Уязвимость в ADOdb, допускающая подстановку SQL-запросов

Уязвимость в Dropbear SSH, допускающая подстановку команд в dbclient

Опубликован выпуск проекта Dropbear 2025.88, развивающего сервер и клиент SSH, получивший распространение в беспроводных маршрутизаторах и компактных дистрибутивах, подобных OpenWrt. В новой версии устранена уязвимость (CVE-2025-47203) в реализации …

Уязвимость в OpenVPN, допускающая подстановку данных в плагины и сторонние обработчики

Раскрыты сведения об уязвимости (CVE-2024-5594) в пакете для создания виртуальных частных сетей OpenVPN, которая может привести к подстановке произвольных данных в сторонние исполняемые файлы или плагины в системе на другой стороне соединения. Уязви …

Уязвимость в LibreOffice, позволяющая выполнить скрипт через подстановку ссылки в документ

Раскрыта информация об уявзвимости (CVE-2025-1080), позволяющей добиться выполнения произвольного скрипта без вывода предупреждения пользователю при переходе по специально подготовленной ссылке в документе или при срабатывании определённого события …

Уязвимость в SSH-сервере из Erlang/OTP, допускающая удалённое выполнение кода

В библиотеке ssh, входящей в состав инструментария Erlang/OTP, выявлена уязвимость (CVE-2025-32433), позволяющая удалённо без прохождения аутентификации выполнить свой код на SSH-сервере, созданном с использованием уязвимой библиотеки. Проблема прис …

Уязвимость в Red Hat OpenShift AI, допускающая root-доступ к узлам кластера

В платформе OpenShift AI Service, позволяющей организовать работу кластера для выполнения и обучения AI-моделей, выявлена уязвимость (CVE-2025-10725), позволяющая непривилегированному пользователю получить права администратора кластера. После успешн …

В GNU Wget2 2.2.1 устранена уязвимость, допускающая перезапись произвольных файлов

Доступен выпуск проекта GNU Wget2 2.2.1, развивающего переписанный с нуля и полностью переработанный вариант программы для автоматизации рекурсивной загрузки контента GNU Wget. Wget2 предоставляет набор дополнительных опций, поддерживает загрузку в …

Уязвимость в Python-модуле TarFile, допускающая запись в любые части ФС

Во входящем в штатную поставку Python модуле tarfile, предоставляющем функции для чтения и записи tar-архивов, выявлено пять уязвимостей, одной из которых присвоен критический уровень опасности. Уязвимости устранены в выпусках Python 3.13.4 и 3.12.1 …

Уязвимость в поставляемом во FreeBSD варианте OpenSSH, допускающая удалённое выполнение кода

В поставляемом в составе FreeBSD сервере OpenSSH выявлена уязвимость (CVE-2024-7589), позволяющая добиться удалённого выполнения кода с правами root без прохождения аутентификации. Уязвимость является вариантом выявленной в начале июля проблемы в Op …

Microsoft исправила уязвимость в Windows, но вместе с этим создала новую уязвимость

В этом месяце Microsoft исправила уязвимость CVE-2025–21204 в операционной системе Windows, которая позволяла злоумышленникам «выполнять и/или манипулировать операциями по управлению файлами на машине жертвы с привилегиями учетной записи NT AUTHORIT …

В библиотеке FreeType обнаружили 0-day уязвимость

Специалисты сообщили об уязвимости, обнаруженной во всех версиях библиотеки FreeType, которая может привести к удаленному выполнению произвольного кода. …

В маршрутизаторах DrayTek патчат RCE-уязвимость

Компания DrayTek, производящая сетевое оборудование, выпустила предупреждение об уязвимости, которая затрагивает несколько моделей роутеров Vigor. Проблема позволяет удаленным неаутентифицированным атакующим выполнять произвольный код. …

RCE-уязвимость в PHP влияет на все версии Windows

Аналитики Devcore обнаружили опасную уязвимость удаленного выполнения кода (RCE) в PHP для Windows, затрагивающую все релизы, начиная с версии 5.x. Эта проблема представляет угрозу для огромного количества серверов по всему миру. …

Уязвимость в эталонных реализациях кодеков AV1 и VP8/VP9

В развиваемой альянсом Open Media (AOMedia) библиотеке libaom, предоставляющей эталонную реализацию формата кодирования видео AV1, выявлена критическая уязвимость (CVE-2024-5171), приводящая к целочисленному переполнению и записи в область вне грани …

Уязвимость RMPocalypse компрометирует безопасность AMD SEV-SNP

Компания AMD выпустила исправления для уязвимости RMPocalypse, которую можно использовать, чтобы подорвать безопасность конфиденциальных вычислений, обеспечиваемых технологией Secure Encrypted Virtualization with Secure Nested Paging (SEV-SNP). …

В загрузчике GRUB2 выявлена 21 уязвимость

Опубликованы сведения о 21 уязвимости в загрузчике GRUB2, большинство из которых приводят к переполнению буфера и могут использоваться для обхода механизма верифицированной загрузки UEFI Secure Boot. Проблемы пока устранены только в виде патча. Стат …

Google подтвердила уязвимость 40 % устройств на Android

Компания Google обновила официальную статистику распространения версий операционной системы Android. Согласно данным, лишь 58 % устройств работают под управлением актуальных ОС, которые продолжают получать критические исправления безопасности. Для б …

Хакеры эксплуатируют RCE-уязвимость в Microsoft Outlook

Представители Агентства по кибербезопасности и защите инфраструктуры США (CISA) предупредили, что федеральные ведомства должны до 27 февраля 2025 года защитить свои системы от продолжающихся атак, нацеленных на критическую уязвимость в Microsoft Out …

В роутерах TP-Link нашли неисправленную уязвимость

Компания TP-Link подтвердила существование неисправленной 0-day уязвимости, затрагивающей несколько моделей роутеров. В компании сообщили, что уже занимаются изучением проблемы и готовят патчи. …

Sinkclose - уязвимость в CPU AMD, позволяющая получить доступ к SMM

Исследователи из компании IOActive выявили уязвимость (CVE-2023-31315) в процессорах AMD, которая при привилегированном локальном доступе к системе позволяет изменить конфигурацию SMM (System Management Mode, Ring -2), даже если включён механизм бло …

В Apache Roller исправили критическую уязвимость

В Apache Roller, опенсорсном сервере для создания блогов на базе Java, обнаружена критическая уязвимость, которая позволяла злоумышленникам сохранять несанкционированный доступ к системе даже после смены пароля. …

Уязвимость в ProjectSend находится под массовыми атаками

VulnCheck предупреждает, что хакеры атакуют серверы ProjectSend, не защищенные от уязвимости, которая была публично раскрыта еще полтора года назад. …

Уязвимость в PHP, позволяющая выполнить код при работе в режиме CGI

В PHP выявлена уязвимость (CVE-2024-4577), позволяющая добиться выполнения своего кода на сервере или просмотра исходного кода PHP-скрипта в случае использования PHP в режиме CGI на платформе Windows (конфигурации с mod_php, php-fpm и FastCGI уязвим …

В Европе признали уязвимость из-за поставок американского СПГ

Европейские лидеры намерены продемонстрировать энергетическую независимость от США при помощи договорённостей о совместных ветроэнергетических проектах в Северном море. Ключевым элементом этой линии должна стать декларация о создании морских ветропа …

Уязвимость в библиотеке libgsf, затрагивающая GNOME

В библиотеке libgsf, развиваемой проектом GNOME, выявлена уязвимость (CVE-2024-42415), которая может привести к выполнению кода при обработке специально оформленного файла. Уязвимость вызвана целочисленным переполнением, приводящим к записи данных з …

AMD заплатит вам до $30 000, если вы найдёте баг или уязвимость в её продуктах AMD заключила соглашение с краудсорсинговым поставщиком услуг безопасности Intigriti для запуска программы вознаграждения за обнаружение проблем. Исследователи безопасности и этичные хакеры смогут сообщать об уязвимостях и ошибках в оборудовании, пр …

Свежая уязвимость в Apache Tomcat уже подвергается атакам Для критической уязвимости удаленного выполнения кода (RCE) в Apache Tomcat, получившей идентификатор CVE-2025-24813, опубликован эксплоит, показывающий, как взламывать серверы с помощью одного запроса PUT. Из-за этого проблема уже активно эксплуати …

В Opera исправили уязвимость, дающую доступ к закрытым API В браузере Opera исправили серьезную уязвимость, которая предоставляла вредоносным расширения несанкционированный доступ к приватным API. Эти API используются для работы ряда функций браузера, включая криптокошелек, VPN, Pinboard и так далее. …

В CrushFTP исправили критическую уязвимость неавторизованного доступа Разработчики CrushFTP предупреждают клиентов о критической уязвимости неавторизованного доступа к порту HTTP(S) и призывают немедленно установить исправления на серверы. …

Cisco патчит критическую уязвимость в Meeting Management Компания Cisco выпустила обновления для устранения критической уязвимости (9,9 балла по шкале CVSS) в Meeting Management. Ошибка позволяет удаленному аутентифицированному злоумышленнику получить привилегии администратора. …

Уязвимость в Musl, эксплуатируемая при перекодировании текста в кодировке EUC-KR В стандартной Си-библиотеке Musl выявлена уязвимость (CVE-2024-2961), приводящая к переполнению буфера при преобразовании специально оформленного текста из кодировки EUC-KR в UTF-8 при помощи функции iconv(). Уязвимость проявляется начиная с версии …

Критическая уязвимость в Chrome принесла специалисту 43 000 долларов Компания Google устранила критическую уязвимость типа use-after-free в браузере Chrome, которая могла привести к выполнению кода. Обнаруживший ее ИБ-специалист получил вознаграждение по программе bug bounty в размере 43 000 долларов США. …

Уязвимость обхода AMD SEV-SNP допускает внедрение вредоносного микрокода Новая уязвимость в некоторых процессорах AMD позволяла обойти защиту Secure Encrypted Virtualization (SEV), и при определенных условиях злоумышленник получал возможность загрузить вредоносный микрокод. …

Для распространения бэкдора SpyGlace используется 0-day уязвимость в WPS Office Исследователи обнаружили, что южнокорейская группировка APT-C-60 использует критическую уязвимость удаленного выполнения кода в Kingsoft WPS Office для Windows для развертывания бэкдора SpyGlace. …

Исследование выявило уязвимость платформ метавселенной к кибератакам Доступ к виртуальным мирам с домашнего компьютера через веб-браузер и возможность безопасного и конфиденциального взаимодействия с другими людьми — вот что обещают платформы метавселенной. Исследователь CISPA Андреа Менгасчини провел проверку этого …

Google исправляет активно эксплуатируемую уязвимость в Android Компания Google выпустила ежемесячные обновления для Android, которые устранили 46 уязвимостей. Одна из этих проблем уже используется злоумышленниками и связана с выполнением произвольного кода в библиотеке FreeType. …

Уязвимость в GNU screen, позволяющая выполнить код с правами root В консольном оконном менеджере (мультиплексоре терминалов) GNU screen, предоставляющем многооконный интерфейс в консоли, выявлено 5 уязвимостей. Наиболее опасная проблема (CVE-2025-23395) позволяет получить права root в системе. Исправление включено …

Уязвимость в tuned, позволяющая выполнить код с правами root В развиваемом компанией Red Hat фоновом процессе tuned, выполняющем автоматическую оптимизацию настроек оборудования и ядра в зависимости от текущей нагрузки, выявлена уязвимость (CVE-2024-52336), позволяющая локальному непривилегированному пользова …

Уязвимость, позволяющая обойти механизм защиты Intel TDX Компании Google и Intel раскрыли результаты (PDF) совместной работы по аудиту безопасности механизма Intel TDX 1.5 (Trusted Domain Extensions). Технология Intel TDX реализует возможность шифрования памяти виртуальных машин для их защиты от вмешатель …

Свежая уязвимость в MongoDB активно применяется в атаках Исправленную на прошлой неделе RCE-уязвимость CVE-2025-14847, также получившую имя MongoBleed, уже эксплуатируют хакеры. ИБ-специалисты предупреждают, что в сети по-прежнему доступно более 87 000 уязвимых серверов. …

Уязвимость в Notepad++ позволяла распространять вредоносные обновления Разработчики популярного текстового редактора Notepad++ выпустили версию 8.8.9, которая устраняет серьезную проблему в механизме автообновления. О баге стало известно, когда пользователи и исследователи заметили, что система обновлений загружает вре …

Уязвимость в iOS позволяет делать иконки приложений анимированными Операционная система iOS ограничена в плане кастомизации внешнего вида, но разработчик Брайс Боствик обнаружил возможность делать иконку любого приложения анимированной. Официально эту возможность поддерживают [...] …

В роутерах TP-Link C5400X исправили критическую RCE-уязвимость В роутерах TP-Link Archer C5400X обнаружена критическая RCE-уязвимость, которая позволяет удаленному неаутентифицированному злоумышленнику выполнять произвольные команды на устройстве. …

Неисправленная уязвимость в Gogs привела к компрометации 700 серверов Уязвимость нулевого дня в популярном сервисе для самостоятельного хостинга Git-репозиториев Gogs позволяет злоумышленникам удаленно выполнять произвольный код, что привело к взлому сотен серверов по всему миру. …

GitLab патчит критическую уязвимость, связанную с пайплайном Разработчики GitLab выпустили патчи для устранения нескольких уязвимостей, наиболее серьезная из которых (CVE-2024-6678) при определенных условиях позволяет злоумышленнику запускать пайплайны от имени любого пользователя. …

Уязвимость в Samba, позволяющая удалённо выполнить код на сервере Опубликованы корректирующие выпуски пакета Samba 4.23.2, 4.22.5 и 4.21.9 с устранением уязвимости (CVE-2025-10230) в реализации сервера разрешения имён WINS, позволяющей добиться удалённого выполнения своего кода на сервере без прохождения аутентифи …

В США признали уязвимость перед ракетами ВС РФ в случае войны В случае военного конфликта США окажутся уязвимы перед ракетными ударами России. Об этом заявил бывший агент ЦРУ Ларри Джонсон.Читать далее …

В движке Unity обнаружили уязвимость восьмилетней давности В игровом движке Unity обнаружили уязвимость, существовавшую с 2017 года. Проблема может использоваться для выполнения кода на Android и для повышения привилегий в Windows. Разработчики Valve уже обновили Steam, а Microsoft — Microsoft Defender и ре …

В сентябре Microsoft исправила 81 уязвимость в своих продуктах На этой неделе компания Microsoft выпустила сентябрьские обновления, которые устранили 81 уязвимость в продуктах компании. Среди них были две уязвимости нулевого дня, информация о которых была раскрыта до выхода исправлений. …

В Германии указали на серьезную уязвимость перед Россией С нынешним арсеналом Германия не сможет противостоять гипотетическим атакам российских дронов. Об этом заявил гендиректор компании — производителя беспилотных летательных аппаратов (БПЛА) Quantum Systems Флориан Зайбель, чьи слова приводит N-tv. …

Хакеры обнаружили уязвимость в Nintendo Switch 2 (2 фото) Хакеры обнаружили уязвимость в Nintendo Switch 2, как они пишт, спустя менее суток после официального релиза. Пользователь из Bluesky Дэвид Бьюкенен первым продемонстрировал эксплойт, связанный с уязвимостью в библиотеке консоли. …

Уязвимость в GNU sort, приводящая к выходу за границу буфера В утилите sort, поставляемой в составе пакета GNU Coreutils, выявлена уязвимость (CVE-2025-5278), приводящая к обращению к данным вне границы буфера при сортировке с использованием синтаксиса "+POS1[.C1][OPTS]", применяемого для выделения сортируемы …

В сотнях миллионах iPhone нашли очень опасную уязвимость Google совместно с компаниями iVerify и Lookout выявили критическую уязвимость в операционной системе iOS 18, получившую условное название DarkSword. Уязвимость угрожает сотням миллионов iPhone, сообщает Wired. По данным исследователей, DarkSword пр …

Apple исправила 0-day уязвимость, использовавшуюся в «чрезвычайно сложных» атаках Компания Apple выпустила экстренные патчи для исправления уязвимости нулевого дня, которая использовалась в таргетированных и «чрезвычайно сложных» атаках. В компании объяснили, что физическая атака позволяла отключить USB Restricted Mode на заблоки …

Уязвимость позволяла скомпрометировать ИИ-ассистента Gemini Live в Chrome Исследователи Palo Alto Networks Unit 42 обнаружили уязвимость в Google Chrome, позволявшую вредоносным расширениям перехватывать управление встроенной в браузер ИИ-панелью Gemini Live и получать доступ к камере, микрофону и локальным файлам пользов …

Каждая шестая уязвимость в приложениях знакомств оказалась критической В основном это связано с использованием непроверенных компонентов кода при разработке приложений, говорят эксперты …

Microsoft исправила находившуюся под атаками уязвимость в Power Pages Компания Microsoft устранила серьезную уязвимость повышения привилегий в Power Pages, которую хакеры уже использовали в качестве 0-day. …

Вымогательские хак-группы используют уязвимость в Paragon Partition Manager Злоумышленники эксплуатируют уязвимость в драйвере Paragon Partition Manager (BioNTdrv.sys) в вымогательских атаках, используя драйвер для повышения привилегий и выполнения произвольного кода. …

Удалённая root-уязвимость в обработчике автоконфигурации IPv6 во FreeBSD В применяемых во FreeBSD фоновом процессе rtsold и утилите rtsol выявлена уязвимость (CVE-2025-14558), позволяющая добиться удалённого выполнения кода с правами root через отправку специально оформленного пакета c анонсом IPv6-маршрутизатора. RA-соо …

Уязвимость в libpng, приводящая к переполнению буфера при обработке PNG-изображений В корректирующем выпуске библиотеки libpng 1.6.51, применяемой в качестве прямой зависимости у около 600 пакетов в Ubuntu, устранены 4 уязвимости, одна из которых (CVE-2025-65018) приводит к записи за границу буфера. Потенциально данная уязвимость п …

RCE-уязвимость в Veeam RCE позволяет взламывать серверы резервного копирования Разработчики Veeam патчат критическую уязвимость удаленного выполнения кода (CVE-2025-23120) в Backup & Replication. Проблема затрагивает domain-joined установки. …

Производитель год исправлял уязвимость, позволявшую бесконечно пополнять NFC-карты Исследователи ИБ-компании SEC Consult, входящей в состав Eviden, рассказали, что занимающаяся платежными решениями компания KioSoft больше года устраняла серьезную уязвимость, затрагивающую некоторые из ее NFC-карт. …

В роутерах TP-Link исправили критическую уязвимость обхода аутентификации Компания TP-Link выпустила обновления прошивки для роутеров серии Archer NX, устранив в них сразу несколько уязвимостей. Самая серьезная проблема позволяла злоумышленникам без какой-либо авторизации загрузить на устройство произвольную прошивку. …

Уязвимость в KDE Konsole, позволяющая выполнить код при открытии страницы в браузере В развиваемом проектом KDE эмуляторе терминала Konsole выявлена уязвимость (CVE-2025-49091), позволяющая организовать выполнение кода в системе при открытии в браузере специально оформленной страницы. …

В процессорах Ryzen нашли новую уязвимость. AMD проблему признала AMD подтвердила, что у её процессоров была обнаружена уязвимость — сведения о её наличии просочились в открытый доступ до того, как компания успела выпустить исправляющее ошибку обновление ПО. Проблема предположительно затрагивает процессоры потреби …

Удалённо эксплуатируемая уязвимость в Bluetooth-стеке платформы Android В ноябрьском бюллетене безопасности Android опубликована информация об уязвимости CVE-2025-48593 в подсистеме Bluetooth, которая затрагивает версии Android с 13 по 16. Уязвимости присвоен критический уровень опасности (9.8 из 10) так как она может п …

ЗРК Patriot против ВКС России: чем ближе к фронту, тем больше уязвимость Если Украина и станет применять ЗРК Patriot для ударов по российской авиации над территорией РФ, то это только сделает эти системы более уязвимыми, заявил член Совета по межнациональным отношениям при президенте РФ Богдан Безпалько. …

Уязвимость в Exim угрожает безопасности 1,5 миллиона почтовых серверов Исследователи безопасности обнаружили критическую уязвимость в популярном серверном почтовом клиенте Exim, которая позволяет злоумышленникам обходить защиту и отправлять вредоносные вложения. Под угрозой находятся более 1,5 миллиона серверов по всем …

GitLab патчит критическую уязвимость, связанную с pipeline jobs Разработчики GitLab предупредили о критической уязвимости в GitLab Community и Enterprise, которая позволяет злоумышленникам запускать pipeline jobs от лица любого другого пользователя. …

Уязвимость в Telegram позволяла замаскировать вредоносный APK-файл под видео Эксперты компании ESET рассказали об уязвимости нулевого дня в Telegram для Android, получившей название EvilVideo. Проблема позволяла злоумышленникам отправлять пользователям вредоносные APK-файлы, замаскированные под видеофайлы. …

Уязвимость в web-браузерах, позволяющая атаковать локальные сервисы через IP 0.0.0.0 Компания Oligo Security опубликовала информацию об уязвимости, затрагивающей Chrome, Firefox и Safari, и позволяющей обойти ограничение доступа к сетевым службам, доступным только на локальной системе, через обращение по IP-адресу 0.0.0.0. Первые пр …

Неисправленная уязвимость в IP-камерах AVTECH используется Mirai-ботнетом Ботнет Corona (вариация Mirai) распространяется через RCE-уязвимость нулевого дня пятилетней давности в IP-камерах AVTECH. Эти устройства давно сняты с производства, поэтому патчей ожидать не стоит. …

Уязвимость в pam_oath, позволяющая получить права root в системе В PAM-модуле pam_oath, входящем в состав пакета oath-toolkit и применяемого при двухфакторной аутентификации с использованием одноразовых паролей (OTP), выявлена уязвимость (CVE-2024-47191), позволяющая непривилегированному пользователю получить roo …

Cisco исправляет критическую уязвимость в точках доступа URWB Компания Cisco устранила критическую уязвимость (10 баллов из 10 возможных по шкале CVSS) в точках доступа Ultra-Reliable Wireless Backhaul (URWB). Проблема позволяла злоумышленникам выполнять команды с привилегиями root на уязвимых устройствах. …

Сомнительная «личка»: В WhatsApp обнаружена новая уязвимость сообщений Эксперты из Израиля показали на скринах как выглядит проблема. WhatsApp доказывает, что служба обмена сообщениями полностью зашифрована, и её невозможно перехватить или взломать. Израильская фирма по кибербезопасности разбила это утверждение. « …

Уязвимость, позволяющая разблокировать, заводить и отслеживать автомобили Subaru В сервисе Subaru STARLINK, позволяющем контролировать состояние автомобиля через мобильное приложение, выявлены проблемы с безопасностью, дающие возможность получить неограниченный доступ ко всем автомобилям и учётным записям клиентов из США, Канады …

Новая уязвимость Windows 10 даёт хакерам полный доступ к ПК Обновление операционной системы сделало всю работу за злоумышленников. Microsoft в последнее время зачастила с «кривыми» обновлениями для Windows, которые постоянно что-то ломают. Но если по большей части компанию это не особенно беспоко …

Уязвимость React2Shell используется для атак на российские компании и применяется вымогателями Ситуация вокруг критической уязвимости React2Shell продолжает развиваться. Так, специалисты уже зафиксировали атаки на российские компании. По информации Google, проблему применяют все больше китайских и иранских группировок, а также React2Shell уже …

Обнаружена 0-day-уязвимость в RasMan. Пока доступен только неофициальный патч В Windows обнаружена новая уязвимость нулевого дня в службе Remote Access Connection Manager (RasMan), которую можно использовать для провоцирования отказа в обслуживании и дальнейших атак с повышением привилегий. Пока разработчики Microsoft еще не …

В системе автообновления драйверов AMD обнаружена опасная уязвимость, но компания её не замечает У службы автоматического обновления драйверов AMD обнаружен механизм загрузки программных компонентов по незащищённому каналу. Проблему выявил начинающий исследователь в области кибербезопасности из Новой Зеландии, который по каким-то причинам време …

Уязвимость в утилите smb4k, позволяющая получить права root в системе В утилите smb4k, применяемой в KDE для обнаружения и монтирования SMB-разделов, выявлены уязвимости, позволяющие получить root-доступ к системе. Проблемы устранены в выпуске Smb4K 4.0.5. Проверить состояние новой версии пакета или подготовки исправл …

Apple патчит уязвимость нулевого дня, используемую в «чрезвычайно сложных» атаках Компания Apple выпустила обновления для iOS, iPadOS, macOS Tahoe, tvOS, watchOS и visionOS. Разработчики исправили уязвимость в dyld, которая использовалась в целевых атаках на конкретных пользователей. Проблему обнаружили специалисты Google Threat …

В Grafana исправили критическую уязвимость, позволявшую выдать себя за администратора Разработчики Grafana Labs предупредили о критической уязвимости CVE-2025-41115 (10 баллов из 10 возможных по шкале CVSS) в Grafana Enterprise. Проблема позволяет выдать нового пользователя за администратора или другую внутреннюю учетную запись. …

Уязвимость в PostgreSQL, позволяющая выполнить SQL-код с правами пользователя, запускающего pg_dump Сформированы корректирующие обновления для всех поддерживаемых веток PostgreSQL 16.4, 15.8, 14.13, 13.16, 12.20, в которых исправлено 56 ошибок, выявленных за последние три месяца. Среди прочего в новых версиях устранена уязвимость (CVE-2024-7348), …

Суперсети беспилотников оказались уязвимы для тайного саботажа: ИИ-уязвимость VillainNet Автономные автомобили всё активнее выходят на дороги, но их безопасность зависит от моделей искусственного интеллекта — суперсетей, способных адаптироваться к миллиардам сценариев. Недавнее исследование Georgia Institute of Technology выявило …

Palo Alto Networks исправила DoS-уязвимость в PAN-OS, и свежий баг уже атакуют хакеры Компания Palo Alto Networks сообщает, что хакеры уже эксплуатируют свежую DoS-уязвимость CVE-2024-3393, чтобы отключать защиту брандмауэров, заставляя их перезагружаться. Многократное использование уязвимости вообще приводит к тому, что устройства п …

Уязвимость в обработчике GitHub Actions, позволявшая скомпрометировать пакеты в Nixpkgs Раскрыты сведения об уязвимостях в обработчиках GitHub Actions, автоматически вызываемых при отправке pull-запросов в репозиторий пакетов Nixpkgs, применяемый в дистрибутиве NixOS и в экосистеме, связанной с пакетным менеджером Nix. Уязвимость позво …

0-day уязвимость в TikTok используется для взлома аккаунтов известных людей и компаний За последние несколько дней злоумышленники взломали ряд известных аккаунтов в TikTok, принадлежащих различным компаниям и знаменитостям (включая Sony, CNN и Пэрис Хилтон). Как выяснилось, хакеры использовали уязвимость нулевого дня в системе отправк …

В Windows 10 найдена серьёзная уязвимость: Апрельское обновление перенесут из-за ошибки Сейчас Microsoft занимается активным исправлением багов в своей ОС. В Windows 10 найдена серьёзная уязвимость, из-за которой якобы перенесут апрельское обновление, сообщают западные СМИ. Ошибки в системе безопасности ОС могут сорвать планы по внедре …

Зависимость от цифровых технологий повысила уязвимость экономик мира к кибератакам Растущая зависимость от цифровых платформ сделала кибербезопасность одним из краеугольных камней мировой экономики. В 2023 году средняя стоимость утечки данных достигла рекордных $4,45 миллиона. Утечки и кибератаки приводят к значительным финансовым …

Уязвимость в Android-прошивке, позволяющая выполнить код через отправку сообщения Исследователи из команды Google Project Zero подробно разобрали технику создания рабочего эксплоита, позволяющего удалённо выполнить свой код с правами ядра Linux, через отправку SMS- или RCS-сообщения со специально оформленным звуковым вложением. А …

Свежая уязвимость в PHP используется для распространения малвари и проведения DDoS-атак Специалисты Akamai предупредили, что множество злоумышленников используют обнаруженную недавно уязвимость в PHP для распространения троянов удаленного доступа, криптовалютных майнеров и организации DDoS-атак. …

Asus патчит уязвимость в AMI MegaRAC, которая позволяет «окирпичивать» серверы Компания Asus выпустила патчи для уязвимости CVE-2024-54085, которая позволяет злоумышленникам захватывать и выводить из строя серверы. Баг затрагивает программное обеспечение MegaRAC Baseboard Management Controller (BMC) компании American Megatrend …

На соревновании Pwn2Own готовы выплатить миллион долларов за уязвимость в WhatsApp Проект Zero Day Initiative (ZDI), предоставляющий денежные вознаграждения за сообщения о неисправленных уязвимостях, анонсировал проведение соревнований Pwn2Own Ireland 2025, которые состоятся в середине октября в Ирландии. Участникам предложено про …

Уязвимость в CUPS оказалась пригодна для усиления трафика при DDoS-атаках Группа, отвечающая за безопасность сети доставки контента Akamai, выявила дополнительный вектор атаки на процесс cups-browsed, помимо его использования в качестве одного из звеньев в эксплоите, приводящем к выполнению кода в системе. Через отправку …

Свежая уязвимость в CUPS может использоваться для усиления DDoS-атак Специалисты Akamai обнаружили, что недавно обнаруженная уязвимость в CUPS (Common Unix Printing System) может использоваться для усиления DDoS-атак примерно в 600 раз. …

Уязвимость в удостоверяющем центре SSL.com, позволявшая получить сертификат для чужого домена В удостоверяющем центре SSL.com выявлена уязвимость в системе проверки владения доменом, позволявшая получить TLS-сертификат для любого домена, предоставившего email атакующему. Для получения TLS-сертификата было достаточно доступа к email с целевым …

Уязвимость в системе инициализации finit, позволяющая войти в систему без пароля В системе инициализации finit выявлена уязвимость (CVE-2025-29906), позволяющая войти в систему под любым пользователем без проверки пароля. Эксплуатация уязвимости осуществляется через манипуляцию с приглашением входа (login) и требует наличия дост …

Уязвимость в LibJS, позволяющая выполнить код при открытии страницы в браузере Ladybird В JavaScript-движке LibJS, применяемом в web-браузере Ladybird, выявлена уязвимость (CVE-2025-47154), позволяющая добиться выполнения своего кода в системе при обработке специально оформленного JavaScript-кода. Уязвимость вызвана освобождением памят …

Уязвимость в библиотеке ruby-saml, приводящая к обходу аутентификации в GitLab Опубликованы корректирующие обновления платформы для организации совместной разработки GitLab - 17.9.2, 17.8.5 и 17.7.7, в которых устранена уязвимость (CVE-2025-25291, CVE-2025-25292), позволяющая обойти аутентификацию на базе SAML (Security Assert …

В браузере Chrome нашли десятую уязвимость нулевого дня в этом году Компания Google сообщила об исправлении десятой 0-day уязвимости в браузере Chrome в 2024 году. Разработчики предупредили, что проблема уже использовалась хакерами. …

Уязвимость в MCP-сервере GitHub, приводящая к утечке информации из приватных репозиториев В GitHub MCP Server, реализации протокола MCP (Model Context Protocol) от GitHub, выявлена уязвимость, позволяющая извлечь данные из приватных репозиториев пользователей, использующих AI-ассистенты для автоматизации работы с репозиториями. …

Удалённая уязвимость в модуле ksmbd ядра Linux, выявленная при помощи AI В модуле ksmbd, предлагающем встроенную в ядро Linux реализацию файлового сервера на базе протокола SMB, выявлена уязвимость (CVE-2025-37899), потенциально позволяющая добиться выполнения своего кода на уровне ядра через отправку специально оформлен …

В процессорах AMD обнаружена критическая уязвимость Sinkclose: миллиарды устройств под угрозой Эксперты по безопасности из компании IOActive, Энрике Ниссим и Кшиштоф Окупски, обнаружили критическую уязвимость в процессорах AMD, которая может позволить хакерам запускать собственный код в одном из самых привилегированных режимов процессора, Sys …

Менталитет: Израиль «нащупал системную уязвимость» в охране руководства Ирана Похоже, Израиль нащупал системную уязвимость в том, как Иран обеспечивает безопасность особо охраняемых лиц, заявил военный эксперт Евгений Крутиков. Иначе, по его словам, сложно объяснить, почему с такой легкостью и регулярностью еврейское государс …

В Windows обнаружена опасная уязвимость нулевого дня, которую закрыл сторонний разработчик Разработчики платформы 0patch (принадлежит словенской Acros Security) выпустили бесплатный микропатч, который устраняет проблему с утечкой учётных данных NTLM в Windows. Microsoft обещала подключиться к решению проблемы позже. …

Серьезная уязвимость в плагине W3 Total Cache угрожает миллиону сайтов на WordPress Уязвимость в плагине W3 Total Cache, который установлен на более чем миллионе сайтов под управлением WordPress, позволяет злоумышленникам получить доступ к различной информации, включая метаданные облачных приложений. …

Уязвимость в Android-прошивке Pixel 9, позволяющая выполнить код через отправку сообщения Исследователи из команды Google Project Zero подробно разобрали технику создания рабочего эксплоита для Android-прошивки смартфонов Pixel 9, позволяющего удалённо выполнить свой код с правами ядра Linux, через отправку SMS- или RCS-сообщения со спец …

Новая уязвимость в телефонах с чипами MediaTek: один такой взломали за 45 секунд Специалисты по кибербезопасности обнаружили серьёзную уязвимость в смартфонах с процессорами MediaTek. По их словам, она позволяет получить доступ к данным пользователя даже без запуска ОС. Проблему нашли исследователи Ledger Donjon. Для демонстраци …

Mozilla закрыла уязвимость Firefox, аналогичную обнаруженной ранее в Google Chrome Mozilla выпустила обновление Firefox, в котором закрыта некая уязвимость, предположительно аналогичная ранее обнаруженной в Google Chrome — она позволяла обходить защиту «песочницы» в браузере. …

Уязвимость в Rust-библиотеках для формата TAR, приводящая к распаковке файлов из вложенного архива В написанной на языке Rust библиотеке async-tar, предоставляющей функции для чтения и записи tar-архивов, выявлена уязвимость (CVE-2025-62518, кодовое имя TARmageddon), позволяющая при распаковке специально оформленного tar-архива не только извлечь …

Хакеры эксплуатируют критическую уязвимость в Zimbra, отправляя письма на SMTP-сервер Исследователи предупреждают, что хакеры уже активно эксплуатируют недавно раскрытую RCE-уязвимость в Zimbra. Проблема осложняется тем, что уязвимость можно использовать при помощи простой отправки на SMTP-сервер специально подготовленных писем. …

Уязвимость в OpenSSH, позволяющая удалённо выполнить код с правами root на серверах с Glibc Компания Qualys выявила критическую уязвимость (CVE-2024-6387) в OpenSSH, позволяющую добиться удалённого выполнения кода с правами root без прохождения аутентификации. Уязвимость, которая получила кодовое имя regreSSHion, проявляется в конфигурации …

Иран доказал уязвимость военной машины США, несущей репутационные потери — эксперт Иран эмпирическим путем доказал уязвимость военной машины США, несущей колоссальные репутационные потери в ходе военного конфликта. Сначала Пентагон потерял четыре батареи THAAD стоимостью три миллиарда долларов каждая… …

В прошивке материнских плат под чипы Intel нашли новую опасную уязвимость Компания Eclypsium, специализирующаяся на решениях в области кибербезопасности, обнаружила уязвимость в Phoenix UEFI — популярной прошивке для материнских плат на чипсетах Intel. В компании рассказали, какое именно железо может попасть «под раздачу» …

Уязвимость GhostWrite, предоставляющая полный доступ к физической памяти на CPU RISC-V XuanTie Исследователи Центра Гельмгольца по информационной безопасности (CISPA) опубликовали результаты исследования защищённости процессоров на базе архитектуры RISC-V и раскрыли сведения об уязвимости, получившей кодовое имя GhostWrite. Уязвимость затраги …

Уязвимость в ядре Linux, позволяющая повысить свои привилегии через VSOCK Продемонстрирована возможность создания рабочего эксплоита для уязвимости CVE-2025-21756, вызванной ошибкой в ядре Linux, приводящей к обращению к памяти после её освобождения. Проблема затрагивает реализацию сокетов с адресацией AF_VSOCK, предназна …

В PHP нашли опасную уязвимость, через которую легко заражать вирусами ПК на Windows XAMPP и другие веб-сервера на PHP оказались под ударом хакеров. На днях специалисты по кибербезопасности сообщили о серьёзной уязвимости в популярном языке программирования PHP, которая позволяет злоумышленникам удаленно выполнять вредоносный код на …

Microsoft наконец закрыла уязвимость Windows, которой хакеры пользовались восемь лет Хакерские группировки активно используют две опасные уязвимости в Windows для проведения крупномасштабной вредоносной кампании. Речь об уязвимости нулевого дня, о которой злоумышленникам известно с 2017 года, а также ещё одной уязвимости, которую Mi …

Уязвимость в ChatGPT Atlas позволяет внедрять вредоносные инструкции в память ИИ-помощника ИБ-исследователи из компании LayerX обнаружили уязвимость в недавно вышедшем браузере ChatGPT Atlas компании OpenAI. Проблема позволяет злоумышленникам внедрять вредоносные инструкции в память ИИ-ассистента и выполнять произвольный код. …

В драйвере Wi-Fi для Windows нашли уязвимость, позволяющую удалённый запуск кода без участия пользователя В реализации Wi-Fi в Windows обнаружена уязвимость с рейтингом опасности 8,8 из 10 (высокая), подтвердила Microsoft. Для эксплуатации уязвимости за номером CVE-2024-30078 потенциальному злоумышленнику не нужен непосредственный доступ к компьютеру же …

Phoenix Rowhammer в DDR5 от SK Hynix: уязвимость позволяет получить root-доступ за 109 секунд DDR5-память SK Hynix широко используется в ПК и серверах, но новые тесты выявили серьёзную проблему. Чипы, выпущенные с 2021 по 2024 год, оказались уязвимы к атаке Phoenix Rowhammer ( CVE-2025-6202 ). Эксплуатация бреши позволяет злоумышленникам пол …

Хакер нашел уязвимость, которая может превратить рабочий стол iPhone в сущий ад Исследователь безопасности iOS рассказал об эксплойте, который позволяет менять иконки приложений на анимированные. Он использует собственные допуски Apple с небольшими изменениями. В iOS довольно давно появилась возможность предлагать пользователю …

Каждое второе мобильное приложение для финансов содержит уязвимость критического или высокого уровня Эксперты компании «Стингрей Технолоджиз» (входит в ГК Swordfish Security) провели исследование защищенности российских... …

Обнаружена уязвимость, которая ставит под угрозу пользователей всех игр на Unity с 2017 года Производитель мультиплатформенного игрового движка Unity предупредил о найденной и уже исправленной крайне опасной уязвимости безопасности, которая скрывалась от разработчика без малого девять лет. …

Уязвимость в Cisco Smart Software Manager позволяет сменить пароль любого пользователя Компания Cisco исправила критическую уязвимость, позволявшую злоумышленникам изменить пароль любого пользователя на уязвимых серверах Cisco Smart Software Manager On-Prem (Cisco SSM On-Prem), включая пароли администраторов. …

Обнаружена 18-летняя уязвимость браузеров Chrome, Firefox и Safari — они некорректно обрабатывают адрес 0.0.0.0 Браузеры Google Chrome, Apple Safari и Mozilla Firefox некорректно обрабатывают обращение к IP-адресу 0.0.0.0, направляя запросы на другие адреса, включая локальный localhost, который часто используется при разработке кода. Этой уязвимостью уже поль …

Более 4000 сайтов Adobe Commerce и Magento взломаны через уязвимость CosmicSting Интернет-магазины на базе Adobe Commerce и Magento подвергаются хакерским атакам из-за проблемы в CosmicSting. Исследователи отмечают, что хакеры уже взломали около 5% от общего числа магазинов. …

В ядре Linux найдена уязвимость, с помощью которой можно захватить систему. Ее уже активно эксплуатируют Агентство кибербезопасности и безопасности инфраструктуры США (CISA) добавило уязвимость ядра Linux в каталог известных эксплуатируемых уязвимостей (KEV), сославшись на доказательства активной эксплуатации. В результате получения root-доступа, у зло …

Уязвимость в сети Apple Find My позволяет хакерам отслеживать ваши Bluetooth-устройства без вашего ведома Исследователи из Университета Джорджа Мейсона (George Mason University) обнаружили уязвимость в сети Apple Find My, которая позволяет хакерам незаметно отслеживать любое Bluetooth-устройство. …

ПК, серверы, игровые приставки на популярных китайских процессорах можно захватить за долю секунды. Закрыть уязвимость невозможно Компьютеры на основе популярных китайских процессоров T-Head XuanTie C910 и C920 можно взять под полный контроль, используя уязвимость, которая была выявлена ИБ-специалистами из немецкой CISPA. Закрыть аппаратную брешь не представляется возможным, а …

Уязвимость в KDE LightDM Greeter, повышающая привилегии с пользователя lightdm до root В LightDM KDE Greeter, развиваемой проектом KDE реализации экрана входа в систему, построенной на фреймворке LightDM, выявлена уязвимость (CVE-2025-62876), позволяющая поднять привилегии с непривилегированного пользователя lightdm, под которым запус …

Восстановлен код UNIXv4, первой ОС с ядром на языке C. Уязвимость в UNIXv4 В конце прошлого года во время уборки в вычислительном центре Университета Юты была обнаружена архивная магнитная лента с кодом операционной системы UNIXv4, которая была разработана в 1973 году для ЭВМ PDP-11/45 и считалась утерянной. UNIXv4 продолж …