Краш-календарь за октябрь и немножко за ноябрь 2026.

Мы планировали небольшой пост об уязвимостях и взломах последнего месяца, но вместо этого получился мини-сериал из четырёх серий.
Мы собрали 23 кейса, и это лишь самые громкие.

В комментариях принимаем версии: каково подтверждённое участие ИИ в этой лавине взломов и неприятных находок?

Первая серия: Пробуждение нулевого дня

1.10, уязвимость в FortiMail
Суть: запись любых файлов на почтовый шлюз без входа.
Состояние: атаковали до патча.
Уязвимость закрыта.
Номер уязвимости: CVE-2026-104286. Опасность по CVSS: 9,8 (критическая).

1–5.10, MITM в Tor
Суть: 333 взломанных выходных узла перехватывали SSH-трафик пользователей.
Состояние: узлы отключены.
3.10, уязвимость в Ivanti Connect Secure
Суть: VPN пускал без пароля даже со всеми обновлениями.
Состояние: атаковали до патча.
Уязвимость закрыта 13.10.
Номер уязвимости: CVE-2026-104935. Опасность по CVSS: 8,6.

5.10, злоупотребление доступом к реестру в Дании
Суть: персональные номера 8,8 млн человек утекли через чужой законный доступ.

13.10, уязвимость в Paint для Windows 11
Суть: удалённый запуск кода.
Состояние: исправление приходит через Microsoft Store, у многих Paint ещё не обновился.
Уязвимость закрыта в Paint 11.2609.401.0.
Номер уязвимости: CVE-2026-83844. Опасность по CVSS: 8,1.

14.10, уязвимости Microsoft, закрыты через пакет обновлений
Суть: закрыто более 1400 уязвимостей в одном обновлении.

15.10, утечка ключей Zeabur
Суть: админ-ключ без срока действия открыл кластер.
Состояние: платформа закрывается.

- - -
Если вам незнакомы странные буквы CVE и CVSS — то вот в этой статье мы рассказали, что это означает и зачем оно нужно. Не все взломы происходят через уязвимости и не через все уязвимости хакеры что-нибудь ломают.

Продолжим около 14:00 по МСК.


#сломалось #кибербезопасность

Telegram | YouTube | AI Клуб | VK | X

Продолжаем воскресный сериал «Краш-календарь за октябрь и немножко за ноябрь». Первая серия — где-то чуть выше в вашей ленте.

Мы всё ещё принимаем версии: каково подтверждённое участие ИИ в этой лавине взломов и неприятных находок?

Вторая серия: Чёрная среда

17.10, ошибка генерации ключей eMudhra
Суть: приватные ключи восьми сертификатов оказались предсказуемыми числами (4, 56, 66, 115, 155, 156, 230, 237), это прямой путь к MITM.
Состояние: сертификаты отозваны, eMudhra ушла с рынка.

17.10, взлом OpenCode
Суть: через устаревшую систему утекли ключи 1,4% пользователей OpenCode Console.

21.10, уязвимость в PHP (PHP2Shell)
Суть: команды на чужом сервере без пароля, во всех версиях PHP.
Состояние: сообщалось об атаках ещё до патча.
Уязвимости закрыты.
Номера уязвимостей: CVE-2026-109618, CVE-2026-109619. Опасность по CVSS: 9,2 (критическая).

21.10, уязвимость в GitLab
Суть: запуск кода без входа, дыре 12 лет.
Уязвимость закрыта.
Номер уязвимости: CVE-2026-110264. Опасность по CVSS: 10 (критическая).

21.10, взлом через цепочку поставок ConnectWise
Суть: хакеры через ConnectWise пытались атаковать 2250 клиентов Microsoft 365.

21.10, взлом Railway
Суть: взломщик расшифровал секреты до 100 тысяч рабочих пространств, охотился за API-ключами.
Состояние: Railway просит всех сменить секреты.

21.10, взлом через цепочку поставок LiteLLM
Суть: заражённая версия 1.107.0 в PyPI крала учётные данные.

29.10, взлом Binance
Суть: 6,34 млрд долларов, вход через фейковое собеседование сотрудника (социальная инженерия).
Состояние: украдено 6,34 млрд долларов, из них 2,85 млрд заморожено.

Продолжение — через пару часов.

#сломалось #кибербезопасность
Telegram | YouTube | AI Клуб | VK | X

Воскресный сериал «Краш-календарь за октябрь и немножко за ноябрь», часть третья. С открытым финалом, как теперь модно.
Ждём в комменты ваши версии:: каково подтверждённое участие ИИ в этой лавине взломов и неприятных находок? В сериале — 23 кейса за период с 1 октября по 7 ноября.

Третья серия: Двести пятьдесят шесть символов

1.11, взлом Росстата РФ
Суть: хакеры подменили страницы сайта.
Состояние: хакеры заявляют о краже 23 ТБ данных.

2.11, уязвимость в приложении МЧС РФ
Суть: через дыру разослали ложное оповещение в 33 региона.

2.11, взлом Beget
Суть: хакеры получили доступ к управляющему контуру и стёрли облако хостинга.
Состояние: диски VPS и S3 потеряны.

3.11, уязвимость в WordPress
Суть: во время обновления ядра можно без входа запустить свой код через временную папку.
Состояние: уже атакуют.
Уязвимость закрыта в версии 7.1.4.
Номер уязвимости: CVE-2026-119977. Опасность по CVSS: 8,1.

4.11, уязвимости в приложениях Tata Motors
Суть: ключи API лежали прямо в приложении, слабый pinning открывал MITM.
Уязвимости закрыты обновлениями.
Номера уязвимостей: CVE-2026-121144, CVE-2026-121145, CVE-2026-121146, CVE-2026-121147. Опасность по CVSS: до 8,8.

4.11, уязвимость в iOS, macOS и Safari
Суть: через старую дыру в iOS, macOS и Safari крадут cookies пользователя.
Состояние: атакуют устройства, на которые не установлено обновление безопасности, выпущенное в мае 2024 года.
Уязвимость закрыта ещё в 2024 году.
Номер уязвимости: CVE-2024-27834. Опасность по CVSS: 5,5.

5.11, уязвимость в OpenSSH (SSHole)
Суть: вход по SSH без пароля на системах с musl, дыре 10 лет.
Состояние: атаки начались через девять часов после публикации данных об уязвимости.
Уязвимость закрыта в OpenSSH 10.6p2.
Номер уязвимости: CVE-2026-123158. Опасность по CVSS: 8,1.

5.11, уязвимости в Firefox
Суть: найдена 81 ранее неизвестная уязвимость высокой степени опасности.

Через пару часов — финальные титры сериала сводка: какую роль во всём этом безобразии играл ИИ.

#сломалось #кибербезопасность

Telegram | YouTube | AI Клуб | VK | X

Кстати, тут наша статья на Хабре о том, что Линус Торвальдс думает об этом вашем ИИ и его противниках набрала 106к+ просмотров

Прочитайте что ли и вы тоже 🦊

https://habr.com/ru/companies/hexlet/articles/1103584/

Telegram | YouTube | AI Клуб | VK | X

Воскресный сериал «Краш-календарь за октябрь и немножко за ноябрь», часть последняя.

Восстание машин временно отменяется
Смотрим, какова роль ИИ в этой лавине уязвимостей и взломов.
Возможно, кто-то не признался, а кто-то честно не знал о роли ИИ в произошедшем, но вот данные, подтверждённые к настоящему моменту.

Участие ИИ подтверждено в шести кейсах из двадцати трёх. Это не значит, что их всего шесть. Однако списать всё на ИИ пока что не получается.

17.10, взлом OpenCode: атаку вели ИИ-агенты, не меньше 48 часов.

21.10, уязвимость в PHP (PHP2Shell): исследователи Wiz нашли её с помощью моделей Gemini и GPT.

21.10, взлом ConnectWise: хакеры атаковали ИИ-агентами ARTEX, которые вели разведку и искали слабые места.

21.10, взлом Railway: по предварительным данным, у взломщика были ИИ-модели со снятыми ограничениями и большие вычислительные мощности.

29.10, взлом Binance: хакеры через внутренний ИИ-инструмент компании добрались до развёртывания её сервисов.

5.11, уязвимости в Firefox: 81 дыру нашла модель GPT-6 Cyber от OpenAI.
Итого: ИИ четыре раза помог хакерам и два раза — тем, кто ищет уязвимости.

В остальных кейсах участие ИИ не подтверждено.

#сломалось #кибербезопасность

Telegram | YouTube | AI Клуб | VK | X

В OpenSSH 10.6p2 нашли и закрыли удивительную уязвимость SSHole (CVE-2026-123158). Эта уязвимость позволяет любому желающему подключиться по SSH под логином пользователя, у которого заблокирован пароль.

Зовём Валентиа Исипчука, нашего наставника курса «Вайб-кодинг на Claude Code»: Валентин, рассказывай, что там и почему!

— Уязвимость касается систем, где стоит библиотека musl и нет подсистемы PAM. Для входа нужно знать адрес сервера, где SSH принимает вход по паролю, и логин пользователя с заблокированным паролем. Нужно ввести любой пароль длиной от 257 до 1024 байт, например 300 букв «A». Дополнительное условие для успешной атаки: в системе должен быть хотя бы один пользователь с обычным паролем.

Во многих готовых образах, например в официальных образах Alpine, по умолчанию заблокирован пароль для root , поэтому атакующий (не зная ни одного пароля) может получить права администратора системы и полный контроль над ней — если sshd разрешает root входить по паролю.

Механика почти анекдотическая. У пользователя с заблокированным паролем в /etc/shadow вместо хеша пароля стоит звёздочка. Иногда пароль блокируют знаком «!», и тогда атака не сработает.

При аутентификации пользователя OpenSSH хеширует введённый пароль с помощью musl и сравнивает результат с полем из shadow.
И вот «тот самый момент»: для паролей длиннее 256 байт библиотека musl вместо хеша возвращает звёздочку, чтобы длинные строки не загружали процессор. Звёздочка из musl совпала со звёздочкой из shadow, и sshd пустил атакующего внутрь. Добро пожаловать.

Уязвимость не затрагивает системы на glibc и с PAM. Под удар попали Alpine, OpenWRT, Buildroot и Yocto. У официальных облачных образов Alpine для AWS и Azure у root в shadow стоит та самая звёздочка.

Быстро закрыть дыру можно одной строкой: в /etc/ssh/sshd_config надо прописать PasswordAuthentication no и перезапустить sshd.
Вход по паролю после этого отключится, а по SSH-ключам сохранится.

После этого нужно обновить OpenSSH до 10.6p2: Alpine и OpenWRT уже выпустили исправленные пакеты.

А кто скажет «на Rust такого бы не было» — пусть сам объясняет, какой borrow checker запретит сравнить две звёздочки.

#сломалось #кибербезопасность #linux
Telegram | YouTube | AI Клуб | VK | X

Бан-шоу продолжается. Теперь за пользователей взялась компания OpenAI: на блокировки аккаунтов ChatGPT жалуются пользователи по всему миру. Бэкап аккаунта не будет лишним.

Под блокировку попали не только бесплатные профили, но и владельцы дорогих профессиональных тарифов Pro за $200 в месяц и командных аккаунтов Team. 

Автоматические модераторы блокируют учетные записи без предупреждения и без возможности оспорить решение.

= С чего всё началось

История с блокировками в ChatGPT — это часть большой истории. Сперва жёсткую модерацию ввела Anthropic: за полгода заблокировано больше 11 миллионов аккаунтов — это почти в 8 раз больше, чем за предыдущее полугодие. 

Однако Anthropic поступает более-менее гуманно: если профиль попадает под подозрение, пользователю оставляют возможность выгрузить свои чаты и наработки.

= Как действует OpenAI

OpenAI поступает жёстче: аккаунты блокируются полностью и без предупреждения. Пользователи Reddit и X описывают один и тот же сценарий: вечером аккаунт ещё работает, а утром — account_deactivated.

Главное отличие от Anthropic — OpenAI полностью перекрывает доступ к профилю. История проектов, кастомные GPTs и память модели становятся недоступны. 

По свидетельству пользователей, подавать апелляции бесполезно: робот техподдержки присылает автоматический отказ в течение пары минут, живые операторы эти заявки не рассматривают. Пострадавшие пишут, что средства за оплаченную подписку не возвращаются.

= Как антифрод-система вычисляет нарушителей

Официальная причина блокировок — борьба с дистилляцией (это когда сторонние разработчики массово собирают ответы моделей o1 или o3, чтобы обучать на них собственные нейросети). Но под каток попадают и обычные пользователи.

Система отслеживает несколько ключевых маркеров:

— Цифровой отпечаток устройства (Fingerprinting). Анализируется браузер, WebGL, шрифты и конфигурация железа. Если под одним профилем поочередно авторизуются с разных платформ (например, macOS, Windows и мобильная ОС), система расценивает это как совместное использование аккаунта.

— «Невозможные путешествия» (Impossible Travel). Типичная проблема при использовании VPN: если несколько минут назад запросы шли с нидерландского IP, а затем подключение произошло через Франкфурт, алгоритм фиксирует аномалию.

— Связанные сети. Если виртуальная карта, которой оплачивалась подписка, ранее использовалась для массовых регистраций, или один API-ключ одновременно активен на разных узлах, блокировка накладывается веером на всю цепочку.

= А что в РФ?

Для пользователей из РФ актуальны все эти факторы. Регион официально не поддерживается, поэтому в ход идут постоянно меняющиеся IP-адреса VPN, виртуальные карты и прокси-посредники.
Для антифрод-системы такой набор признаков может выглядеть подозрительно, даже если человек использует сервис исключительно для работы и по правилам.

= Как минимизировать риски

— Не хранить критически важные данные в облаке ИИ.
Все ключевые промпты, базы знаний и фрагменты кода дублируйте и храните локально. Стоит взять за правило раз в неделю делать полный экспорт данных (Export Data).

— Один аккаунт — одно устройство.
Не покупайте доступы «в складчину», не делитесь ни с кем своим рабочим профилем.

— Стабильный IP-адрес.
При работе через VPN используйте (по возможности) собственный VPS или выделенный IP одной локации, чтобы не делить сервер с тысячами других пользователей.

— Дублируйте инструменты.
Настройте альтернативное рабочее пространство: Claude, Gemini или локальную open-source модель вроде Llama. Блокировки могут прилететь на любую платформу, поэтому заранее подготовьте дублирующее решение.

...но вы держитесь!™

#разбор #LLM #сломалось

Telegram | YouTube | AI Клуб | VK | X

Очередной взлом: думали, само сломалось, а оно не само.

Вредоносы поломали российского хостинг-провайдера ESTT (e-Style Telecom), владельца дата-центра Tier III в Москве.

Полегли «Вкусно — и точка», «Много лосося», Cofix, «Суши мастер», система iiko и РЭУ им. Плеханова. Про более мелкие проекты не пишут, но их должно быть много.

Что произошло: 8 ноября из-за атаки упали сайты и приложения клиентов. Облачная инфраструктура (VPS/VDS) легла.

Причина: Зловредный вирус-шифровальщик поразил серверные платформы виртуализации, разом положив тысячи клиентских систем.

Статус: Сайты провайдера лежат, поддержка идет через Telegram. По отчётам хостера, инженеры уже восстановили около 90% виртуальных серверов.

Они там все как сговорились, честное слово.
Ещё раз процитируем Джейсона Клинтона, безопасника из Anthropic:

[22 октября 2026]
Как ни плохо всё стало за последние четыре дня, дальше будет гораздо хуже, и только потом начнёт налаживаться. Руководители служб безопасности, используйте этот кризис: идите к своим советам директоров и просите помощи прямо сейчас. Не для ИИ, для основ.
Нам нужно продержаться примерно 18 месяцев.

#разбор #сломалось

Telegram | YouTube | AI Клуб | VK | X

Уже через несколько часов мы начинаем воркшоп: в 19:00 в прямом эфире пишем собственный MCP-сервер для работы с базой данных.

Настроим фильтры и ограничения, дадим агенту выборочный доступ к базе и не позволим ему ломать и компрометировать проект.

Напишем, проверим на реальной задаче. 

Сегодняшний вечер — неплохое время, чтобы попрактиковаться и поглубже разобраться в настройках MCP.
Шаблон сервера останется у вас и пригодится в дальнейшей работе.

Воркшоп проведёт Данила Гурачевский — фулстек-разработчик из Сбера, AI-интегратор, наставник курса «ИИ для разработчиков 2.0» в Хекслете.

Если вашим коллегам или друзьям интересна эта тема — зовите их. Места хватит на всех.

А если не успеваете поучаствовать — всё равно записывайтесь: мы отправим вам ссылку на видеозапись.

Когда: сегодня, 10 ноября в 19:00
Продолжительность: 1,5 часа
Сколько стоит: бесплатно
Где: запись здесь

#опытным #ИИ_агенты #бэкенд

Telegram | YouTube | AI Клуб | VK | X