Опрос
|
реклама
Быстрый переход
Добро пожаловать в «вулнапокалипсис»: ИИ начал находить уязвимости быстрее, чем их успевают исправлять
14.05.2026 [13:13],
Владимир Фетисов
Калифорнийская Palo Alto Networks, работающая в сфере информационной безопасности, обычно устраняет пять уязвимостей в месяц. Однако в этом месяце компания просканировала всю свою кодовую базу с помощью передовых ИИ-алгоритмов, включая Anthropic Mythos, и обнаружила 75 проблемных мест, охватывающих 23 уязвимости в классификации CVE. 
Источник изображения: Sasun Bughdaryan / unsplash.com Это лишь один пример того, как ИИ-технологии ускоряют поиск уязвимостей и их устранение, из-за чего стремительно растёт число выпускаемых патчей. На этом фоне даже появился термин «вулнапокалипсис», первая часть которого означает «уязвимость» (vulnerability). Ранее на этой неделе Microsoft заявила, что новая ИИ-система поиска багов MDASH помогла софтверному гиганту выявить 17 уязвимостей в разных продуктах. Это сообщение появилось вместе с выпуском очередного пакета обновлений безопасности в рамках программы Patch Tuesday. Вместе с этим Microsoft раскрыла информацию сразу о 30 исправленных критических уязвимостях, что стало рекордным показателем для софтверного гиганта. На прошлой неделе Mozilla сообщила, что в апреле разработчики исправили 423 бага в Firefox. Это более чем в пять раз больше 76 исправлений, которые были выпущены в марте, и почти в 20 раз больше среднемесячного показателя за прошлый год, когда Mozilla в среднем исправляла 21,5 ошибки в месяц. Ранее Mozilla сообщала, что ИИ-алгоритм Mythos обнаружил 271 уязвимость в Firefox 150. Сейчас, когда ИИ-модели стали действительно хороши в поиске ошибок в программном коде, специализирующиеся на ИБ-безопасности компании используют их для сканирования собственного ПО, надеясь отыскать и устранить уязвимости до того, как они будут обнаружены злоумышленниками. Эта деятельность сводится к двум вещам: большому количеству патчей и большому объёму работы для администраторов ИТ-систем. «На первых порах да, это означает больше патчей и, следовательно, больше работы для администраторов. Со временем главной целью станет устранение как можно большего количества уязвимостей, и со временем этот ежемесячный показатель пойдёт на спад», — считает Дастин Чайлдс (Dustin Childs), ИБ-специалист и участник проекта Zero Day Initiative. Он также добавил, что весь этот процесс может оказаться весьма «болезненным», поскольку многочисленные патчи не будут работать должным образом или, что ещё хуже, будут нарушать работоспособность других систем. «Многие клиенты и так не доверяют патчам, поэтому если патчи, связанные с ИИ, будут что-то ломать, то со временем клиенты будут реже их устанавливать. Это также справедливо к случаям, когда ИИ только находит баги, но не генерирует патчи», — считает Чайлдс. Это совершенно не значит, что ИБ-компаниям следует избегать использования ИИ-инструментов для поиска и устранения уязвимостей. «Все вендоры должны использовать доступные им инструменты, чтобы находить и устранять баги до того, как их начнут использовать злоумышленники. В идеале нужно обнаруживать баги ещё до выпуска продукта, но я не слишком рассчитываю, что это станет реальностью», — добавил Чайлдс. Microsoft и Palo Alto Networks являются участниками проекта Anthropic Project Glasswing, в рамках которой разрешено использование нашумевшей ИИ-модели Mythos для поиска уязвимостей в собственных продуктах. Palo Alto Networks начала тестировать Mythos в апреле. С тех пор компания продолжает использовать эту ИИ-модель, а также другие продукты, включая Claude Opus 4.7 и OpenAI GPT-5.5-Cyber. ИИ-модели просканировали 130 продуктов и сервисов Palo Alto Networks и, как уже упоминалось, выявили 75 проблемных мест. Компания устранила все уязвимости до того, как их обнаружили злоумышленники. В Palo Alto Networks выразили готовность устранять каждую обнаруженную уязвимость до того, как продвинутые ИИ-алгоритмы станут широко доступны, и их смогут задействовать злоумышленники. По оценкам компании, у организаций есть запас в 3-5 месяцев, после чего эксплойты на основе ИИ начнут становиться нормой. В Windows нашёлся бэкдор для «вскрытия» дисков, зашифрованных BitLocker — доступ к данным можно получить без ввода пароля
14.05.2026 [12:14],
Павел Котов
Исследователь в области кибербезопасности, выступающий под псевдонимом Chaotic Eclipse (или Nightmare Eclipse), демонстративно опубликовал рабочие схемы эксплуатации уязвимостей нулевого дня в Windows — одна позволяет взламывать систему шифрования BitLocker, а вторая — повышать привилегии пользователя до системных. 
Источник изображений: github.com/Nightmare-Eclipse Chaotic Eclipse решился на публикацию схем атаки в знак протеста против политики Microsoft — софтверный гигант, по его словам, не раскрывает уязвимостей Windows, а просто негласно их исправляет. Первой уязвимости эксперт присвоил название YellowKey — её эксплуатация позволяет обходить защиту BitLocker, работая на Windows 11 и Windows Server 2022/2025. Она восходит к особенности реализации технологии: при работе с TPM система BitLocker автоматически расшифровывает диски, избавляя пользователя от необходимости каждый раз вводить пароль. Чтобы обмануть систему, злоумышленник записывает на флешку или в раздел EFI подменные NTFS-транзакции в файлах FsTx, которые при переходе в режим восстановления системы WinRE и запуске оболочки с удержанием клавиши Ctrl автоматически выполняются. В результате при входе в режим восстановления гипотетический злоумышленник видит не собственно среду восстановления Windows, а интерфейс командной строки при запущенном файле «cmd.exe» — важно, что при этом диск уже расшифрован, и открыт доступ ко всем его данным. Эксперты предположили, что защититься от этой схемы атаки можно, добавив запрос PIN-кода перед входом в режим восстановления Windows — автор эксплойта, однако, утверждает, что существует версия атаки и для такого варианта, но публиковать её не стал. Подчёркивается также, что указанная схема взлома работает только при доступе к целевому компьютеру — выкрасть диск и расшифровать его где-то ещё не получится.  Эксплуатация уязвимости GreenPlasma позволяет любому пользователю повышать привилегии до уровня SYSTEM. Принцип атаки связан с тем, что некоторые компоненты, например, привилегированные службы и драйверы, доверяют объектам в памяти, исходя из их местоположения, и не проверяют при этом владельца этих объектов. Chaotic Eclipse не стал публиковать полную схему атаки, но уточнил, что достаточно подготовленный специалист может доработать её самостоятельно и обеспечить повышение привилегий любого пользователя до уровня SYSTEM. Эксплойт позволяет размещать в этих доверенных областях памяти собственные объекты, манипулируя данными и различными службами, в том числе драйверами в режиме ядра. В Microsoft уже отреагировали на инцидент, пообещав в кратчайшие сроки выпустить обновления, которые закрывают эти уязвимости. «Мы также поддерживаем скоординированное раскрытие информации об уязвимостях, широко распространённую в отрасли практику, которая помогает в проведении тщательных расследований и устранении проблем до их публичного раскрытия, поддерживая как защиту клиентов, так и сообщество исследователей в области безопасности», — заявил представитель компании ресурсу BleepingComputer. Linux снова под ударом: раскрыт эксплойт Fragnesia, который превратит любого пользователя в администратора
13.05.2026 [17:13],
Дмитрий Федоров
Эксперт по кибербезопасности раскрыл подробности универсального эксплойта Fragnesia для локального повышения привилегий в Linux, который позволяет любому непривилегированному пользователю получить полный root-доступ, то есть права суперпользователя. Эксплойт принадлежит к новому классу уязвимостей Dirty Frag и использует логическую ошибку глубоко в сетевой подсистеме ядра Linux. Технические детали вместе с однострочным PoC-кодом (proof of concept — работающий демонстрационный эксплойт) уже находятся в открытом доступе. 
Источник изображения: Gabriel Heinzer / unsplash.com Название Fragnesia отсылает к конкретному дефекту в управлении памятью ядра Linux. Как поясняет исследователь Уильям Боулинг (William Bowling) из команды V12 — компании в области кибербезопасности, которая использует агентный ИИ для поиска уязвимостей, — при объединении сетевых буферов внутренняя структура ядра skb (socket buffer) перестаёт учитывать, что фрагмент данных используется совместно с другим процессом. Эта ошибка открывает возможность для злоупотребления подсистемой ESP-in-TCP — протоколом шифрования трафика внутри TCP-соединений. Когда TCP-сокет переводится в определённый режим после того, как данные были переданы из файла через системный вызов splice, ядро ошибочно принимает обычные файловые страницы за зашифрованные данные. В отличие от большинства серьёзных уязвимостей ядра, Fragnesia не требует сложного состояния гонки — ситуации, при которой результат зависит от порядка выполнения параллельных операций. Вместо этого атака нацелена на страничный кэш VFS — область оперативной памяти, в которой операционная система (ОС) хранит недавно прочитанные файлы для ускорения повторного доступа. Подбирая криптографические nonce (одноразовые числа), атакующий применяет побитовую операцию XOR с нужными значениями непосредственно к кэшированным страницам и тем самым получает возможность изменять содержимое файлов, формально доступных только для чтения. Исследователь продемонстрировал атаку на практике, перезаписав первые 192 байта системной утилиты /usr/bin/su небольшим вредоносным кодом. В отчёте отмечается, что модификация затрагивает только страничный кэш и не сохраняется на диск, поэтому двоичный файл на носителе остаётся нетронутым. Однако когда система пытается выполнить кэшированную версию основной утилиты su, вместо штатной программы запускается код атакующего, и пользователь получает root-оболочку — командную строку с правами суперпользователя. После этого система остаётся скомпрометированной: любой, кто вызовет утилиту su на этой машине, также получит права администратора, пока кэш не будет очищен вручную или машина не будет перезагружена. Особую тревогу вызывает простота запуска. Исследователь опубликовал последовательность команд, которая клонирует репозиторий с кодом эксплойта, компилирует его и запускает — всё в одну строку терминала. Уязвимости подвержены все версии ядра Linux, выпущенные до 13 мая 2026 года. Если оперативно установить обновление ядра невозможно, исследователи рекомендуют в качестве временной меры отключить затронутые модули командой rmmod esp4 esp6 rxrpc. Универсальный характер Fragnesia делает немедленную установку патча — исправления программного кода — единственной надёжной мерой защиты для Linux-инфраструктуры. ИИ сломал правила кибербезопасности — 90-дневное окно раскрытия уязвимостей теперь мертво
12.05.2026 [17:33],
Дмитрий Федоров
Исследователь безопасности Химаншу Ананд (Himanshu Anand) заявил, что отраслевой стандарт 90-дневного окна раскрытия уязвимостей фактически мёртв. Сам Ананд с помощью ИИ-инструментов создал рабочий эксплойт для уже исправленной уязвимости за 30 минут, а независимые исследователи массово обнаруживают одни и те же уязвимости за считанные дни. 
Источник изображения: Sasun Bughdaryan / unsplash.com Поводом стали две свежие уязвимости повышения привилегий в ядре Linux — Copy Fail и Dirty Frag: обе позволяли получить права администратора через локальную учётную запись. Информацию о Dirty Frag раскрыли чуть больше чем через неделю после её передачи команде разработки ядра Linux, задолго до привычных 90 дней. Предположительно, исследователи поспешили, потому что уязвимость уже активно эксплуатировалась хакерами. Масштаб проблемы Ананд показал на собственном примере: он нашёл уязвимость в неназванном интернет-магазине, позволявшую покупать товары за $0, и отправил отчёт, но выяснилось, что за предшествующие шесть недель о той же ошибке сообщили ещё 10 исследователей. Ананд заключил, что специалисты по кибербезопасности, использующие ИИ, сходились на одних и тех же ошибках практически одновременно. Другой расследователь инцидентов подтвердил, что при появлении новой уязвимости он видит волну дублирующихся отчётов за считанные дни и задаётся вопросом, что мешает злоумышленникам делать то же самое до её устранения. ИИ не умнее человека, но он работает круглосуточно и крайне эффективен в распознавании закономерностей, а большинство эксплойтов коренится именно в повторяющихся ошибках кода. Ананд продемонстрировал это на фреймворке React, собрав эксплойт для уже закрытой уязвимости за 30 минут. По словам Ананда, 90-дневное окно не защищает никого, а ежемесячные циклы обновлений тоже мертвы, поскольку 30-дневный промежуток между обнаружением и исправлением предполагает, что злоумышленники медленнее релизного конвейера. Он призывает относиться к каждой критической уязвимости как к P0 (наивысший приоритет инцидента в системах баг-трекинга), исправлять немедленно и встроить ИИ в процессы проверки кода. Ананд резюмирует, что пока разработчик читает описания CVE, злоумышленник уже изучает git log --diff-filter=M — и выигрывает. Открытое программное обеспечение превращается в обоюдоострое оружие: ИИ используют доступность кода и для защиты, и для атаки. Впрочем, патч может появиться за считанные часы — команда Mozilla выпустила 423 исправления только за апрель. Для закрытого ПО перспектива хуже: ИИ-боты столь же хороши в декомпиляции и сетевом сканировании, и вполне вероятно, что Microsoft, Apple или Google переживут свой момент Copy Fail скорее рано, чем поздно. В Linux предложили встроить экстренный «рубильник» для защиты от уязвимостей CopyFail и Dirty Frag
12.05.2026 [12:22],
Павел Котов
Разработчики ядра Linux рассматривают возможность дать администраторам систем аварийную «красную кнопку», которая поможет в экстренном порядке защитить их от опасных уязвимостей CopyFail и Dirty Frag до того, как выйдут патчи с полноценной защитой. 
Источник изображения: Arif Riyanto / unsplash.com Инициативу обозначили как Killswitch («рубильник») — это средство позволит администраторам систем под Linux временно отключить функции, из-за которых возникли данные уязвимости. Если коды эксплойтов для этих уязвимостей начнут распространяться до выхода соответствующих обновлений ядра, отключённые функции просто не дадут вредоносному коду надлежащим образом сработать, потому что вызовы к ним немедленно завершатся с ошибкой. Ранее стало известно о наличии уязвимостей CopyFail и Dirty Frag в Linux и о том, что для них существуют коды эксплойтов, в то время как соответствующие обновления ОС ещё не вышли, но если отключить в ней некоторые функции, то взломать платформу не получится. Средство Killswitch в качестве временного решения позволит сделать это быстро и с минимальными усилиями. Предполагается, что оно будет работать через интерфейс безопасности ядра, предназначаясь для подсистем, без которых компьютеры смогут временно обходиться — временная потеря некоторых сетевых и криптографических функций предпочтительнее, чем наличие известных уязвимостей на общедоступных системах. Идея о создании подобного «рубильника» вызвала положительный отклик не у всех экспертов. Высказываются мнения, что это может навредить стабильности работы Linux, расширить возможности для злоупотреблений; кроме того, на некоторых системах составляющие уязвимости функции всё-таки востребованы. Google впервые обнаружила и заблокировала ИИ-эксплойт нулевого дня для взлома 2FA
11.05.2026 [22:01],
Дмитрий Федоров
Google впервые обнаружила и заблокировала эксплойт нулевого дня (метод атаки через уязвимость, о которой разработчик ещё не знает), созданный с помощью ИИ. По данным Google Threat Intelligence Group (GTIG), известные киберпреступные группировки готовили масштабную атаку на систему двухфакторной аутентификации (2FA) в веб-приложении с открытым исходным кодом для системного администрирования. 
Источник изображения: Sasun Bughdaryan / unsplash.com Исследователи Google нашли в коде эксплойта на языке Python характерные следы ИИ-модели — вымышленную оценку по шкале CVSS (стандарт оценки критичности уязвимостей) и типично «учебное» форматирование Оценка CVSS оказалась выдуманной: ИИ-модель сгенерировала её сама, а не взяла из реальной базы уязвимостей. Структура кода тоже указывала на ИИ — она воспроизводила шаблоны, характерные для обучающих данных больших языковых моделей (LLM). Причина уязвимости оказалась не в опечатке и не в сбое, а в ошибке логики веб-приложения. Разработчик платформы запрограммировал в коде допущение, что определённый компонент системы всегда заслуживает доверия, и не стал его перепроверять. Именно через этот непроверяемый компонент злоумышленники и обходили двухфакторную аутентификацию. Какое именно приложение стало мишенью, Google не раскрыла. Исследователи также уточнили, что ИИ Gemini, по их мнению, при создании эксплойта не применяли. Атаку удалось сорвать до начала массового применения. GTIG отмечает ещё одну тенденцию: злоумышленники атакуют не только с помощью ИИ, но и саму инфраструктуру ИИ-систем — автономные функции ИИ-агентов и внешние модули доступа к данным. Хакеры прибегают к так называемому ролевому обману: формулируют запрос, в котором предлагают ИИ-модели представить себя экспертом по безопасности, и таким образом обходят встроенные ограничения. Кроме того, они загружают в модели целые базы данных об уязвимостях и используют инструмент OpenClaw для отладки вредоносных программ в контролируемых средах — прежде чем развёртывать атаки на реальных целях. Dirty Frag превзошла Copy Fail: вторая за месяц критическая уязвимость Linux осталась без исправлений
08.05.2026 [11:16],
Дмитрий Федоров
Критическая уязвимость Dirty Frag позволяет любому локальному пользователю получить права администратора на большинстве популярных дистрибутивов Linux, выпущенных с 2017 года, включая Ubuntu, Arch, RHEL, Fedora и даже подсистему WSL2 в Windows 11. На момент публикации не существует ни одного исправления — ни в одном дистрибутиве, ни в основной ветке ядра Linux. 
Источник изображения: Sasun Bughdaryan / unsplash.com Dirty Frag работает по тому же принципу, что и недавняя уязвимость Copy Fail. Атака не зависит от настроек системы и не требует точного момента для запуска — это простая логическая ошибка операционной системы. Достаточно запустить небольшую программу, и обычный пользователь получает права администратора. Затронуты текущие версии Ubuntu (24 и 26), Arch, RHEL, OpenSUSE, CentOS Stream, Fedora, Alma и другие сборки Linux. В отличие от уязвимости Copy Fail, для которой патчи уже выпущены, Dirty Frag остаётся без исправлений, в том числе в основной ветке ядра Linux. Издание Tom's Hardware сообщило, что взлом успешно сработал на CachyOS с ядром 7.0.3-1-cachyos и на обновлённой системе Arch. Однако защититься несложно: достаточно отключить три компонента ядра — esp4, esp6 и rxrpc. Все три отвечают за шифрование сетевого трафика по протоколу IPSec и нужны только машинам, работающим в корпоративных VPN-сетях, поэтому для большинства рабочих станций и серверов их отключение пройдёт незаметно. О проблеме сообщили команде разработчиков ядра Linux ещё 30 апреля, но некая третья сторона нарушила договорённость и раскрыла уязвимость раньше срока. Tom's Hardware полагает, что уязвимость уже активно эксплуатируют злоумышленники, что и спровоцировало досрочную публикацию о ней в Сети. Технически Dirty Frag, как и Copy Fail, использует механизм нулевого копирования в ядре Linux: атакующий внедряет дескриптор страничного кеша в операцию splice, что позволяет записывать данные в файлы, к которым у обычного пользователя нет прав на запись, и через это получать привилегии администратора. Уязвимый код находится в модулях, связанных с шифрованием сетевого трафика IPSec. Исходная ошибка xfrm-ESP Page Cache Write появилась в коммите cac2661c53f3 в 2017 году. Поскольку встроенный механизм защиты AppArmor в Ubuntu закрывает именно эту первую брешь, демонстрационный код (PoC) дополнительно задействует вторую — RxRPC Page-Cache Write из коммита 2dc334f1a63a. Созданные с помощью ИИ сайты кишат уязвимостями — разработчики ИИ-сервисов валят всё на клиентов
07.05.2026 [15:45],
Павел Котов
Платформы Lovable, Base44, Replit и Netlify предлагают всем желающим за считанные секунды создавать при помощи искусственного интеллекта сайты и публиковать их — на тысячах таких ресурсов в общий доступ попадают конфиденциальные данные, пишет Wired со ссылкой на специализирующуюся в области кибербезопасности компанию RedAccess. 
Источник изображения: Mohammad Rahmani / unsplash.com Эксперты изучили несколько тысяч сгенерированных ИИ сайтов и обнаружили, что более 5000 из них не имеют какой-либо защиты и даже лишены механизмов аутентификации. При наличии одного лишь адреса сайта во многих случаях оказалось возможным получить доступ к программной части и файлам данных; некоторые открывали эти данные после авторизации с помощью любого адреса электронной почты. Около 40 % ресурсов раскрывали конфиденциальную информацию. Найти такие сайты оказалось несложно: Lovable, Replit, Base44 и Netlify размещают их на собственных поддоменах, а не только по адресам клиентов — достаточно было произвести поиск в Google и Bing с указанием этих поддоменов и других нехитрых запросов. Исследователи обнаружили рабочие планы медицинских учреждений с личной информацией врачей, подробную информацию о закупке рекламы, записи о продажах и грузоперевозках, переписки продавцов с клиентами, содержащие полные имена и контактную информацию последних и многое другое. В ряде случаев исследователи без особого труда получили привилегии администраторов на этих сайтах. На платформе Lovable было обнаружено множество фишинговых ресурсов, выполненных в стиле официальных сайтов Bank of America, Costco, FedEx, Trader Joe’s и McDonald’s. В Netlify комментариев по поводу инцидента не дали; в Replit и Base44 заявили, что пользователи сами выбрали публикацию данных в общем доступе — его можно закрыть в настройках учётных записей клиентов. В Lovable сообщили, что проводят расследование по поводу обнаруженных на платформе поддельных фишинговых ресурсов. Эксперты RedAccess связались с некоторыми клиентами этих платформ и сообщили им о выявленных уязвимостях. Некоторые из них поблагодарили специалистов в области кибербезопасности, после чего либо обеспечили защиту данных, либо удалили эти ресурсы. Выяснить, сколько аналогичных уязвимых сайтов размещаются на собственных доменах компаний, не удалось. Ситуация будет только усугубляться, считают эксперты: ИИ позволяет создавать не только сайты, но и генерирует код любых других приложений — и эти приложения зачастую оказываются не менее уязвимыми. Google повысила вознаграждение за обнаружение эксплойтов в Android до $1,5 млн
05.05.2026 [16:43],
Павел Котов
Google решила пересмотреть программу вознаграждения за обнаружение уязвимостей в ОС Android и браузере Chrome, предложив вознаграждение до $1,5 млн за самые сложные эксплойты. За простые уязвимости, которые теперь обнаруживаются при помощи ИИ, размер вознаграждения решили снизить. 
Источник изображения: Denny Müller / unsplash.com Максимальное вознаграждение в размере $1,5 млн компания выплатит за схему атаки с эксплуатацией полной цепочки уязвимостей для чипа безопасности Pixel Titan M2 с сохранением активности — это наиболее сложный сценарий в программе; за те же эксплойты без сохранения активности компания готова заплатить до $750 тыс. За атаку с эксплуатацией цепочки уязвимостей Google Chrome на современных ОС и компьютерах компания выплатит до $250 тыс.; дополнительная премия в $250 тыс. будет выплачена за схему атаки с обходом механизма защиты памяти MiraclePtr. В программе Google Chrome акцент смещается на краткие отчёты с доказательствами ошибок и указанием на важные недоработки — длинные письменные анализы, которые сейчас может генерировать ИИ, компанию не интересуют. В программе для Android приоритетом являются уязвимости ядра Linux применительно к компонентам, которые разрабатывает Google; и прочие уязвимости, если исследователь сможет продемонстрировать работающий эксплойт на Android. В 2025 году Google выплатила 747 обнаружившим уязвимости экспертам $17,1 млн, и это исторический рекорд — общий размер выплат вырос на 40 % по сравнению с 2024 годом. С момента запуска программы в 2010 году сумма премий составила $81,6 млн; в 2026 году, несмотря на сокращение некоторых индивидуальных сумм вознаграждений, компания ожидает дальнейшего увеличения общего размера выплат. Власти США намерены резко ускорить устранение критических уязвимостей в IT-системах
02.05.2026 [15:50],
Павел Котов
Курирующие вопросы кибербезопасности американские ведомства рассматривают возможность резко сократить сроки устранения критических уязвимостей в государственных IT-системах. Инициатива связана с опасениями, что хакеры начнут применять мощные средства искусственного интеллекта, такие как модель Anthropic Mythos. 
Источник изображения: Mohammad Rahmani / unsplash.com Срок реагирования на активно эксплуатируемые уязвимости могут сократить с двух или трёх недель до трёх дней, стало известно Reuters. В последние недели нарастают опасения по поводу возможностей и распространения ИИ-моделей класса Mythos и OpenAI GPT-5.4-Cyber. Хакеры пользуются ИИ минимум с 2023 года, но модели последнего поколения оказались способны быстро выявлять неизвестные ранее уязвимости или эксплуатировать недавно обнаруженные в сложных атаках. Если раньше киберпреступникам требовались дни, недели и даже месяцы для разработки средств эксплуатации уязвимостей, то сейчас этот промежуток сократился до нескольких часов. Предложения по срокам обсуждают исполняющий обязанности главы Агентства по кибербезопасности и защите инфраструктуры (CISA) Ник Андерсен (Nick Andersen) и национальный директор по кибербезопасности США Шон Кэрнкросс (Sean Cairncross). CISA уже не первый год ведёт список известных и эксплуатируемых уязвимостей, которые считаются приоритетными — информация о таких ошибках находится в открытом доступе, и они активно эксплуатируются киберпреступниками или разведками других стран. Ранее на устранение таких уязвимостей выделялся срок в три недели, сейчас его уменьшили до двух и рассматривают возможность установить как стандарт срок всего в три дня. Последствия выпуска моделей ИИ последнего поколения озадачили не только органы государственной власти, но и представителей бизнеса — в частности, отрасли кибербезопасности. В затруднительном положении оказалась банковская сфера; регулирующие органы тем временем всё ещё пытаются оценить степень опасности новых технологий. В cPanel нашли дыру, позволяющую войти в админку миллионов сайтов без пароля
01.05.2026 [11:23],
Дмитрий Федоров
Злоумышленники активно эксплуатируют критическую уязвимость CVE-2026-41940 в cPanel и WebHost Manager (WHM) — серверном ПО для управления веб-хостингом, которым пользуются десятки миллионов владельцев сайтов по всему миру. Ошибка позволяет удалённо обойти экран авторизации и получить полный доступ к панели администрирования, а вместе с ней — ко всем сайтам, почте, базам данных и конфигурациям на сервере. Крупные хостинг-провайдеры уже установили обновления. 
Источник изображения: Wesley Tingey / unsplash.com Уязвимость затрагивает все поддерживаемые версии cPanel и WHM. Оба пакета обеспечивают глубокий доступ к серверам: управляют размещёнными сайтами, электронной почтой и критически важными настройками доменов. Компрометация такого ПО даёт атакующему потенциально неограниченный доступ ко всем обрабатываемым данным. Разработчик cPanel призвал клиентов самостоятельно убедиться в установке обновлений, даже если их хостинг-провайдер уже применил исправления. Канадский центр кибербезопасности (Canadian Centre for Cyber Security) предупредил в бюллетене, что уязвимость позволяет скомпрометировать сайты на серверах общего хостинга, в том числе у крупных провайдеров. Ведомство заявило, что «эксплуатация весьма вероятна», и потребовало от клиентов cPanel и их хостинг-провайдеров незамедлительных действий для предотвращения несанкционированного доступа. Хостинг-провайдер Namecheap сообщил, что заблокировал доступ к панелям cPanel сразу после того, как узнал об уязвимости, — мера позволила предотвратить эксплуатацию и выиграть время на установку обновлений. HostGator также установил обновления и охарактеризовал проблему как «критическую уязвимость обхода аутентификации». Один из хостинг-провайдеров обнаружил, что злоумышленники использовали уязвимость за несколько месяцев до её публичного раскрытия. Генеральный директор KnownHost Дэниел Пирсон (Daniel Pearson) написал на Reddit, что компания зафиксировала попытки эксплуатации ещё 23 февраля. KnownHost тоже ненадолго заблокировал доступ к клиентским системам перед установкой обновлений. По словам Пирсона, примерно 30 серверов в сети компании сигнализировали о попытках несанкционированного доступа. Пирсон подчеркнул, что речь идёт именно о попытках, а признаков успешного взлома обнаружено не было. Разработчик cPanel также выпустил обновление безопасности для WP Squared — аналогичного инструмента для управления сайтами на WordPress. Опасная уязвимость обнаружена в большинстве дистрибутивов Linux: 732 байта кода откроют любому root-права
30.04.2026 [10:39],
Павел Котов
Разработчики основанного на алгоритмах искусственного интеллекта средства безопасности Xint Code обнаружили в ядре Linux и, соответственно, в большинстве популярных дистрибутивов опасную уязвимость, которая получила название Copy Fail и номер CVE-2026-31431. Эксплуатируя эту уязвимость, любой пользователь без особых привилегий может получить права администратора (root) практически на любом сервере или ПК под управлением Linux. Для этого достаточно кода размером всего 732 байта на Python. 
Источник изображения: AltumCode / unsplash.com Уязвимость Copy Fail связана с тем, как Linux работает с файлами — ОС не считывает данные жёсткого или твердотельного диска при каждом обращении к файлу, а записывает его содержимое в особую область оперативной памяти — страничный кеш (Page Cache), который разбивается на фрагменты (страницы) размером по 4 кбайт. Этот кеш является общим для всей системы — даже если речь идёт о процессах внутри контейнеров Docker на серверах, обращение идёт к одному и тому же кешу. Для эксплуатации уязвимости используется программа su (Switch User или Substitute User), которая позволяет обычному пользователю получить права администратора, введя его пароль, поэтому она является излюбленной целью для хакеров. Скрипт, который требует наличия в системе Python 3.10 и более поздних версий и имеет размер всего 732 байта, позволяет изменить всего четыре байта внутри программы su или любой другой, причём обращение он производит не к соответствующему файлу на диске, а к её копии в страничном кеше оперативной памяти — и её выполнение производится с правами root. Это оказалось возможным за счёт трёх особенностей Linux: интерфейса AF_ALG, который позволяет обращаться к криптографическим алгоритмам в ядре Linux; функции splice(), которая позволяет производить обращение к ядру ОС из страничного кеша любого файла, если пользователь имеет право хотя бы читать этот файл; а также алгоритма authencesn в системе защищённых сетевых соединений IPsec, который во время работы использует часть выделенной ему памяти в качестве «черновика» и как раз записывает вышеупомянутые четыре байта прямо в страницы кеша su. Сам файл данной программы на диске остаётся нетронутым, поэтому средства защиты этого изменения не замечают. Опасность предложенной схемы в том, что она не требует особых условий и срабатывает с первого раза; один актуальный для всех дистрибутивов скрипт действует скрытно и остаётся незамеченным; наконец, атакующий имеет возможность выйти за пределы контейнеров Docker или Kubernetes на уровень сервера. Чтобы устранить эту уязвимость, выявившие её специалисты разработали патч, отменяющий одну из оптимизаций Linux, выпущенную ещё в 2017 году. При его установке фрагменты страничного кеша перестают попадать в область памяти, доступную для записи. Администраторам систем под Linux рекомендуется оперативно обновить ядро системы до последней доступной версии; в качестве временного решения можно также отключить опасный модуль algif_aead в интерфейсе AF_ALG. GitHub похвалился, что устранил критическую уязвимость менее чем за шесть часов
29.04.2026 [17:05],
Владимир Фетисов
Специалисты GitHub устранили критическую уязвимость, эксплуатация которой могла позволить злоумышленникам осуществить удалённое выполнение кода и получить доступ к миллионам публичных и приватных репозиториев кода. Залатать брешь в платформе удалось менее чем за шесть часов. Проблему выявила компания Wiz Research с помощью ИИ-алгоритмов, после чего сообщила о ней в GitHub. 
Источник изображения: AI «Наша команда безопасности немедленно приступила к проверке отчёта в рамках программы вознаграждений за обнаружение уязвимостей. В течение 40 минут мы воспроизвели уязвимость в тестовой среде и подтвердили её серьёзность. Это была критическая проблема, требовавшая немедленных действий», — рассказал Алексис Уэльс (Alexis Wales), глава подразделения информационной безопасности GitHub. Инженеры GitHub оперативно разработали патч и развернули его чуть более чем через час после выявления первопричины, тем самым защитив GitHub.com и GitHub Enterprise Server. «Менее чем за два часа мы подтвердили обнаружение уязвимости, развернули исправление на github.com и начали расследование, в результате чего пришли к выводу, что уязвимость не эксплуатировалась», — добавил Уэльс. Это означает, что на полноценное устранение проблемы у команды GitHub, включая проведение расследования, ушло менее шести часов с момента получения отчёта Wiz Research. По данным источника, уязвимость в инфраструктуре GitHub была обнаружена с помощью ИИ, но какая именно модель помогла выявить проблему, не уточняется. «Примечательно, что это одна из первых критических уязвимостей, обнаруженных в бинарных файлах с закрытым исходным кодом с помощью ИИ, что подчёркивает сдвиг в том, как выявляются подобные недостатки», — считает ИБ-специалист из Wiz Research Саги Цадик (Sagi Tzadik). Несмотря на то, что команда GitHub быстро устранила уязвимость, в Wiz Research отметили, что её было «очень легко использовать», несмотря на сложность базовой системы GitHub. «Находка такого уровня и степени серьёзности встречается редко, она принесла обнаружившим её одно из самых больших вознаграждений, доступных в рамках нашей программы обнаружения уязвимостей, и служит напоминанием о том, что наиболее результативные исследования в области безопасности проводятся квалифицированными специалистами, умеющими задавать правильные вопросы», — отметил Уэльс. Microsoft подтвердила, что уязвимость Windows позволяет красть пароли без единого клика
28.04.2026 [14:15],
Дмитрий Федоров
Microsoft подтвердила активную эксплуатацию уязвимости CVE-2026-32202 в Windows Shell, исправленной в ежемесячном обновлении безопасности с оценкой CVSS 4,3. По данным исследователя из компании Akamai Маора Дахана (Maor Dahan), уязвимость возникла из-за неполного февральского патча для CVE-2026-21510 и позволяет красть учётные данные без каких-либо действий со стороны жертвы: атакующий похищает хеш NTLM-аутентификации через автоматически обрабатываемые LNK-файлы. 
Источник изображения: Tadas Sar / unsplash.com Уязвимость относится к типу спуфинг (spoofing) — атакующий подменяет данные, чтобы выдать вредоносный объект за доверенный. Формально Microsoft описывает сценарий, при котором жертва должна запустить вредоносный файл, однако в цепочке эксплойтов хакерской группировки APT28 Windows обрабатывает LNK-файл автоматически и кража учётных данных происходит без каких-либо действий пользователя. После запуска вредоносного объекта жертвой атакующий получает доступ к части конфиденциальных данных затронутого компонента, но не может ни изменить раскрытую информацию, ни ограничить доступ к ресурсу. Бюллетень компания скорректировала 27 апреля 2026 года: индекс эксплуатируемости, флаг эксплуатации и вектор CVSS при первой публикации 14 апреля были указаны неверно. Уязвимость обнаружил Дахан и уведомил о ней Microsoft. По словам исследователя, проблема возникла из-за неполного исправления февральской CVE-2026-21510 (CVSS 8,8) в том же Windows Shell. APT28, известная также под именами Fancy Bear, Forest Blizzard, GruesomeLarch и Pawn Storm, использовала уязвимость в связке с CVE-2026-21513 (CVSS 8,8) в MSHTML Framework. Обе ошибки позволяли обойти функции сетевой безопасности, и обе Microsoft закрыла одновременно. Американская компания Akamai, специализирующаяся на кибербезопасности, зафиксировала эксплуатацию CVE-2026-21513 группировкой APT28 месяцем ранее. 
Уязвимость CVE-2026-21510. Источник изображения: thehackernews.com Технически атака опиралась на механизм разбора пространства имён Windows Shell. Хакеры APT28 размещали динамическую библиотеку (DLL) на удалённом сервере и загружали её на машину жертвы по UNC-пути. Windows обрабатывала такую DLL как объект панели управления (CPL), не проверяя сетевую зону. Февральский патч добавил проверку SmartScreen для цифровой подписи и зоны происхождения CPL-файла, что снизило риск удалённого выполнения кода. Однако механизм аутентификации остался прежним: машина жертвы по-прежнему обращалась к серверу атакующего и автоматически загружала CPL-файл, разрешая UNC-путь и устанавливая SMB-соединение без участия пользователя. Если путь к файлу указывает на сетевой ресурс в формате UNC (например, \\attacker.com\share\payload.cpl), Windows автоматически устанавливает соединение с этим сервером по протоколу SMB. При этом система отправляет хеш аутентификации NTLM (Net-NTLMv2) без ведома пользователя. Перехватив хеш, атакующий может перенаправить его на другой сервер (атака NTLM relay) или подобрать пароль офлайн. «Хотя Microsoft устранила исходное удалённое выполнение кода (CVE-2026-21510), уязвимость принуждения к аутентификации (CVE-2026-32202) сохранилась, — резюмировал Дахан. — Windows разрешает сетевой путь и начинает аутентификацию до того, как проверяет, заслуживает ли сервер доверия. Это и оставляет вектор атаки без участия пользователя через автоматически обрабатываемые LNK-файлы». «Лаборатория Касперского» выявила аппаратную уязвимость в чипах Qualcomm Snapdragon
23.04.2026 [13:14],
Дмитрий Федоров
«Лаборатория Касперского» обнаружила аппаратную уязвимость в чипсетах Qualcomm Snapdragon. Исследование представили на конференции Black Hat Asia 2026. Уязвимость позволяет при физическом доступе к устройству скомпрометировать цепочку доверенной загрузки и установить бэкдоры в процессор приложений устройства. Уязвимость затрагивает семь серий чипсетов, применяемых в смартфонах, планшетах и автомобилях. 
Источник изображения: qualcomm.com Исследователи изучили протокол Qualcomm Sahara, задействованный при переводе устройства в режим экстренной загрузки (EDL). Этот режим восстановления применяется при ремонте и перепрошивке: он позволяет загружать программное обеспечение (ПО) до запуска операционной системы (ОС). Уязвимость на этом этапе позволяет скомпрометировать цепочку доверенной загрузки и установить вредонос. Уязвимости присвоен идентификатор CVE-2026-25262, а Qualcomm получила уведомление ещё в марте прошлого года и подтвердила проблему в апреле. Помимо семи затронутых серий — MDM9x07, MDM9x45, MDM9x65, MSM8909, MSM8916, MSM8952 и SDX50 — риск может распространяться на чипсеты других вендоров, основанные на тех же платформах. Для атаки необходим физический доступ к устройству через кабель: его подключают к оборудованию злоумышленника, а на современных смартфонах дополнительно переводят в специальный режим. Угроза возникает и при подключении к недоверенным USB-портам — в частности, к зарядным устройствам в аэропортах или отелях. Злоумышленнику достаточно нескольких минут, чтобы внедрить вредоносный код. Угроза актуальна не только при эксплуатации устройства, но и на этапе ремонта или поставок: устройство может оказаться скомпрометированным ещё до передачи пользователю. При успешной эксплуатации атакующие получают доступ к данным, камере и микрофону. В ряде сценариев возможен полный контроль над устройством. Эксперт Kaspersky ICS CERT Сергей Ануфриенко пояснил, что установленные таким образом вредоносы сложно обнаружить и удалить, а злоумышленники могут незаметно собирать данные или влиять на работу устройства долгое время. Скомпрометированная система при этом может имитировать перезагрузку без фактического перезапуска, поэтому гарантированно «вылечить» устройство можно только при полном отключении питания — например, после полного разряда аккумулятора. Специалисты компании F6 уточнили, что физический доступ через кабель сужает вектор атаки: речь идёт о целевых атаках на конкретных жертв, а не о массовом заражении через интернет. Уязвимость затрагивает устаревшие чипсеты и не касается большинства современных флагманских смартфонов. Полностью закрыть брешь смогут только Qualcomm или производители устройств — Samsung, Xiaomi и другие — после выпуска обновления прошивки BootROM. |
© 1997—2026 Электронное периодическое издание "3ДНьюс" | Свидетельство о регистрации СМИ Эл ФС 77-22224
выдано Федеральной Службой по надзору за соблюдением законодательства в сфере массовых коммуникаций и охране культурного наследия
При цитировании документа ссылка на сайт с указанием автора обязательна. Полное заимствование документа является
нарушением
российского и международного законодательства и возможно только с согласия редакции 3DNews.
MWC 2018
2018
Computex
IFA 2018
