Опрос
|
реклама
Быстрый переход
Хакеры взламывали Android-смартфоны через дыры в Chrome и графике Snapdragon
05.11.2026 [15:30],
Павел Котов
Специалисты по кибербезопасности из Sekoia раскрыли кампанию, направленную на пользователей Android-смартфонов и iPhone, в ходе которой злоумышленники использовали взломанные или поддельные сайты. В случае с Android жертве было достаточно просто открыть заражённую страницу в устаревшей версии Chrome. 
Источник изображения: Mohamed Nohassi / unsplash.com Атака на устройства под Android проходила в несколько этапов. Сначала эксплуатировалась уязвимость в Chrome за номером CVE-2026-3910 — она позволяет выполнять внутри браузера произвольный код. Затем подключалась уязвимость CVE-2025-27038 в драйвере графического процессора Qualcomm Adreno, которая позволяет выйти за пределы песочницы в Chrome и открыть более глубокий доступ к системе смартфона. Таким образом, атаке подвергались устройства, работающие на чипах Qualcomm Snapdragon. Атака затрагивала версии Chrome со 139 до 145 (за исключением 143, но причины этого не уточняются). Скомпрометировав устройство, злоумышленники устанавливали на него вредонос AndroSnitch. Он похищает из Chrome файлы cookie, сохранённые учётные данные и историю посещений; кроме того, хакеры перехватывали файл конфигурации Wi-Fi с паролями от сетей, которыми пользовалась жертва. Примечательно, что эксплойт для Android был запрограммирован на прекращение работы при обнаружении смартфона Samsung Galaxy S25 Ultra. Злоумышленники использовали несколько способов доставки вредоносного кода: его внедрение на легитимные сайты, создание поддельных копий существующих ресурсов, а также скомпрометированный сервис веб-аналитики, которым пользовались несколько тысяч сайтов. Размещённый на заражённых страницах скрипт анализировал устройство каждого посетителя, после чего подбирал и запускал соответствующий эксплойт. Кампанию связали с группировкой APT29; среди её целей значились официальные лица, а не рядовые пользователи. Целями были и владельцы iPhone: одна из цепочек эксплойтов позволяла похищать файлы cookie в версиях iOS от 16 до 17.4 — эксплойт DarkSword обеспечивал доступ к сообщениям, фотографиям и паролям на устройствах с iOS 18.5. Использованные в этой кампании уязвимости были устранены ещё до начала атак — важно установить актуальную версию браузера Chrome — новее 145. Рекомендуется также установить последнее обновление безопасности для смартфона — об устранении уязвимости в драйвере Qualcomm Adreno компания Google отчиталась ещё в августе минувшего года. OpenAI годами пренебрегала защитой от шпионажа ради гонки ИИ — теперь её разработки под угрозой
04.11.2026 [10:55],
Павел Котов
Когда в октябре OpenAI сообщила, что в конференц-зале для руководства было обнаружено подслушивающее устройство, многие бывшие сотрудники компании не удивились инциденту. Некоторые из них выражали обеспокоенность по этому поводу ещё до того, как в 2022 году был запущен ChatGPT. Они доносили свои опасения до высшего руководства, но складывалось впечатление, что тому было важнее не отставать от конкурентов в лице Google и Anthropic, чем заниматься вопросами безопасности. 
Источник изображений: Brecht Corbeel / unsplash.com Сотрудники OpenAI указывали, что меры контроля в компании были чрезвычайно слабыми, и посторонние лица, в том числе иностранцы, могли относительно легко получить доступ к конфиденциальной информации о технологиях лаборатории искусственного интеллекта. И только сейчас компания начала менять свою стратегию, чтобы решить проблемы с безопасностью — отвечающий за разработку продуктов Тибо Соттио (Thibault Sottiaux) перевёл часть занимающихся производственными системами инженеров на задачи по совершенствованию инфраструктуры безопасности. С момента запуска ChatGPT в конце 2022 года технологии ИИ стали для США стратегическим активом, и американские компании вынуждены защищать свои разработки от иностранных конкурентов. С другой стороны, введение дополнительных уровней защиты может замедлить прогресс в развитии технологий ИИ и даже осложнить планы OpenAI и Anthropic по выходу на биржу — они могут войти в число самых дорогих компаний в мире. В условиях жёсткой конкуренции лидеры в отрасли ИИ «не могут жертвовать скоростью ради безопасности. Для них важнее двигаться быстро, чем обеспечивать безопасность — даже перед лицом самых серьёзных государственных противников», отметил недавно бывший исследователь OpenAI Уилл ДеПью (Will DePue), который ушёл из компании в апреле. Официальная позиция OpenAI иная. Компания является одной из главных целей для злоумышленников во всем мире, заявила представитель организации Элана Видманн (Elana Widmann). OpenAI вкладывает значительные средства в программу безопасности, направленную на защиту от угроз со стороны инсайдеров, киберпреступников и иностранных государств. Однако 13 октября американский минюст сообщил об аресте гражданина Саудовской Аравии, которому предъявили обвинение в установке скрытого записывающего устройства — оно было спрятано в рулоне бумажных полотенец в конференц-зале для руководства. На тот момент 35-летний Абдулрахман Альфозан (Abdulrahman Alfozan) работал инженером в OpenAI. По версии следствия, он при помощи внутренней ИИ-системы для сотрудников компании пытался найти информацию о визитах руководства в Саудовскую Аравию и установить, кто из представителей OpenAI, вероятно, будет встречаться с саудовскими министрами. Альфозан поддерживал регулярные контакты с членом королевской семьи Саудовской Аравии.  Любой имеющий доступ к исходному коду сотрудник OpenAI мог ознакомиться с подробностями множества проектов компании, в том числе конфиденциальных, которые не имели отношения к его должностным обязанностям. Значительная часть кода OpenAI хранится в едином репозитории. Этот монорепозиторий настолько объёмный и сложный, что в прошлом это, возможно, отпугивало некоторых злоумышленников, но сейчас такой массив данных под силу проанализировать ИИ-агентам. Часть своей исследовательской документации компания также хранила на платформах GitHub и Slack, где злоумышленники могли обнаружить критически важную информацию — впоследствии доступ к конфиденциальным рабочим материалам был ограничен. Значительная часть наиболее конфиденциальных разработок компании сейчас хранится в отдельных репозиториях кода со строгим контролем доступа, подчеркнули в OpenAI. В основном монорепозитории содержится далеко не весь код — там, в частности, отсутствуют веса ИИ-моделей. В OpenAI не проводились регулярные проверки безопасности внутренних инструментов, в том числе песочниц, которые используются при стресс-тестах новых моделей. Сотрудники часто модифицировали их для решения своих задач, но такие изменения не всегда проходили проверку на уязвимости, и возрастал риск атаки извне. В октябре 2024 года в должность директора по информационной безопасности вступил Дейн Стаки (Dane Stuckey), и теперь проверки безопасности внутренних инструментов проводятся регулярно, утверждают в OpenAI. При этом и OpenAI, и Anthropic стремятся поддерживать открытую исследовательскую культуру, которая помогает привлекать специалистов и стимулировать творческий подход, способный привести к прорывным открытиям. Отрасль ИИ исторически тесно связана с академической средой, где занимающиеся машинным обучением исследователи привыкли открыто обсуждать свои проекты. Некоторые сотрудники OpenAI всё больше обеспокоены таким подходом по мере расширения возможностей систем ИИ. Ещё в 2023 году работавший тогда исследователем в компании Леопольд Ашенбреннер (Leopold Aschenbrenner) указал, что Китай может проникнуть в системы OpenAI и получить доступ к её технологиям — соответствующую внутреннюю записку он передал некоторым членам совета директоров после того, как сторонний злоумышленник действительно взломал системы компании и похитил сведения о модели GPT-4. Тогда в OpenAI пояснили, что он получил доступ лишь к открытым для всех сотрудников компании каналам в мессенджере Slack. А в июле трое сотрудников стартапа Hacktron AI при помощи моделей Anthropic взломали принадлежащие сотрудникам OpenAI учётные записи ChatGPT. Это помогло им получить доступ к единому репозиторию кода компании. Она поблагодарила исследователей за предоставленную информацию и приняла меры, чтобы сократить угрозу таких атак в будущем. Google накрыла ботнет из миллионов ТВ-приставок — заражённые с завода устройства продаются и в России
03.11.2026 [10:16],
Павел Котов
Google при поддержке партнёров ликвидировала ботнет XCPE, в который входили более 1,3 млн телеприставок под управлением Android. Их производитель, по версии Google, намеренно внедрял в устройства вредоносное ПО с целью получения дохода от киберпреступной деятельности. 
Источник изображения: Glenn Carstens-Peters / unsplash.com Поисковый гигант с высокой степенью вероятности связывает ботнет XCPE с китайским производителем электроники Videostrong Technology. Компания обвиняет его в преднамеренной установке бэкдора, то есть скрытого канала доступа, в выпускаемые устройства и последующей продаже доступа к ним злоумышленникам. Скомпрометированные устройства использовались для рекламного мошенничества, служили в качестве узлов прокси-сетей, на них также устанавливалось дополнительное вредоносное ПО. Устройства компрометировались с помощью других вредоносов, не связанных напрямую с XCPE — в их число входят телеприставки, системы караоке и оборудование для телемедицины. Не все эти устройства работают под управлением Android. Google разорвала отношения с Videostrong, отозвала у компании лицензию на производство устройств под управлением Android TV с предустановленными приложениями и сервисами Google, а также запретила компании и её аффилированным структурам выпускать сертифицированные Android-устройства или поставлять ПО для сертифицированных производителей. В операции по нейтрализации ботнета, помимо Google, участвовали Национальное полицейское агентство Японии, а также специализирующиеся на кибербезопасности компании Lumen, Human Security, Plume, Synthient и TrendAI — совместными усилиями они проанализировали вредоносную инфраструктуру и пресекли её работу. Ботнет XCPE проникал на устройства не через уязвимости в ПО, а внедрялся в прошивку устройств ещё на этапе производства. На протяжении нескольких лет, утверждает Google, компания Videostrong распространяла это вредоносное ПО, внедряя его в устройства различных брендов и моделей. Функциональность вредоносного кода постоянно совершенствовалась, чтобы избежать обнаружения и удовлетворять запросы различных преступных группировок. Основной компонент бэкдора работает с системными привилегиями Android. Отметим, что проблема затронула и российских пользователей — Google отметила Россию как страну, в которой присутствуют заражённые устройства. Заметим, что устройства Videostrong продаются в России на популярных торговых площадках, причём не только с доставкой из Китая — их реализуют и местные продавцы. Вредонос имеет модульную архитектуру — функции бэкдора отделены от модулей, предназначенных для получения дохода в интересах партнёров. После запуска заражённого устройства компонент XCPE связывался с командным сервером, чтобы получить данные для подключения и учётные данные для брокера сообщений MQTT, который использовался для получения команд. Через это соединение операторы удалённо управляли скомпрометированными устройствами и выполняли вредоносные действия, в том числе:
 Устройства использовались для извлечения прибыли путём установки вредоносных модулей, принадлежащих другим операторам. Бэкдор выполнял роль платформы для киберпреступной деятельности сторонних злоумышленников. Некоторые из этих модулей были связаны с сервисами резидентных прокси Linkfog, AppSalt/Honeygain, GaGaNode, NetNut и Traffmonetizer — они использовались для перенаправления интернет-трафика третьих лиц через заражённые устройства баз ведома и согласия их владельцев. Другие модули использовались в мошеннических схемах с рекламой — они генерировали показы, загружали скрытые веб-страницы и имитировали клики по рекламным объявлениям. Загружались и дополнительные бэкдоры, такие как Moyu, Spirit и Bird, для загрузки и запуска дорогих вредоносов. Чтобы избежать обнаружения, операторы ботнета постоянно меняли архитектуру вредоносной программы. В конце 2024 года Videostrong стала использовать отдельный загрузчик для запуска вредоносных модулей, а XCPE отвечал за взаимодействие с управляющей инфраструктурой. В августе загрузчик заменили более компактными специализированными дропперами, которые маскировались под системные приложения Android. Synthient рассказала, как ей удалось связать бэкдор XCPE и его инфраструктуру с компанией Videostrong — это случилось, когда на приобретённой в конце 2025 году приставке Mecool KM9PRO Max под Android TV обнаружилось вредоносное ПО. Специалисты компании обнаружили общедоступный каталог с бэкдорами; там же хранилась папка с файлом PDF, автором которого значился директор по исследованиям и разработке Videostrong Оуэн Цао (Owen Cao). Домен производителя оказался привязан к тому же IP-адресу, что и сервер управления бэкдором. Для цифровой подписи различных бэкдоров использовались принадлежащие Videostrong адреса электронной почты. Всё это, говорят в Google, указывает на намеренный характер действий производителя. В Google изменили процесс сертификации устройств после того, как выяснилось, что Videostrong применяла методы обфускации, чтобы обходить проверки безопасности и загружать вредоносный код после первого же включения устройства. Google сумела нарушить работу XCPE, но вредонос с заражённых устройств не удалился — при попытке его уничтожить он автоматически восстанавливается из раздела /oem/. Для полного устранения угрозы пользователям требуется либо установить не заражённую прошивку, либо отключить скомпрометированное устройство от интернета, чтобы предотвратить вредоносную активность. Вирус с ИИ охотится за богатыми пользователями Windows — он оценивает, сколько можно выжать с каждой жертвы
02.11.2026 [15:03],
Владимир Мироненко
Новая вредоносная программа для Windows под названием VOLTA-AUTODOXER после сбора на заражённом компьютере всех доступных данных обращается к ИИ-модели (по умолчанию — Claude от компании Anthropic) для оценки потенциальной выгоды от атаки на эту жертву, чтобы в итоге выбрать наиболее перспективную цель. 
Источник изображения: Kevin Ku/unsplash.com Как сообщает исследовательская группа Cisco Talos, VOLTA использует промпт, предписывающий ИИ действовать как «аналитик разведданных» и быть «прямым, конкретным и точным». В нём также содержится требование предоставить краткую оценку того, насколько жертва подходит в качестве цели (с приведением обоснований), а также провести анализ уровня её защищенности (opsec), включая проверку качества используемых паролей. Если используемая по умолчанию Claude Opus 4.6 отказывается выполнять запрос, программа-вредонос может переключиться на другую — сначала на Kimi K2 от Moonshot AI, а затем на Gemini 2.5 Flash от Google — или вовсе исключить этап использования ИИ и отправить досье через Telegram, но без данных, сгенерированных ИИ. На этапе сбора информации VOLTA крадёт пароли из браузеров, файлы cookie, сохранённые данные банковских карт, профили электронной почты (Thunderbird, Outlook), аккаунты Roblox, токены Microsoft OAuth, скриншоты, а также конфигурационные файлы SSH и облачных сервисов, дополняя их сведениями, извлечёнными в Gmail, например, использует квитанции от таких сервисов, как Amazon, DoorDash, Uber Eats, Grubhub, Walmart и PayPal, чтобы подтвердить домашний адрес. Программа также извлекает историю заказов из Uber Eats и DoorDash, использует украденный токен Discord для заполнения профиля жертвы, а также оценивает стоимость внутриигровых предметов Roblox с помощью ресурса Rolimons. Если в процессе сбора VOLTA обнаруживает криптокошелёк, то не просто копирует его, а пытается взломать хранилища прямо в процессе работы. Собранные данные программа аккумулирует в «пакете данных» о жертве, включающем геолокацию и домашний адрес, место работы (включая домен компании), предполагаемый год рождения, метаданные авторства документов, а также последние четыре цифры банковских карт. Судя по всему, VOLTA предназначена для работы на поток в качестве сервиса для хакеров. Злоумышленник может заранее задать в ней исходные данные — Telegram‑канал, API‑ключи и другие параметры, и система сгенерирует под него отдельный исполняемый файл. Благодаря этому покупатели получают готовые отчёты о «перспективности» жертв прямо в мессенджере, не управляя собственной инфраструктурой. При этом VOLTA может обходить современные механизмы защиты — например, App‑Bound Encryption в Chrome — за счёт запуска браузера в headless‑режиме, то есть без графического интерфейса. С помощью политики контроля приложений, ограничивающей список процессов, которым разрешён запуск Chrome в таком режиме, можно заблокировать механизм расшифровки ABE. Однако это не предотвращает другие виды кражи данных, и не блокирует возможность использования в схеме ИИ или передачу похищенной информации злоумышленникам. После завершения сбора данных основной исполняемый файл вредоноса может самоудалиться, но на устройстве жертвы останется файл volta_debug.txt, который содержит сведения о том, какие данные были собраны и успешно ли прошел вызов LLM. Поэтому пострадавшему в любом случае следует отозвать или обновить все API-ключи и токены, а также сменить пароли. Одно SMS — и смартфон не работает: в Android нашли опасную уязвимость, и в старых версиях её не исправили
01.11.2026 [12:30],
Владимир Мироненко
Новый эксплойт SMS of Death («СМС смерти») для Android потенциально позволяет злоумышленнику удалённо нарушить работу смартфона и даже полностью вывести его из строя с помощью одного специально сформированного SMS. Атака относится к классу zero click, то есть заражение происходит после поступления сообщения, даже если пользователь не открыл его. В зоне риска — смартфоны под управлением старых версий Android — 12 и 13. 
Источник изображения: Julio Lopez/unsplash.com Подробности об уязвимости CVE‑2026‑58882, получившей неофициальное название SMS of Death сообщил исследователь безопасности Марк Блах (Mark Blah). Это уязвимость типа «отказ в обслуживании» (DoS), которая не требует никаких действий со стороны пользователя — достаточно самого факта поступления сообщения на смартфон. Android обрабатывает его ещё до того, как оно попадет в папку «Входящие», поэтому сразу сложно определить, что именно стало причиной сбоя. По словам исследователя, Google устранила эту уязвимость в октябрьских обновлениях безопасности Android 2026 года (для версий с 14-й по 17-ю), а устройства под управлением более старых версий — Android 12 и 13 — остаются уязвимыми. Уязвимость связана с некорректной проверкой значения длины заголовка в функции WapPushOverSms.decodeWapPdu операционной системы Android. При преобразовании данных в специально сформированном восьмибайтовом WAP Push-сообщении в 32 битное целое число со знаком (без проверки границ диапазона) система получает отрицательное значение, которое вызывает критическое исключение NegativeArraySizeException. В результате аварийно завершается процесс com.android.phone, отвечающий за сотовую связь. Как следствие, прерываются текущие звонки (включая вызовы в экстренные службы). Исследователь отметил, что атака может приводить к повторным сбоям: например, когда оператор связи пытается повторно доставить вредоносное сообщение или когда Android пытается обработать сообщения, уже сохраненные в памяти устройства. Их можно удалить вручную через Android Debug Bridge (ADB), но это доступно технически подкованным пользователям. Блах опубликовал концепт эксплойта (proof-of-concept), позволяющий отправлять такие вредоносные сообщения с другого устройства на базе Android. В связи с этим пользователям Android-устройств рекомендуется установить последние обновления безопасности. Миллиарды попыток взлома домашних сетей: телевизоры, розетки и NAS стали главными мишенями хакеров
30.10.2026 [11:00],
Павел Котов
Специализирующаяся на вопросах кибербезопасности компания Bitdefender и производитель сетевого оборудования Netgear представили результаты совместного исследования, в котором рассматривается эволюция угроз в сегменте интернета вещей (IoT). Относящиеся к этой категории устройства, говорится в докладе, повысили уязвимость пользователей перед автоматизированными кибератаками и масштабными вредоносными кампаниями. 
Источник изображений: netgear.com В основу исследования легли телеметрические данные, собранные в период с января по сентябрь 2026 года в 10,4 млн «умных» домов по всему миру. Специалисты Bitdefender проанализировали 5,4 млрд связанных с безопасностью событий и 1,2 млрд случаев обнаружения уязвимостей. В рамках исследования установлены 4,85 млрд попыток входа на домашние маршрутизаторы — по две попытки в день в среднем на каждый; зафиксированы 466,6 млн попыток подбора паролей. В работе также рассматриваются наиболее значимые инциденты, в том числе ликвидация четырёх IoT-ботнетов минюстом США и обнаружение в приложениях для смарт-телевизоров ПО, превращающего их в прокси-серверы. В современных реалиях одно устройство может стать объектом для четырёх сценариев: прямая атака, превращение в прокси-сервер, датчик для сбора информации и точку проникновения в сети. Среди всех категорий устройств первое место заняли умные телевизоры, в которых могут сочетаться все четыре роли — для них было зафиксировано 270,3 млн случаев наличия уязвимостей. Число подключённых к интернету устройств растёт, а разведка становится основным типом атак — на одно домохозяйство в среднем приходятся 24 подключённых устройства; в прошлом году их было 22. На долю разведывательных действий приходятся 90,1 % всех зафиксированных атак: автоматизированные системы сканирования обнаруживают слабо защищённые сети и устройства, чтобы использовать их для более масштабных атак или включения в состав ботнетов.  Наиболее уязвимы телевизоры (22,7 %), умные розетки (22,4 %) и сетевые хранилища (22 %) — они составляют 67,1 % выявленных уязвимостей. В прошлом году в лидерах были стриминговые устройства (25,9 %) и смарт-телевизоры (21,3 %) — актуальные данные указывают, что наибольшему риску подвержено оборудование с длительным сроком службы, потому что его редко меняют, и оно зачастую остаётся подключённым к сети даже после прекращения выпуска обновлений и поддержки. Почти все выявленные на устройствах уязвимости общеизвестны: в 99,7 % случаев соответствующие записи имеются в реестре; слабые пароли и передача учётных данных составляют лишь доли процента. Самые распространённые подключённые устройства — смартфоны и телевизоры. На смартфоны приходятся 20,4 % устройств, выявленных в домашних сетях, далее следуют телевизоры (10,6 %), компьютеры (10,0 %), сетевое оборудование (6,2 %) и стриминговые устройства (7,3 % в 2025 и 5,4 % в 2026 году). В список также попали планшеты (4,8 %) и IP-камеры (4,1 %). Чаще всего атаки вызывают ошибки памяти и сбои в работе. На долю ошибок переполнения приходятся около 54 % инцидентов, за ними следуют отказы в обслуживании (около 18 %) и повреждения памяти (около 17 %). Наиболее опасные последствия, позволяющие злоумышленникам получать контроль над оборудованием, встречаются гораздо реже: повышение привилегий (5,3 %), выполнение произвольного кода (3,8 %) и получение доступа к информации (1,2 %) — в совокупности около 10,3 %. Обнаружена критическая уязвимость в UEFI миллионов компьютеров и серверов
29.10.2026 [13:05],
Павел Котов
В прошивках UEFI, используемых в миллионах компьютеров и серверов по всему миру, обнаружили критическую уязвимость с оценкой опасности 9,5 из 10. Она может позволить злоумышленникам выполнить вредоносный код на самом раннем этапе запуска системы — ещё до срабатывания механизмов защиты. Проблема затрагивает широко используемую основу прошивок UEFI, поэтому под угрозой могут оказаться системы самых разных производителей. 
Источник изображений: Xavier Cee / unsplash.com Проблема выявлена в TianoCore EDK II — на основе этого открытого программного продукта многие производители создают прошивки UEFI. В частности, этот код используется поставщиками прошивок AMI, Insyde и Phoenix. Уязвимый код присутствует и в Project Mu — доработанном Microsoft варианте EDK II с упором на безопасность. Вероятный круг уязвимых систем достаточно широк. О проблеме сообщили Алекс Матросов (Alex Matrosov) из Anthropic и Дэн Холмс-Митра (Dan Holmes-Mitra) из Google. Первоначально эксперты договорились не раскрывать подробности проблемы до января 2027 года. Но в сентябре AMI опубликовала изменение кода, в котором описала проблему и предложила её исправление. После этого публичное предупреждение опубликовал проект TianoCore. Преждевременное раскрытие информации опасно тем, что код исправления уже доступен — проанализировав его, злоумышленники могут вскрыть суть проблемы и найти способ эксплуатировать уязвимость. Обновление прошивок — сложная задача: исправления должны разработать и установить производители оборудования и облачные провайдеры, а под угрозой миллионы систем. Уязвимость представляет собой ошибку переполнения буфера, при которой ПО записывает данные за пределами выделенной памяти. Она находится в компоненте PXE-Base Code, который обеспечивает сетевую загрузку систем. При сетевой загрузке компонент принимает сообщения об ошибках сетевого протокола ICMP — для них выделяется область размером 504 байта, но длина поступающих данных должным образом не проверяется. Если сообщение превышает этот предел, его фрагмент может записаться в соседние участки памяти.  Чтобы произвести атаку, злоумышленнику требуется отправить на адрес целевого устройства специально сформированное сетевое сообщение, когда это устройство загружается по сети. Это может вызвать сбой при загрузке или, если злоумышленник знает особенности конкретной версии прошивки, выполнить собственный код с максимальными привилегиями процессора. В ходе такой атаки можно нарушить цепочку доверенной загрузки, то есть обойти механизм защиты, призванный гарантировать исполнение только проверенного кода при загрузке. В частности, может открыться доступ к модулю TPM или возможность обойти защиту зашифрованного диска. Запущенный таким образом вредоносный код после перезагрузки не сохраняется, но он позволяет устанавливать другие вредоносные компоненты. Уязвимость может надолго остаться в старых системах, которые больше не получают обновлений. Развернуть атаку с использованием этой уязвимости непросто. Требуется определённый доступ к локальной сети, например, скомпрометированная учётная запись или обеспеченное ранее присутствие внутри организации. Свидетельств того, что CVE-2026-97631 сама по себе позволяет проникнуть в сеть, обнаружить пока не удалось. Уязвимость не относится к системам, которые загружаются с внутренних накопителей — под угрозой прежде всего машины с сетевой нагрузкой и в первую очередь с прошивками на основе EDK II с поддержкой PXE. Intel заверила, что среди её коммерческих решений, которые продолжают получать обновления безопасности, продуктов под угрозой пока не выявлено. Компания не включает уязвимый компонент EDK II в собственный эталонный код, но его могут добавлять производители материнских плат или готовых компьютеров. Arm подчеркнула, что проблема не имеет прямого отношения к её продукции. Организациям, в которых может использоваться сетевая загрузка, рекомендовано обратиться к поставщику прошивки, уточнить, затронуто ли их оборудование, и когда выйдет исправление. По возможности рекомендовано временно отключить загрузку по сети. Важно также включать TPM и Secure Boot, но сами они от данной уязвимости защитить не могут. ИИ может взломать то, что десятилетиями защищало банковские счета и данные, предупредили математики
28.10.2026 [14:00],
Алексей Разин
Взломы с использованием квантовых компьютеров перестают быть главной потенциальной проблемой для специалистов по криптографической защите данных. Успехи ИИ-моделей, работающих на классической вычислительной архитектуре, заставляют видеть в этом прогрессе сопутствующую угрозу. 
Источник изображения: Unsplash, Vitaly Gariev Криптографическая защита традиционно строилась на математических алгоритмах, и до недавних пор основной угрозой для их надёжности считалось появление квантовых компьютеров. При этом работающие на вычислительной инфраструктуре классического типа ИИ-модели в решении сложных математических задач в последнее время продвинулись так далеко, что этот фактор начал беспокоить специалистов по криптографической защите данных в не меньшей степени. Как отмечает Financial Times, соответствующую обеспокоенность породил прогресс ИИ-моделей OpenAI в решении математических задач, которые учёным не поддавались на протяжении длительного времени. Эти успехи даже вызвали недовольство профильной ассоциации, которая призвала математиков прекратить сотрудничество с OpenAI. Последняя пожертвовала $5 млн на нужды специализированного фонда, чтобы загладить конфликт. Криптографические методы защиты используются, помимо прочего, для предотвращения несанкционированного доступа к банковским счетам и базам данных различного назначения. Как поясняет австралийский математик Джорди Уильямсон (Geordie Williamson), в этих ИИ-системах происходит полная реструктуризация понятия сложности, которое и лежит в основе современной криптографии. «Я думаю, что в будущем нас ждут потрясения, очень серьёзные потрясения», — добавил он. На данный момент ИИ не удалось взломать основной метод криптографии, но математики предупреждают, что такая вероятность увеличивается. Повышение быстродействия ИИ в области разработки алгоритмов и теории чисел, которые имеют отношение к целым числам, заметно повысило способность решать его силами те задачи, которые прежде считались слишком сложными. Один из широко используемых в криптографии методов, например, основан на перемножении двух очень больших простых чисел. До сих пор этот метод защиты оставался эффективным, поскольку существующим компьютерам легко давалось умножение, но сложнее было осуществить обратный процесс, связанный с определением исходных чисел. Достижения ИИ в области решения математических задач в целом поставили под сомнение прежнее предположение, согласно которому самой серьёзной угрозой для криптографии считалось появление квантовых компьютеров, которые используют физику субатомных частиц для достижения результатов, которые не по зубам компьютерам с классической архитектурой. Если в случае со сроками создания достаточно мощного квантового компьютера принято говорить о перспективе многих лет, то ИИ на классических вычислительных мощностях представляет гораздо более осязаемую угрозу для криптографии. Управление по финансовому регулированию и надзору Великобритании заявило Financial Times, что тестирует новый надзорный инструмент в 50 крупных организациях для оценки степени их готовности к отражению новых технологических угроз в сфере криптографии, относящихся не только к ИИ, но и квантовым вычислениям. Уже в следующем месяце британский регулятор собирается поделиться практическими рекомендациями в этой области с более чем 35 тысячами компаниями, оказывающими в юрисдикции страны финансовые услуги. «Они должны понимать, как сегодня защищены их системы, и уже сейчас начать готовиться к будущему, в котором будет обеспечена квантовая безопасность», — говорится в сообщении. Профессор криптоматематики Манчестерского университета Дэниэл Шиу (Daniel Shiu) считает, что для «более математических» форм криптографии угроза взлома со стороны ИИ уже вполне осязаема. По его словам, уязвимости обнаруживаются в менее зрелых алгоритмах из числа новых, разработанных для защиты от атак, реализуемых при помощи квантовых компьютеров. Власти нескольких стран, включая США, Китай и Германию, уже начали пересматривать существующие и предлагаемые криптографические методы на предмет устойчивости ко взлому с учётом новых типов угроз. Телекоммуникационный гигант BT заявил о начале подготовки к миграции на новые методы криптографии, которые учитывали бы будущие угрозы со стороны квантовых компьютеров. Компания сосредоточилась на обеспечении более быстрого изменения криптографических методов по мере развития стандартов, технологий и самих угроз. Вредоносный ИИ-агент Skynet захватывает других агентов и заставляет жертв оплачивать свою работу
27.10.2026 [11:51],
Павел Котов
Эксперты в области кибербезопасности Symantec обнаружили агрессивного агента искусственного интеллекта, который осуществляет атаки на уязвимую ИИ-инфраструктуру. Исследователи получили возможность изучить вредоносную кампанию изнутри — она производится за счёт собственных средств жертв. 
Источник изображения: Mohamed Nohassi / unsplash.com Специалисты компании Symantec разместили в глобальной сети ресурс-приманку, предназначенный для изучения механизмов атак на ИИ-инфраструктуру. Одну из атак на него произвёл ИИ-агент, которому присвоили название Skynet. Его задача — поиск других доступных ИИ-агентов и их включение в состав ботнета, который занимается кражей баз данных и учётных сведений, а также развёртыванием майнеров криптовалюты. Набор инструкций ИИ-агента включает более 70 инструментов для проведения атак; он может действовать автономно, то есть без участия человека, на протяжении до 100 000 шагов. Создатели вредоносного ИИ-агента разработали многоуровневый механизм «джейлбрейка», то есть обхода ограничений — он обходит встроенные в ИИ системы безопасности и заставляет модель воспринимать кражу учётных данных как обычную рабочую задачу. Инструментарий ИИ-агента предназначается для автоматизации разведки и эксплуатации в таких продуктах как VS Code, Django, Jupyter, Laravel, Supabase, Next.js и Flask/Werkzeug. В некоторых случаях используются уязвимости, связанные с подделкой запроса на стороне сервера для извлечения содержимого баз данных и кражи учётной информации; обнаружены также средства для управления ботнетом и доступа к службам метаданных в облачных окружениях. 
Источник изображения: Roman Budnikov / unsplash.com Обнаружив доступную ИИ-модель, Skynet при помощи джейлбрейка подчиняет её себе, заставляет считать кражу учётных данных стандартной задачей разработки и игнорировать предупреждения системы безопасности. В некоторых инструкциях легитимными задачами в области программирования становятся чтение API-ключей, схем баз данных и переменных окружения. Основной целью кампании является установка на уязвимые системы криптомайнера XMRig; при этом все расходы на вычислительные ресурсы ложатся на плечи жертв. За период анализа в Symantec зафиксировали более 127 000 внешних запросов к ресурсу-приманке с нескольких десятков тысяч уникальных IP-адресов. Сколько злоумышленников или группировок за ними стояли, в докладе не уточняется. Кампания продолжается — злоумышленники по-прежнему производят поиск уязвимых ИИ-систем. Чтобы защититься от атак, пользователям ИИ-сервисов, шлюзов моделей и MCP-серверов рекомендовали исходить из того, что эти ресурсы будут обнаруживаться и изучаться злоумышленниками. «Относитесь к API-ключам для ИИ как к критически важным учётным данным, <..> ограничивайте исходящий сетевой доступ для систем с ИИ-инструментами, <..> запускайте способных работать с инструментами агентов с минимальными привилегиями и требуйте, чтобы все важные операции одобрял человек», — предупредили эксперты. Claude нашёл почти 500 дыр в популярном ПО — одной из них оказался 21 год
23.10.2026 [15:00],
Павел Котов
Инженеры Anthropic изучили с помощью модели искусственного интеллекта Claude 25 крупных проектов с открытым исходным кодом, написанных на языках C, C++, Java, PHP и Python, на предмет проблем в области безопасности. Были обнаружены почти 500 угроз, в том числе отключённые механизмы защиты из-за конфликтов в настройках, доступ к критически важным фрагментам кода до аутентификации и даже уязвимость, которой уже 21 год. 
Источник изображения: Mohammad Rahmani / unsplash.com На этот раз в Anthropic решили не ограничиваться стандартным поиском уязвимостей — выявление их по отдельности в рамках данного исследования охарактеризовали как «сизифов труд», потому что такой подход плохо масштабируется и не даёт гарантий безопасности. Эксперты сделали акцент на сокращении поверхности атаки в ПО и ограничении ненужного доступа к коду, который могли использовать злоумышленники. В 25 изученных проектах содержались более 5 млн строк кода. Claude составил список из более чем 17 000 параметров конфигурации, 3842 из которых относятся к механизмам и функциям, влияющим на безопасность. Исследование затронуло три сценария, при которых доступ к некоторым фрагментам кода оказывается неоправданным: наличие функций, которые включены по умолчанию, но не требуются для работы; сочетания настроек, которые вместе ослабляют защиту; а также наличие излишне сложных и критически важных фрагментов кода, которые выполняются до проведения проверок безопасности. Все 11 проектов, предназначенных для работы с авторизованными пользователями, содержали код, доступ к которому был возможен, когда этого быть не должно. Выявлены 93 поверхности атаки, доступные до аутентификации в конфигурациях по умолчанию; 37 случаев выполнения кода до прохождения аутентификации; а также 61 комбинация настроек, которая приводила к ослаблению механизмов защиты, действующих до аутентификации. 
Источник изображения: Fotis Fotopoulos / unsplash.com Во всех 25 проектах были обнаружены 162 комбинации настроек, для которых в документации не было описано ожидаемое поведение. В ряде случаев это приводило к отключению средств защиты, в других — к различным несоответствиям и ошибкам. Один из изъянов в конфигурации оставался незамеченным более двух десятилетий. Одна настройка требовала от пользователей подтверждения личности с помощью сертификатов, а другая полностью отключала эту проверку, хотя должна была лишь временно её отложить. В качестве примера приводится OpenSSH — программа безопасного удалённого доступа содержала компонент (демон), который мог обращаться к 4500 строкам экспериментального кода — реализации постквантового алгоритма цифровой подписи — до проверки того, разрешена ли такая операция конфигурацией сервера. Сам алгоритм был по умолчанию отключён, но код, предназначенный для обработки его данных, был доступен неавторизованным клиентам. После сообщения от Anthropic разработчики OpenSSH устранили уязвимость в версии 10.6 — около 20 % кода стали недоступны для неавторизованных пользователей. Сформированные в ходе исследования методы инженеры Anthropic объединили в специализированный инструмент для Claude. Вскоре его интегрируют в OSS-Scanner — бесплатный сервис для проверки безопасности проектов с открытым исходным кодом. Новый инструмент анализирует конфигурации по умолчанию, доступные для проверок безопасности фрагменты кода и противоречащие друг другу настройки. Система будет проверять выявленные уязвимости через динамическое отслеживание выполнения программы, сопоставляя их с текущим поведением системы — об изменениях, которые могут нарушить работу ПО, сообщат разработчикам. «Чёрный октябрь» для интернета: ИИ находит дыры в защите быстрее, чем их успевают латать
23.10.2026 [14:46],
Павел Котов
За последние несколько дней обнаружены уязвимости ряда крупнейших систем и сервисов, обеспечивающих работу значительной части интернета. В обозримом будущем может произойти некий инцидент радикально иного масштаба, предупреждают эксперты в области кибербезопасности, но к чему именно готовиться, их версии расходятся. 
Источник изображения: Growtika / unsplash.com Последние дни действительно выдались «урожайными» в плане обнаружения крупных уязвимостей. Инциденты затронули индийский удостоверяющий центр eMudhra, средства Node.js, платформу для разработчиков GitLab, ПО для медиасерверов Plex, облачного провайдера Railway и платформу ИИ-агентов для написания кода OpenCode. Больше всех внимание привлекла пара уязвимостей PHP2Shell в языке PHP, лежащей в основе современного (и не очень) интернета — их с помощью искусственного интеллекта обнаружили эксперты Wiz, Calif и OpenAI. Организация PHP Foundation раскрыла информацию об уязвимостях и объявила о выходе устраняющих их обновлений, но избежать атак не удалось, потому что установка этих обновлений — задача не всегда простая, и решить её быстро удаётся не во всех случаях. Атаки начались, обратили внимание в Cloudflare, за десять часов до того, как сведения были обнародованы. «Через 45 минут после объявления их число возросло до десятков тысяч, в течение двух часов — до сотен тысяч, а сейчас речь идёт уже о миллионах», — сообщили в компании. События развиваются стремительно, и даже опытные эксперты не в силах в полной мере осознать происходящее, предугадать дальнейшее развитие событий или понять, к чему всё это приведёт. Очевидно, что ИИ в корне преобразил сферу кибератак и область защиты от них. Причина в том, что значительная часть ПО, на котором работает интернет и потребительские устройства, уязвима, устарела или содержит изъяны, которые люди предпочитали не замечать. Это не значит, что все выявленные ИИ уязвимости были очевидными или тривиальными, но он позволяет находить их гораздо быстрее, чем человек. ИИ сделал метод перебора (brute force) в масштабах интернета очень простой задачей. Приходит понимание, что некоторые «замки» не только легко вскрыть — порой «двери» распахнуты настежь, а в «стене» зияет огромная дыра. Для проведения атаки с помощью ИИ зачастую не требуется практически никаких специальных знаний. Задачу упрощают открытые модели, прошедшие процесс аблитерации — снятия защитных барьеров, не позволявших им отвечать на неэтичные вопросы или выполнять недопустимые действия. ИИ помогает найти уязвимости, но столь же эффективен он и как оружие в руках злоумышленников. 
Источник изображения: Ben Griffiths / unsplash.com В области кибербезопасности традиционно приемлемым был сценарий, при котором некий исследователь обнаруживает уязвимость, этично сообщает о ней ответственной за продукт компании, а та её устраняет. С развитием ИИ сроки на реализацию этого сценария значительно сокращаются: разработчики, возможно, стали выпускать обновления безопасности быстрее, но едва ли эти обновления устанавливаются чаще, чем раньше. ИИ сделал ситуацию непредсказуемой: специализирующаяся на кибербезопасности компания Chainguard опубликовала обновления PHP за несколько часов до официального анонса — их анализ мог дать хакерам фору. В компании ответили, что нашли эти же уязвимости самостоятельно, просто отправив соответствующий запрос одной из передовых ИИ-моделей. После обнаружения PHP2Shell некоторые эксперты уже окрестили настоящий период «чёрным октябрём». Власти стран мира настоятельно рекомендуют владельцам сайтов оперативно устанавливать обновления; государственные ресурсы уходят в офлайн на период обновления — так же поступают администраторы многих популярных сайтов вплоть до отдельных сервисов Wikimedia и Archive.org. Есть версия, что могут навсегда исчезнуть некоторые исторические сайты — часть из них невозможно обновить, или никто не планировал этого делать, а часть из них будут взломаны и навсегда прекратят своё существование. Это грозит масштабным «гниением ссылок» и утратой значительного пласта цифровой истории. Угроза PHP2Shell существует, она вполне реальна, но и переоценивать степень её угрозы тоже не следует — инциденты с уязвимостями Log4j или Heartbleed представляются более масштабными. Некоторые ресурсы публиковали, по их заявлениям, готовые эксплойты, но не все они оказывались работоспособными — есть мнение, что простого рецепта не существует вовсе. Эксплойт в том или ином виде способен сгенерировать ИИ, но не у каждого пользователя чат-бота хватит навыков, чтобы его должным образом развернуть — может потребоваться серьёзная подготовка и опыт работы в области кибербезопасности. К чему всё это приведёт в долгосрочной перспективе, ясности нет: за час, неделю, год или десять лет обстановка может измениться радикально. ИИ значительно упрощает поиск и эксплуатацию уязвимостей, и человечеству, очевидно, ещё предстоит узнать, насколько в действительности уязвим интернет. Сначала PHP, теперь Linux: критические уязвимости в ядре ОС раскрыли до выхода патчей
23.10.2026 [10:32],
Владимир Фетисов
На этой неделе стало известно о выявлении критических уязвимостей в языке программирования PHP и сертификатах TLS/SSL. Теперь же в интернете появилась информация о нескольких уязвимостях в ядре Linux, для которых ещё не были выпущены исправления. Отчёты об уязвимостях опубликованы в рамках инициативы Zero Day Initiative компании Trend Micro и, вероятно, это было сделано по ошибке. 
Источник изображения: unsplash.com / Luca Bravo Среди раскрытых проблем две уязвимости имеют рейтинг 9,0 баллов по шкале CVSS. Одна из них затрагивает функцию SMB Direct, которая используется для повышения производительности при обмене файлами по протоколу SMB. Вторая уязвимость касается реализации файлового сервера в ядре Linux. Обе уязвимости потенциально могут использоваться злоумышленниками для удалённого выполнения кода. В других отчётах описаны уязвимости, позволяющие повысить уровень привилегий на локальном устройстве посредством сетевого кода, а также уязвимости, затрагивающие графический драйвер VMware и др. Исправления для уязвимостей в настоящее время тестируются или готовятся для интеграции в одно из будущих обновлений ядра Linux, но ни одно из них ещё не попало в основную ветку ядра. Программист Грег Кроа-Хартман (Greg Kroah-Hartman), занимающийся сопровождением ядра Linux, выразил недоумение по поводу публичной публикации данных об уязвимостях, патчи для которых ещё не готовы. На данный момент не ясно, действительно ли раскрытие информации об этом произошло непреднамеренно. Раскрытие информации об уязвимостях ядра Linux последовало за публикацией данных о скомпрометированных сертификатах TLS/SSL, связанных с индийским удостоверяющим центром eMudhra. Приватные ключи восьми промежуточных сертификатов оказались скомпрометированы, что потенциально могло использоваться злоумышленниками, чтобы выдавать себя за легитимные сайты и перехватывать зашифрованные соединения. В дополнение к этому разработчики языка программирования PHP вчера выпустили экстренные исправления для критических уязвимостей CVE-2026-109618 и CVE-2026-109619, о которых стало известно ранее. Обе уязвимости получили оценку 9,2 балла по шкале CVSS и могли использоваться для удалённого выполнения кода на затронутых проблемой серверах без предварительной аутентификации. Дыры PHP уже пытаются использовать для взлома серверов — Google, OpenAI и Amazon встали на защиту интернета
22.10.2026 [12:27],
Павел Котов
Технологические гиганты Google, OpenAI и Amazon подключились к работе по анализу уязвимостей, выявленных в языке PHP, к обнаружению атак и защите затронутых систем. Специализирующиеся на вопросах кибербезопасности компании уже начали сообщать о попытках злоумышленников воспользоваться ситуацией. 
Источник изображения: Ben Griffiths / unsplash.com Две обнаруженные уязвимости, получившие общее название PHP2Shell, позволяют удалённо выполнять на серверах произвольный код, что создаёт угрозу утечки конфиденциальных данных. Агентство национальной безопасности США настоятельно рекомендовало использующим PHP организациям подготовить обновления безопасности для устранения данных уязвимостей; если немедленное обновление невозможно, в ведомстве предложили вообще отключить соответствующие системы, пока уязвимости не будут полностью устранены. Аналогичные предупреждения выпустили профильные ведомства в Сингапуре, Великобритании, Австралии, Канаде и Европейском союзе. Попытки эксплуатировать данные уязвимости фиксировались ещё до их публичного раскрытия, сообщили в Amazon — такие попытки ещё 17 октября помогла обнаружить система MadPot, предназначенная для мониторинга подозрительной активности в интернет-инфраструктуре. Специалисты Google при помощи моделей искусственного интеллекта произвели поиск и анализ уязвимостей; нейросеть Gemini помогла оценить их серьёзность, смоделировать возможные атаки и проверить эффективность выпущенных патчей безопасности. В OpenAI заявили, что критические уязвимости в PHP помогли выявить исследователи, работающие с её моделями ИИ, — этими возможностями могут воспользоваться и киберпреступники, предупредили в компании. О попытках эксплуатировать уязвимости за день до их официального раскрытия сообщили в Cloudflare. Чтобы пресечь такие попытки в дальнейшем, компания активировала межсетевые экраны для веб-приложений. Специализирующаяся на вопросах кибербезопасности компания VulnCheck развернула выступающие приманками специально созданные уязвимые системы и зафиксировала подключения к ним с IP-адресов из Канады и Нидерландов, а также минимум одну попытку эксплуатировать одну из этих уязвимостей, которая позволяет выполнять произвольный код без аутентификации — её производили с зарегистрированного в Китае IP-адреса. Злоумышленник попытался считать данные, но такого пути не существовало, и сервер вернул ошибку 404. Поставщик решений в сфере безопасности Patchstack сообщил, что вскоре после выхода обновления PHP системы телеметрии показали лишь попытки зондирования — прямых доказательств взлома обнаружено не было. В качестве меры предосторожности некоторые сайты временно приостановили свою работу. Среди них оказались сервис социальных закладок Pinboard, ряд правительственных ресурсов Нидерландов и некоторые службы, связанные с «Википедией». Критические уязвимости PHP поставили под угрозу 70 % сайтов в интернете — для многих патча не будет
21.10.2026 [17:46],
Владимир Фетисов
Разработчики PHP выпустили экстренные обновления безопасности, устраняющие две критические уязвимости в языке программирования, который используется примерно на 70 % сайтов в интернете. Проблема уже привела к временному отключению ряда государственных ресурсов и других сервисов в Европе. При этом владельцы систем на базе устаревших версий PHP оказались в особенно сложном положении: официальные исправления для них не предусмотрены, поэтому для защиты от потенциальных атак может потребоваться обновление языка или временное отключение серверов от интернета. 
Источник изображения: Unsplash, Andrew Уязвимости получили оценку 9,2 балла из 10 по шкале CVSS 4.0 и идентификаторы CVE-2026-109618 и CVE-2026-109619. Они позволяют при определённых условиях удалённо выполнять произвольный код на сервере без предварительной аутентификации. В результате злоумышленники могут получить доступ к файлам и базам данных, изменить содержимое сайтов, похитить информацию или использовать скомпрометированные системы для дальнейших атак. Проблемы, получившие название PHP2Shell, находятся в самом движке PHP, а не в конкретных веб-приложениях. Поэтому под угрозой могут оказаться сайты на базе WordPress, Drupal, Joomla и других платформ, даже если их собственный код написан корректно. В частности, исследователи продемонстрировали возможность удалённого выполнения кода на серверах с актуальными версиями этих систем. Уязвимости связаны с обработкой критических ошибок и нехватки памяти. В определённых условиях PHP мог оставлять внутренние данные, указывающие на уже освобождённую область памяти, а затем использовать их повторно. Это создавало условия для повреждения памяти, утечки информации и выполнения произвольного кода. На серверах Apache с модулем mod_php эксплуатация одной из уязвимостей возможна ещё до запуска кода самого веб-приложения. Другие конфигурации PHP также подвержены риску, хотя условия проведения атаки могут отличаться. По данным исследователей Wiz, уязвимости затрагивают версии PHP начиная с 5.4. Разработчики выпустили исправления для поддерживаемых веток PHP 8.2, 8.3, 8.4 и 8.5. Обновления получили номера 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Для более старых веток ситуация сложнее: готовые исправления и возможность их установки зависят от поставщиков операционных систем и программного обеспечения. Поэтому администраторам необходимо проверить рекомендации своего поставщика, а при отсутствии исправления — рассмотреть переход на поддерживаемую версию PHP. Такая миграция может потребовать дополнительной проверки совместимости и доработки устаревших сайтов. Масштаб проблемы может быть огромным. По данным W3Techs, PHP используется примерно на 70 % сайтов, для которых известен язык серверной разработки. При этом значительная часть веб-инфраструктуры работает на давно не обновлявшемся программном обеспечении. Такие ресурсы могут оставаться уязвимыми даже после выхода исправлений, если их владельцы не имеют возможности оперативно обновить серверы или поддерживать совместимость со свежими версиями PHP. На ситуацию повлияла и история обнаружения уязвимостей. По данным PHP Foundation, одна из проблем была выявлена ещё в 2024 году, однако разработка исправления затянулась из-за сложности устранения ошибки без нарушения совместимости и ухудшения производительности. В августе 2026 года исследователи продемонстрировали практическую возможность эксплуатации уязвимости, после чего её устранение стало приоритетной задачей. В исследовании существенную роль сыграл искусственный интеллект. Команда Wiz сообщила об использовании моделей Gemini 4 Argon и GPT-5.6 Sol для поиска и анализа ошибок, а также разработки способов их эксплуатации. ИИ помог превратить сложные ошибки, существовавшие в коде годами, в работающие эксплойты. Это вызывает опасения у специалистов по кибербезопасности: аналогичные инструменты могут использовать и злоумышленники, которым теперь требуется меньше времени и экспертных знаний для поиска уязвимостей и подготовки атак. Публикация информации об уязвимостях также пошла не по первоначальному плану. Релиз исправлений был запланирован на 22 октября, но после преждевременного распространения сведений о проблеме разработчики перенесли выпуск на 21 октября. Компания Cloudflare сообщила, что заранее развернула защитные правила для своих клиентов и зафиксировала попытки атаковать их системы, в том числе с изменёнными вредоносными запросами, которые могли помочь обойти средства защиты. На фоне угрозы некоторые организации решили временно отключить доступ к своим системам из интернета. По данным The Guardian, меры затронули сайты государственных учреждений в Нидерландах, Германии, Бельгии, Финляндии и Франции. В частности, во Франции были недоступны некоторые ресурсы местных властей и сайт префектуры полиции Парижа, а в Нидерландах — национальная служба цифровой идентификации и сайт национального центра кибербезопасности. Wikimedia Foundation также приостановила работу части своих систем до установки исправлений. Национальные службы кибербезопасности рекомендовали организациям немедленно установить обновления. Если это невозможно, следует изолировать доступные из интернета приложения от публичных сетей или временно отключить их. Национальный центр кибербезопасности Великобритании также призвал проверить системы на наличие возможных механизмов закрепления злоумышленников, которые могли быть установлены в случае успешной атаки. Разработчик мобильной платформы GrapheneOS объявил о временном ограничении доступа к своему форуму, чтобы снизить риск эксплуатации уязвимостей. Специалисты предупреждают, что после публикации исправлений злоумышленники могут быстрее разрабатывать эксплойты, изучая изменения в коде. Поэтому администраторам необходимо без промедления проверить используемые версии PHP, установить доступные обновления и убедиться, что серверы не были скомпрометированы. Ситуация в очередной раз продемонстрировала проблему устаревшей интернет-инфраструктуры. Даже после выпуска исправлений часть сайтов может оставаться без защиты неделями или месяцами из-за отсутствия обслуживания, несовместимости с новыми версиями программного обеспечения или невозможности оперативно обновить серверы. В таких случаях временное отключение публичного доступа может оказаться безопаснее, чем продолжение работы уязвимой системы. Восемь TLS-сертификатов с примитивными ключами поставили под угрозу безопасность всего интернета
21.10.2026 [09:25],
Павел Котов
Специалисты по кибербезопасности по всему миру перешли в режим повышенной готовности: обнаружено восемь промежуточных TLS-сертификатов, чьи закрытые ключи оказались настолько слабыми, что кто угодно мог бы использовать их для создания поддельных сертификатов, которым доверяли бы сайты и устройства по всему миру, и перехватывать защищённый трафик. Сертификаты уже начали блокировать, но устранение последствий может растянуться на годы. 
Источник изображения: Sasun Bughdaryan / unsplash.com Накануне разработчики браузеров, а также создатели ряда популярных приложений и языков программирования заблокировали все восемь скомпрометированных промежуточных сертификатов. Согласно данным журналов прозрачности, фактов злонамеренного применения этих ключей пока не зафиксировано. Но угроза сохраняется: обновление других критически важных элементов интернет-инфраструктуры, в том числе дистрибутивов Linux, встроенных систем и устройств интернета вещей потребует значительных усилий и времени. Все восемь промежуточных сертификатов принадлежат индийскому удостоверяющему центру eMudhra Limited. Эксперты по кибербезопасности продемонстрировали механизм уязвимости, создав для фразы «We have a problem here — Wayne» («У нас тут проблема — Уэйн») цифровую подпись с использованием закрытых ключей eMudhra. Тот факт, что это получилось, оказался тревожным — этот же ключ мог использоваться для выпуска поддельных сертификатов, которым доверяли бы миллионы серверов по всему миру. Быстрая реакция разработчиков браузеров и приложений — не панацея. Некоторые системы и продукты не получают обновлений годами, поэтому процесс устранения уязвимости будет долгим: затронуты устройства интернета вещей, старые серверы на Linux, контейнеры Docker, инструменты командной строки, которые поставляются с собственными наборами корневых сертификатов. Системным администраторам ещё предстоит устанавливать их на огромное число машин. Масштабы проблемы сравнили с устранением уязвимости Heartbleed в библиотеке OpenSSL, обнаруженной в 2014 году. Тогда злоумышленники использовали её для расшифровки данных, передаваемых по защищённым TLS-соединениям; им удалось получить доступ к закрытым ключам TLS-сертификатов, файлам сессий cookie и паролям. В результате атак пострадали тысячи серверов, в том числе принадлежащих крупным компаниям и государственным учреждениям по всему миру. На устранение последствий ушли годы: на все машины пришлось устанавливать обновления OpenSSL, отзывать старые сертификаты и переустанавливать TLS-ключи, менять пароли и токены сессий, обновлять встроенные системы и прочее «забытое» оборудование. Ключи eMudhra оказались скомпрометированы из-за дефектов настолько серьёзных, что инженерам было трудно в это поверить. Закрытый ключ на эллиптической кривой NIST P-384 должен обладать энтропией около 384 битов, что даёт 2³⁸⁴ возможных вариантов — такое число состоит из 116 цифр. В случае eMudhra ключи имели такие простые значения как 4, 56, 66, 115, 155, 156, 230 и 237. Многие проекты выпустили обновления — исключением пока остаётся браузер Edge под Windows 10; в Microsoft пообещали прокомментировать происходящее, когда будет чем «поделиться». Подчёркивается, что для реализации атаки злоумышленнику необходимо реализовать атаку типа «человек посередине»: перехватить зашифрованный трафик, расшифровать его, зашифровать заново и передать другой стороне — такие возможности требуют хорошего оснащения. Но в локальной сети реализовать атаку проще. |
© 1997—2026 3DNews
При цитировании документа ссылка на сайт с указанием автора обязательна. Полное заимствование документа является
нарушением
российского и международного законодательства и возможно только с согласия редакции 3DNews.
MWC 2018
2018
Computex
IFA 2018
