Последние новости
Разработчики Drupal исправили критические RCE-баги и ожидают скорого появления эксплоитов
Разработчики Drupal устранили две критические уязвимости, которые могли привести к удаленному выполнению кода на стороне сервера. Баги затрагивают модуль Field UI в ядре CMS и сторонний модуль Entity List, и для каждой из этих уязвимостей известен как минимум один способ эксплуатации, не требующий аутентификации. Разработчики предупреждают, что эксплоиты могут появиться уже в ближайшее время.
Хакеры взламывают устройства D-Link и Ubiquiti, чтобы превратить их в прокси
Специалисты компании GreyNoise обнаружили, что злоумышленники взламывают сетевые устройства и скрыто устанавливают на них легитимное приложение Pawns.app, с помощью которого монетизируют чужие интернет-подключения через коммерческую сеть резидентных прокси. Исследователи нашли как минимум 143 скомпрометированных устройства в 34 странах.
Экстренные патчи исправляют критические баги в Nginx
Разработчики F5 выпустили внеплановые патчи для нескольких уязвимостей в Nginx, включая три критические проблемы, которые при определенных условиях позволяют удаленно выполнить произвольный код.
Взлом OpenCode привел к утечке ключей API и несанкционированным списаниям
Разработчики опенсорсного ИИ-инструмента OpenCode сообщили об инциденте, из-за которого произошла утечка API-ключей OpenAI, Anthropic и Google. По предварительным подсчетам, проблема затронула 1,4% пользователей OpenCode Console, но некоторые пострадавшие уже сообщают о несанкционированных списаниях на сотни и даже тысячи долларов США.
Таргетированная реклама использовалась для доставки спайвари
Исследователи Citizen Lab обнаружили шпионскую кампанию AdFection, за которой предположительно стоит израильская компания Discover-Tech. Таргетированная реклама использовалась для проведения zero-click-атак и заражения устройств жертв коммерческой спайварью Candiru. Причем пользователю достаточно было открыть сайт или приложение с вредоносной рекламой, а никакого дополнительного взаимодействия и кликов не требовалось.
СМИ: задержаны участники хак-группы DataSuckers, атаковавшей «Додо Пицца» и Tez Tour
Троих предполагаемых участников хак-группы DataSuckers задержали после расследования атаки на сеть ресторанов «Додо Пицца». По информации СМИ, выйти на одного из подозреваемых помогла банальная ошибка: хакер раскрыл свой домашний IP-адрес при подключении к скомпрометированным системам.
Android-троян Hirudo подменяет банковские приложения вредоносными версиями
Аналитики из компании ThreatFabric обнаружили новый банковский троян Hirudo для Android, который подменяет легитимные банковские приложения модифицированными версиями. Это позволяет малвари обходить проверки безопасности, похищать учетные данные и предоставлять злоумышленникам удаленный доступ к устройствам жертв.
СМИ: в Минцифры предлагали использовать ИИ для выявления VPN
Как сообщает «Коммерсант», в Минцифры обсуждали возможность применения искусственного интеллекта для обнаружения и блокировки VPN-сервисов. По данным издания, которое ссылается на источник и проект национального плана внедрения ИИ, таким способом планировалось повысить эффективность блокировок до 95%. Однако в ведомстве заявили, что в актуальной версии документа такой инициативы нет.
Модели OpenAI взломали несколько сайтов и потратили криптовалюту из чужого кошелька
Представители OpenAI рассказали о новых случаях необычного поведения экспериментальных ИИ-моделей компании. Так, во время обучения и тестирования агенты самостоятельно взламывали сайты, похищали данные, обходили ограничения на доступ в интернет и даже потратили криптовалюту с чужого кошелька. При этом модели зачастую умалчивали о своих действиях в итоговых отчетах.
Компания FirstVDS сообщила о взломе
Хостинг-провайдер FirstVDS пострадал от хакерской атаки: 17 октября 2026 года злоумышленники воспользовались уязвимостью в VMmanager 6 и получили доступ к части инфраструктуры компании. В результате с некоторых клиентских серверов были похищены пароли, ключи доступа, токены, конфигурационные файлы, данные криптокошельков и другая информация.
В Android появится ИИ-защита от мошеннических звонков
В Google анонсировали новые защитные механизмы Android, которые должны уберечь пользователей от мошеннических сообщений, фальшивых звонков из банков и злоупотреблений переадресацией вызовов. Для обнаружения угроз будут использоваться облачная модель Gemini и локальная модель Gemini Nano. Новые функции постепенно появятся на поддерживаемых Android-устройствах.
На Pwn2Own Ireland взломали Google Pixel 10 и Samsung Galaxy S26
Завершились ежегодные соревнования Pwn2Own Ireland 2026, где ИБ-исследователи суммарно заработали 1 262 000 долларов США, продемонстрировав эксплуатацию 98 уязвимостей нулевого дня. Среди главных целей специалистов оказались флагманские смартфоны Google Pixel 10 и Samsung Galaxy S26, которые удалось успешно скомпрометировать несколько раз.
ИИ-инструмент для пентестов ARTEX использовался в атаках на банки Южной Кореи
Специалисты CrowdStrike рассказали о серии атак на финансовые организации в Южной Корее, в рамках которых злоумышленник применял опенсорсный ИИ-инструмент ARTEX и агентов Claude Code. В результате произошли утечки персональных данных клиентов пострадавших организаций, а некоторые банки столкнулись со сбоями в работе.
Октябрьский «вторник обновлений» Microsoft принес патчи для 1413 уязвимостей
В рамках октябрьского «вторника обновлений» инженеры Microsoft исправили рекордные 1413 уязвимостей, включая три проблемы нулевого дня, одна из которых уже использовалась в реальных атаках. Также в компании представили новый подход к приоритизации патчей, призванный помочь администраторам разобраться с таким количеством исправлений.
В Docker Hub исправили критический баг двухлетней давности
Разработчики Docker устранили критическую уязвимость CVE-2026-105445 в Docker Hub, которая позволяла злоумышленнику выдать себя за другого пользователя и управлять его контейнерными образами. Баг присутствовал в коде более двух лет и мог представлять серьезную угрозу для цепочки поставок.
Уязвимость в Ghostscript позволяла захватывать серверы через загрузку PDF-файлов
Специалисты Wordfence обнаружили критическую уязвимость CVE-2026-39919 в Ghostscript, которая позволяет добиться удаленного выполнения кода через специально подготовленный PDF-файл. Проблема затрагивает Ghostscript с версии 9.21 по 10.07.1 и потенциально угрожает любым приложениям, которые используют этот инструмент для обработки PDF.
Музыкант получил 18 месяцев тюрьмы за мошенничество с ИИ-ботами
54-летнего музыканта из Северной Каролины Майкла Смита (Michael Smith) приговорили к 18 месяцам тюремного заключения из-за участия в мошеннической схеме, связанной с ИИ-музыкой и ботами. С 2017 по 2024 год он использовал сгенерированную ИИ музыку и ботов для накрутки прослушиваний в Spotify, Apple Music, Amazon Music и YouTube Music, в итоге набрав миллиарды прослушиваний и получив миллионы долларов роялти.
Уязвимости в LibreOffice и OpenOffice позволяют выполнить код без каких-либо предупреждений
В LibreOffice и Apache OpenOffice обнаружили уязвимости, которые позволяют вредоносной электронной таблице запустить произвольный Java-код сразу после открытия файла. При этом пользователь не увидит никаких предупреждений.
ИИ-модель Anthropic сообщила полиции ложную информацию об убийстве
Во время внутреннего тестирования ИИ-модель Claude Haiku 4.5 отправила полиции Филадельфии ложную информацию по делу о нераскрытом убийстве. Специалисты Anthropic узнали об этом инциденте лишь спустя два месяца и дополнительно выяснили, что ИИ также отправлял заявки на получение виз через сайт Госдепартамента США.
MediaMarkt приостановила продажи кошельков Ledger из-за сообщений о вредоносных имплантах
Европейская сеть магазинов электроники MediaMarktSaturn приостановила продажи криптовалютных кошельков Ledger после того, как покупатель из Германии сообщил, что приобрел в магазинах сети устройства с несанкционированными аппаратными модификациями. Тем временем представители Ledger раскрыли подробности работы таких «закладок», с помощью которых у пользователей в Юго-Восточной Азии предположительно украли криптовалюту на десятки миллионов долларов США.