- Регистрация
- Окт 16, 2022
- Сообщения
- 1,233
- Реакции
- 214
- Награды
- 2
Эта неделя уже выдалась непростой для кибербезопасности. Критические уязвимости RCE в PHP и GitLab , серьезные ошибки безопасности Linux , скомпрометированные сертификаты eMudhra , уязвимость RCE в Node.js , взломанный релиз LiteLLM и сотни взломанных ретрансляторов Tor . За несколько дней пришлось столкнуться со множеством проблем. И это еще не конец недели.
Но эти громкие заголовки — лишь половина истории. Кража паролей, уязвимые базы данных, неработающие проверки авторизации и использование доверенных инструментов против пользователей также создают проблемы. Некоторые атаки хитры. Другие работают потому, что кто-то оставил незаполненной простую лазейку в системе безопасности.
В этот День угроз мы разбираем истории, которые не вызвали большого резонанса, но всё же заслуживают внимания. Некоторые из них странные, некоторые серьёзные, а некоторые могут вас удивить. Вот всё остальное, что вы не должны пропустить на этой неделе.
Эта неделя уже выдалась непростой для кибербезопасности. Критические уязвимости RCE в PHP и GitLab , серьезные ошибки безопасности Linux , скомпрометированные сертификаты eMudhra , уязвимость RCE в Node.js , взломанный релиз LiteLLM и сотни взломанных ретрансляторов Tor . За несколько дней пришлось столкнуться со множеством проблем. И это еще не конец недели.
Но эти громкие заголовки — лишь половина истории. Кража паролей, уязвимые базы данных, неработающие проверки авторизации и использование доверенных инструментов против пользователей также создают проблемы. Некоторые атаки хитры. Другие работают потому, что кто-то оставил незаполненной простую лазейку в системе безопасности.
В этот День угроз мы разбираем истории, которые не вызвали большого резонанса, но всё же заслуживают внимания. Некоторые из них странные, некоторые серьёзные, а некоторые могут вас удивить. Вот всё остальное, что вы не должны пропустить на этой неделе.
Угрозы меняются каждую неделю. Подпишитесь, и мы будем уведомлять вас о выходе каждого нового выпуска бюллетеня ThreatsDay.
-
Взломано более 4500 учетных записей
Компания Bluesky подтвердила взлом более 4500 учетных записей в ходе фишинговой кампании.
Компания Bluesky подтвердила, что ей известно о фишинговой атаке, в результате которой были скомпрометированы более 4500 учетных записей. «Атака распространилась через публикации, рекламирующие фальшивое предложение о государственной выплате», — заявила компания Bluesky . «Мы временно заблокировали скомпрометированные учетные записи и работаем с их владельцами над их защитой и восстановлением доступа. Если ваша учетная запись была заблокирована, напишите по адресу [email protected], и мы поможем вам восстановить доступ к вашей учетной записи». -
Убытки от мошенничества с вредоносным ПО для Android
Полиция Сингапура предупреждает о мошеннических схемах с использованием вредоносного ПО для Android, причинивших ущерб почти на 1 миллион сингапурских долларов.
Полиция Сингапура предупредила пользователей о варианте мошенничества, использующем вредоносное ПО, в рамках которого в социальных сетях размещаются рекламные объявления, продвигающие мероприятия и программы для пожилых людей, занятия водными видами спорта и инициативы по переработке отходов. По данным ведомства, с апреля 2026 года было зарегистрировано не менее 62 случаев, в результате которых был нанесен ущерб на сумму 989 000 сингапурских долларов. «В рамках этой мошеннической схемы жертвы натыкались на поддельные рекламные объявления в социальных сетях, таких как Facebook, и им предлагалось загрузить файл APK для Android, чтобы зарегистрироваться в программе или оформить услугу», — говорится в заявлении полиции Сингапура . «После установки приложения жертвы получали незапрошенные звонки от мошенников, выдающих себя за государственных чиновников или представителей банков, которые ложно утверждали, что устройства или банковские счета жертв были взломаны или что они причастны к преступной деятельности. Затем жертв побуждали переводить деньги, раскрывать банковские реквизиты или личную информацию, либо передавать ценности для расследования». -
Учетные данные клиента раскрыты.
Компания Andromeda подтвердила факт кражи учетных данных, затронувший клиентов, использующих инфраструктуру искусственного интеллекта.
Компания Andromeda сообщила об обнаружении инцидента безопасности 13 октября 2026 года, связанного с несанкционированным доступом к учетным данным в ее среде. «В тот же день мы заблокировали скомпрометированные учетные записи и с тех пор не наблюдали никакой дальнейшей несанкционированной активности», — говорится в заявлении . «Мы считаем, что эта активность началась в рамках общеотраслевой атаки примерно 9 октября. Она затронула ограниченное количество учетных записей клиентов и привела к утечке определенных учетных данных Andromeda и клиентов. Если мы считаем, что вы пострадали, вы уже получили от нас уведомление». Компания заявила, что нет никаких доказательств несанкционированного доступа к моделям клиентов, наборам данных или обучающим данным. -
Исправлено 20 уязвимостей безопасности
Roundcube исправил 20 проблем безопасности, включая внедрение IMAP-трафика и обход SSRF.
Компания Roundcube выпустила версии 1.6.20 и 1.7.5, в которых исправлено 20 проблем, включая внедрение команд IMAP, обход фильтра SSRF и небезопасную обработку вложений. Нет никаких доказательств того, что какие-либо из исправленных уязвимостей были использованы злоумышленниками. -
Внутренние бизнес-системы взломаны.
Компания Genesys подтвердила взлом внутренних CRM-систем и систем обучения.
16 октября 2026 года компания Genesys сообщила о кибер-инциденте, связанном с несанкционированным доступом третьей стороны к некоторым внутренним бизнес-системам, включая систему управления обучением (LMS) и платформу управления взаимоотношениями с клиентами (CRM). Компания заявила, что информация о бизнесе и учетных записях, используемая для управления отношениями с существующими и потенциальными клиентами, была получена и/или загружена без разрешения. Однако, по ее словам, платформы Genesys Cloud, Genesys Engage и Genesys Engage Cloud не были скомпрометированы. -
Критический риск захвата хоста Kubernetes
По сообщениям, уязвимость NVIDIA AIStore позволяет захватывать хосты Kubernetes.
Компания AegisSec Research обнародовала подробности уязвимости NVIDIA AIStore для Linux, присутствующей в устаревшем API инициализации ETL Kubernetes PodSpec, CVE-2026-65162 , также известной как ShadowForge (оценка CVSS: 10.0), которая позволяет создавать привилегированные контейнеры и компрометировать систему на уровне хоста. -
Аресты за банковское мошенничество с использованием NFC
Голландская полиция арестовала двух подозреваемых в мошенничестве с использованием банковских карт с функцией NFC-сканирования.
Власти Нидерландов арестовали двух подозреваемых в связи с мошеннической схемой, связанной с банковскими мошенничествами, в результате которой пострадали 170 человек и было незаконно присвоено 380 000 евро. Среди арестованных – 23-летний житель Ваассена и 25-летний житель Эде. «Жертвам звонили по телефону и проигрывали аудиозапись», – сообщили власти . «Мошенники создали десятки различных аудиозаписей с использованием искусственного интеллекта, в которых звучали разные голоса, упоминались банки, компании и сценарии. Голос, например, предупреждал их о подозрительной активности на их банковском счете [и инструктировал их] загрузить приложение и отсканировать банковскую карту, поднеся ее к телефону». В процессе злоумышленники смогли передать данные с NFC-чипа банковской карты злоумышленнику, который затем использовал их для совершения несанкционированных снятий средств. -
Критически важный обход аутентификации API
Laravel исправил критическую ошибку TokenGuard, позволяющую обходить аутентификацию API.
Laravel исправил критическую уязвимость безопасности (CVE-2026-114509, оценка CVSS: 9.2), которая могла позволить обойти встроенный TokenGuard и аутентифицироваться как любой существующий пользователь без знания его действительного API-токена. «В определенных конфигурациях базы данных (MySQL/MariaDB) злоумышленник может отправить специально сформированное нестроковое значение учетных данных, которое некорректно обрабатывается во время поиска аутентификации, в результате чего базовый запрос будет соответствовать непреднамеренной записи пользователя вместо ожидаемой ошибки аутентификации», — заявили в Laravel . «Неаутентифицированный злоумышленник может аутентифицироваться как другой пользователь, не имея API-токена этого пользователя, что приведет к обходу аутентификации и захвату учетной записи на любом маршруте, защищенном затронутым механизмом TokenGuard». Проблема исправлена в версиях 13.29.0 и 12.68.0. -
Несанкционированный доступ к базе данных
Критическая уязвимость SQL-инъекции в GLPI позволяет получить несанкционированный доступ к базе данных.
В GLPI 11.0.8 (GHSA-753w-2942-4pxm) обнаружена уязвимость, позволяющая удаленному злоумышленнику читать всю базу данных приложения GLPI. «В зависимости от версии, такой доступ на чтение может привести к захвату учетной записи администратора (подробности ниже) и удаленному выполнению кода», — заявила компания Mobeta . Уязвимость исправлена в версии 11.0.9. -
Критический риск неподтвержденной RCE-экспрессии
Критические уязвимости Eptura Archibus позволяют осуществлять удаленное выполнение кода без аутентификации.
Компания Rapid7 сообщила об обнаружении трех новых уязвимостей в Eptura Archibus, которые могут быть использованы для выполнения кода. «Устаревшая конечная точка API может быть использована для обхода аутентификации и выполнения различных функций без аутентификации (CVE-2026-107186, CVSS: 8.6 High)», — говорится в сообщении . «Наиболее серьезные функции позволяют осуществлять полное чтение базы данных (CVE-2026-107187, CVSS: 8.5 High) и небезопасную загрузку файлов (CVE-2026-107188, CVSS: 9.6 Critical). Небезопасная загрузка файлов приводит к удаленному выполнению кода. Злоумышленник, имеющий сетевой доступ к серверу через HTTP, может считывать секреты и пароли из базы данных. Он также может запускать код для выполнения системных команд от имени «NT AUTHORITY/Local Service» и получить контроль над сервером». -
Раскрыто 3,2 миллиона секретов
Компания Zeabur прекратит работу после второй кибератаки, раскрывшей секреты клиентов.
Платформа разработки Zeabur объявила о прекращении предоставления своих услуг с 1 по 31 декабря 2026 года в связи с инцидентом в сфере кибербезопасности , в ходе которого злоумышленники получили доступ к внутренним учетным данным, хранившимся в открытом виде, и скомпрометировали инфраструктуру компании, украв более 3,2 миллиона записей переменных среды и информацию для 321 810 учетных записей. «14–15 октября 2026 года злоумышленник использовал полученные внутренние учетные данные Zeabur для взлома общего кластера, некоторых выделенных серверов и внутренних систем Zeabur, а затем и для доступа к базе данных платформы», — говорится в заявлении. Это уже второй случай взлома Zeabur за этот год. В августе 2026 года компания сообщила, что злоумышленник получил несанкционированный доступ к ее системам и украл конфиденциальные данные, включая информацию об учетных записях, ключи API и другие секреты. -
Украдены исходный код и данные клиентов.
PingCAP подтвердила кражу исходного кода и утечку информации о клиентах TiDB Cloud.
Компания PingCAP сообщила, что злоумышленники использовали украденные учетные данные для доступа к внутренним системам и копирования исходного кода и записей, связанных с клиентами, включая содержимое редактора SQL и зашифрованные значения ключей API. Инцидент произошел в период с 9 сентября по 7 октября 2026 года. «Неуполномоченное лицо использовало украденные учетные данные сервисных аккаунтов для доступа к определенным внутренним системам PingCAP, копирования данных и получения исходного кода», — заявила компания . «PingCAP узнала об инциденте 7 октября и в тот же день начала блокировать затронутые учетные данные». Экспортированные данные включают имена пользователей и адреса электронной почты, связи с организациями и проектами, текст и ошибки редактора SQL, контактные данные клиентов, условия контрактов, заказы, цены, условия оплаты и конфигурацию выставления счетов. -
Схема налогового мошенничества на сумму 2,5 миллиона долларов
Житель Нигерии приговорен к восьми годам лишения свободы за схему кражи личных данных.
40-летний гражданин Нигерии Чуквуэмека Виктор Амачукву (также известный как Чуквуэмека Виктор Элетуо и Со Кван Люн) был приговорен в США к восьми годам тюремного заключения за организацию многолетней схемы хакерских атак, налогового мошенничества и кражи личных данных. «Амачукву участвовал в сложных схемах взлома американских компаний, кражи и использования украденной личной информации жертв, а также совершения мошенничества», — заявило Министерство юстиции США . «Начиная, по меньшей мере, с 2019 года, Амачукву, его сообщник Кингсли Учелуэ Утулу и другие заговорщики из Нигерии участвовали в схеме взлома американских компаний, занимающихся подготовкой налоговых деклараций. Заговорщики использовали целевые фишинговые электронные письма для получения доступа к электронным системам этих компаний. Получив доступ, они похитили налоговую и другую идентификационную информацию как минимум примерно 800 клиентов этих компаний. Заговорщики взломали несколько американских налоговых компаний, расположенных в Нью-Йорке, Техасе и других штатах». Заговорщики также получили украденную личную информацию тысяч людей, а затем использовали ее для подачи мошеннических налоговых деклараций в Налоговое управление США и налоговые органы штатов, получив, по меньшей мере, около 2,5 миллионов долларов. -
схема кражи личных данных военнослужащих
Американский мошенник, проживавший на Филиппинах, признал себя виновным в мошенничестве.
45-летний гражданин США Роберт Уэйн Болинг признал себя виновным в организации схемы кражи личных данных и мошенничества, в результате которой были обмануты тысячи американских военнослужащих и ветеранов, проживая на Филиппинах. «Болинг действовал с Филиппин, получая и используя украденные персональные данные американских военнослужащих и ветеранов для взлома их банковских счетов и кражи денег и ветеранских пособий», — говорится в заявлении Министерства юстиции . «Сообщник Болинга, Фредерик Браун, работавший гражданским администратором медицинских записей в армии США в Южной Корее, сделал цифровые фотографии персональных данных тысяч лиц, связанных с армией. Браун передал украденные персональные данные Болингу, который вместе со своими сообщниками использовал их для взлома различных счетов, принадлежащих американским военнослужащим и ветеранам, включая банковские счета и онлайн-счета для получения государственных пособий». Болинг признал себя виновным по одному пункту обвинения в сговоре с целью совершения мошенничества с использованием электронных средств связи и одному пункту обвинения в сговоре с целью отмывания денег. Вынесение приговора ему запланировано на 14 января 2027 года, и ему грозит максимальное наказание в виде 20 лет лишения свободы за каждое обвинение в сговоре. -
Урегулирование дела о нарушении безопасности данных на сумму 6 миллионов долларов.
Компания 23andMe урегулировала спор с Калифорнией по поводу утечки данных в 2023 году.
Компания Chrome Holding Co., ранее известная как 23andMe, согласилась выплатить Калифорнии 6 миллионов долларов для урегулирования обвинений в ненадлежащей защите личных и генетических данных клиентов, что привело к масштабной утечке данных в 2023 году, в результате которой была раскрыта конфиденциальная информация почти 7 миллионов человек. «Что касается генетических данных или образцов, хранящихся в исследовательском институте 23andMe, потребители могут потребовать от компании удалить свои данные, уничтожить образец для анализа или отозвать свое разрешение на использование генетических данных для исследований», — говорится в заявлении офиса генерального прокурора Калифорнии. -
Правила сдерживания несанкционированного ИИ
Правительство США опубликовало рекомендации по борьбе с несанкционированным искусственным интеллектом.
Агентства США NSA, CISA и NIST выпустили совместные рекомендации по безопасности , призванные помочь организациям выявлять, изолировать и блокировать агентов искусственного интеллекта (ИИ), демонстрирующих отклонения от утвержденных задач. Добровольные рекомендации описывают 10 методов управления потенциальными инцидентами во время обучения и оценки суперинтеллекта, уделяя особое внимание поддержанию человеческого контроля и укреплению общественного доверия к безопасной разработке ИИ. «Этот добровольный документ поддерживает передовую индустрию ИИ в предотвращении, подготовке и реагировании на инциденты во время обучения и оценки, особенно на инциденты, в которых один или несколько агентов ИИ совершают значительные несанкционированные действия, которые ставят под угрозу явные или неявные политики, средства контроля или меры безопасности, установленные оператором для определения предполагаемого объема задачи или обеспечения человеческого контроля», — говорится в заявлении NIST . -
Критическая удаленная эксплуатация на машине разработчика
Критическая уязвимость удаленного выполнения в открытом коде
В OpenCode обнаружена критическая уязвимость удаленного выполнения кода (RCE), затрагивающая Windows и подсистему Windows для Linux (WSL). «Эта уязвимость позволяет управляемому злоумышленником удаленному серверу Model Context Protocol (MCP) выполнять произвольный код на машине разработчика во время удаленной аутентификации MCP OAuth без дополнительного взаимодействия с пользователем или его согласия», — заявила компания Pillar Security . Anomaly, разработчик OpenCode, исправила проблему в версии 1.18.33. Уязвимость появилась через несколько дней после того, как OpenCode подтвердил нарушение безопасности, затронувшее его консоль, которая позволяет командам совместно использовать доступ к моделям ИИ через централизованно управляемые учетные данные API, потенциально раскрывая ключи API, связанные с пользователями моделей ИИ Anthropic, OpenAI и Google. Инцидент, как говорится в сообщении, был связан с «масштабной атакой дистилляции, затронувшей 1,4% пользователей консоли OpenCode». -
Предвзятость в отношении безопасности кода, сгенерированного ИИ
Китайские модели искусственного интеллекта генерируют уязвимый код для западных организаций.
Модели ИИ с прокитайской направленностью могут систематически генерировать более уязвимый код при разработке приложений для западных организаций. «Если запросить приложение «для американского оборонного подрядчика» вместо «для китайского оборонного подрядчика», Qwen3-Coder на 19% чаще вернет приложение, которое можно взломать», — сказал Хирундо . «Приложения, разработанные для гонконгской демократической группы, на 28% чаще позволяли любому пользователю читать секреты других пользователей. При наличии инструкции по безопасности в запросе приложения американского подрядчика на 27% чаще оказывались уязвимыми для взлома, чем приложения нейтрального клиента». Хирундо также сообщил, что удаление ориентации модели на КПК устраняет уязвимость весов модели. Это происходит на фоне все более широкого внедрения китайских моделей с открытыми весами в корпоративные рабочие процессы по всему миру. Аналогичное тестирование, проведенное компанией Booz Allen Hamilton в мае 2026 года, выявило нечто подобное: «Китайские магистранты создают более уязвимый код, когда им задают вопросы от имени правительства США, чем без них, — и эти уязвимости сильно завуалированы. Китайские магистранты внедряют политическую предвзятость, связанную с КНР, как в ответы, так и в генерируемый ими код». -
Фишинг с понижением уровня аппаратной многофакторной аутентификации
Фишинговая кампания использует домены, связанные с Okta и ServiceNow.
В рамках фишинговой кампании используются домены, связанные с Okta и ServiceNow (riskified-okta[.]com и shipmonk-servicenow[.]com), на которых размещаются поддельные порталы единого входа (SSO) и приманки для понижения уровня многофакторной аутентификации (MFA), нацеленные на пользователей YubiKey, с целью атаковать поставщиков SaaS-услуг для электронной коммерции. «Кампания сочетает поддельные страницы входа в Okta с приманкой для понижения уровня MFA, нацеленной на пользователей YubiKey, что позволяет злоумышленникам обходить аппаратную MFA там, где политика разрешает резервные методы, такие как SMS или коды электронной почты», — сообщает Dataminr . «Цель сосредоточена на поставщиках инфраструктуры электронной коммерции, вероятно, потому что компрометация этих поставщиков создает рычаги для последующих взломов третьих сторон и вымогательства данных». -
Федеральный запрет DeepSeek
Китай защищает DeepSeek после запрета со стороны США.
Представитель Министерства иностранных дел Китая Мао Нин заявил, что Китай «будет решительно защищать законные права и интересы китайских компаний», добавив, что «Китай последовательно выступает против чрезмерного расширения понятия национальной безопасности». Это произошло после того, как администрация Трампа запретила использование технологий DeepSeek в ИТ-системах федеральных гражданских ведомств, включая продукты и услуги третьих сторон, созданные с использованием моделей искусственного интеллекта DeepSeek. Приказ Министерства внутренней безопасности, изданный в июле и обнародованный 19 октября 2026 года, также запрещает федеральным гражданским ведомствам закупать продукты и услуги DeepSeek. Согласно приказу: «Серверы DeepSeek расположены в КНР, и правовая система КНР предоставляет государственным кибер- и разведывательным службам широкие полномочия по доступу к инфраструктуре частных компаний. В случае с размещенными на серверах DeepSeek экземплярами их моделей, процесс создания учетных записей DeepSeek собирает персональные данные (PII), а также может отслеживать и создавать цифровые отпечатки пользователей. Наиболее широко используемые приложения DeepSeek работают по принципу «запрос-ответ», требующему предоставления информации модели, и которые могут привести к передаче конфиденциальных данных в КНР, если используются сотрудниками правительства США или поставщиками. Передача вышеупомянутой информации в КНР, как самостоятельно, так и в сочетании с общедоступными данными, может привести к получению оперативной разведывательной информации о гражданах США и/или государственных программах. Сами модели могут содержать вредоносное ПО или другие уязвимости в системе безопасности». -
Эксплуатация XWiki и активность ботнета
VulnCheck обнаружил уязвимости XWiki и активность ботнетов, связанную с IP-адресами в предупреждении о тайфуне в городе Флакс.
В начале этого месяца Федеральное бюро расследований США (ФБР) и Министерство юстиции США (МЮ) объявили о пресечении использования вредоносных инструментов, применяемых связанной с Китаем группой киберпреступников, известной как Flax Typhoon. В то время как Microscan использовался для проведения разведки и сканирования уязвимостей компьютеров, FishHub, предположительно, позволял осуществлять атаки на компьютерные сети посредством фишинговых атак и развертывания последующих вредоносных программ. В последующем предупреждении VulnCheck сообщила о попытках взлома пяти уязвимостей — PHPUnit (CVE-2017-9841), XWiki (CVE-2025-24893), Apache HTTP Server (CVE-2021-41773), PHP-CGI (CVE-2024-4577) и ThinkPHP (CVE-2022-47945) — с IP-адресов 119.13.79[.]145 (Гонконг), 211.20.144[.]116 (Тайвань) и 210.242.76[.]32 (Тайвань). «Атаки исходили как из Гонконга, так и из Тайваня», — говорится в сообщении . «IP-адреса из Гонконга использовали уязвимости в Мексике, Великобритании и Малайзии, а IP-адреса из Тайваня — в Индии». Использование уязвимости XWiki тайваньскими IP-адресами привело к развертыванию обратных шеллов. С другой стороны, IP-адрес в Гонконге относится к семейству ботнетов RedTail. -
Более 600 жертв программ-вымогателей
Программа-вымогатель SafePay унесла жизни более 600 человек с 2024 года.
Новое предупреждение от разведывательных агентств Германии, Великобритании и США показало, что с августа 2024 года как минимум 600 организаций в Северной и Южной Америке, Европе и Австралии подверглись атакам вымогательской программы SafePay. Атаки включают в себя использование известных уязвимостей безопасности в периферийных устройствах и продуктах, доступных через Интернет (CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 и CVE-2024-40766) или, в качестве альтернативы, раскрытие учетных данных и атаки методом перебора паролей для получения первоначального доступа, за которыми следуют закрепление в системе, повышение привилегий, горизонтальное перемещение, утечка данных и развертывание вымогательской программы. Еще в августе 2026 года американские ведомства сообщили , что разработчики и сообщники Medusa затронули более 500 жертв из различных секторов критической инфраструктуры по состоянию на апрель 2026 года, продолжая при этом использовать незакрытые уязвимости в качестве основного средства первоначального доступа. Группа также использует посредников доступа, выплачивая им от 100 до 1 миллиона долларов за обеспечение доступа к потенциальным жертвам. Однако нет никаких признаков того, что участники Medusa разрабатывают собственные уязвимости нулевого или N-дневного дня. -
Включены предупреждения о HTTP-соединениях
Chrome запрашивает подтверждение перед подключением по протоколу HTTP.
Компания Google внесла изменения в Chrome, благодаря которым браузер «явно запрашивает у пользователей разрешение перед установлением небезопасного HTTP-соединения». Эта функция была включена для пользователей, зарегистрированных в режиме расширенной защиты Chrome «Безопасный просмотр». Теперь она по умолчанию доступна всем пользователям. «Запрос Chrome у пользователя перед выполнением HTTP-запроса — это результат более чем десятилетней работы бесчисленного количества людей и организаций», — добавили в компании. -
Критическая ошибка, приводящая к прерыванию звонка.
Недостаток сигнала позволяет злоумышленникам блокировать сброс вызовов.
Критическая уязвимость безопасности в мессенджере Signal (CVE-2026-113380, оценка CVSS: 9.3) может позволить злоумышленнику оставлять аудио- и видеодорожки включенными даже после того, как жертва завершила вызов. Проблема затрагивает RingRTC , библиотеку промежуточного программного обеспечения, которая предоставляет приложениям Signal услуги видео- и голосовых вызовов, построенные на основе WebRTC. Она также затрагивает все клиенты Signal на Android, iOS и настольных компьютерах. «Локальный разрыв вызова — это не аварийный выключатель: это всего лишь еще одно событие, помещенное в конец очереди событий конечного автомата вызова», — сказал исследователь безопасности, известный в сети под псевдонимом Imahian . «Удаленный участник получает доверие к этой очереди — нет ограничений на количество событий, инициированных участником, и нет приоритетной полосы для разрыва вызова. Заполните очередь мусором, и разрыв вызова будет ждать за шумом от злоумышленника вечно, поэтому вызов (микрофон, возможно, камера) никогда не будет прерван». -
Внедрение запроса через коннектор GitHub
В коннекторе ChatGPT к GitHub обнаружена уязвимость в системе безопасности.
В коннекторе GitHub от OpenAI ChatGPT обнаружена критическая уязвимость безопасности, которая может обмануть чат-бота с искусственным интеллектом, заставив его использовать свой авторизованный доступ к GitHub для изменения другого репозитория и потенциально раскрыть его секреты посредством косвенной инъекции подсказок, внедренной в контролируемый злоумышленником общедоступный репозиторий. Когда злоумышленник запрашивает у ChatGPT проверку развертывания своего репозитория, он сталкивается со скрытыми инструкциями и приступает к записи рабочего процесса GitHub Actions в другой, частный репозиторий, имеющий коннектор ChatGPT с разрешением по умолчанию «Все репозитории». Затем рабочий процесс получает доступ к секретам и другой конфиденциальной информации и передает ее злоумышленнику. По словам исследователя безопасности Сунила Трипати, уязвимость возникает из-за сочетания косвенной инъекции подсказок, чрезмерно привилегированного коннектора ChatGPT и способности GitHub Actions автоматически выполнять произвольный код, когда агент делает коммит в частный репозиторий. «Это демонстрирует операции записи между учетными записями, выполнение CI и утечку секретных данных через коннектор ChatGPT GitHub, в частности, с использованием косвенной инъекции подсказок из общедоступного репозитория, при этом злоумышленник не имеет доступа к жертве», — говорит Трипати. «Для атаки не требуется внедрение команд и загрузка документов — достаточно общедоступного репозитория и жертвы, которая просит своего агента проверить его», — говорится в заявлении . После ответственного информирования OpenAI компания охарактеризовала проблему как выходящую за рамки данного вопроса.
Неделя ещё не закончилась, и угрозы тоже. Новые уязвимости, новые атаки и неожиданные инциденты в сфере безопасности могут появиться в любой момент. То, что сегодня кажется безопасным, завтра может стать главной новостью. Именно поэтому следить за новостями в области безопасности сейчас важнее, чем когда-либо.
Источник
