных затронутых и исправленных версий в открытом пересказе исследования не раскрываются — подробности SL Cyber приводит в собственном техническом отчёте.

❗️ Почему это важно
AEM — сервис управления контентом, которым пользуются тысячи корпоративных сайтов, так что уязвимость такого класса — неаутентифицированный RCE — закрывает путь к компрометации сайта целиком: от подмены контента до выполнения кода на сервере. То, что для достижения RCE потребовалась связка сразу из четырёх разноплановых недочётов — от импорта данных до XSS и разбора XML, — типичный пример того, как низкокритичные по отдельности баги складываются в критическую цепочку.

#Adobe #AEM #RCE #XSS #XXE #Cybersecurity #InfoSec #Vulnerability #0day

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Источник: The Hacker News (https://thehackernews.com/2026/10/threatsday-adobe-rce-dns-wallet-theft.html)