Новости информационной безопасности

Microsoft выпустила рекомендации по защите от YellowKey — уязвимости нулевого дня в BitLocker, которая позволяет получить доступ к зашифрованному системному диску Windows при физическом доступе к устройству. Проблема получила идентификатор CVE-2026-45585. Полного патча пока нет: компания предлагает вручную изменить образ …

Сокращённый инженер Atlassian записал разбор систем, которые строил 8 лет. Интернет принял это за месть

В популярном WordPress-плагине Avada Builder исправили две уязвимости, которые могли затронуть около 1 млн сайтов. Первая — CVE-2026-4782, чтение произвольных файлов на сервере через параметр custom_svg; вторая — CVE-2026-4798, SQL-инъекция через параметр product_order. Полностью безопасной версией на момент раскрытия стала …

Chrome, Edge и Brave под риском: баг Background Fetch держит JavaScript живым после закрытия браузера

Telegram, OAuth и Microsoft 365: как Kali365 превратил фишинг в подписочный сервис. Kali365 бьёт по Outlook, Teams и OneDrive через легитимную страницу Microsoft

Cisco выпустила исправления для критической уязвимости CVE-2026-20182 в Cisco Catalyst SD-WAN Controller и Catalyst SD-WAN Manager. Ошибка получила максимальную оценку CVSS 10.0 и уже использовалась в реальных атаках. Уязвимость позволяет удалённому атакующему без логина и пароля обойти аутентификацию, получить административные …

Искали AI-помощника — получили стилер: как подделки Gemini и Claude били по dev-машинам

В npm обнаружили три вредоносные версии пакета node-ipc: 9.1.6, 9.2.3 и 12.0.1. Пакет используется в Node.js-проектах для межпроцессного взаимодействия, а вредоносный код был встроен в CommonJS-сборку node-ipc.cjs. При загрузке через require("node-ipc") он запускался автоматически, собирал переменные окружения, SSH-ключи, облачные конфиги, …

На BreachForums продавали базу OnlyFans за 0,313 BTC. Настоящей утечки не нашли

CVE-2026-9082 уже проверяют вживую: Drupal предупредил об атаках на сайты с PostgreSQL

Anthropic Mythos Preview стал одним из первых AI-инструментов, который публично обсуждают уже не как помощника для поиска подозрительного кода, а как систему, способную собирать рабочие proof-of-concept-эксплойты. Cloudflare тестировала модель на более чем 50 внутренних репозиториях в рамках закрытой программы Project …

Киберпреступники превратили взлом open source в конкурс: $1 000 за самый крупный supply chain. Риск — массовые атаки на цепочки поставок

Для критической уязвимости CVE-2026-42945 в NGINX появились технические детали и proof-of-concept-код. Проблема получила CVSS 9.2 и затрагивает ngx_http_rewrite_module — модуль, который используется для переписывания URL, редиректов и обработки правил rewrite, if и set. NGINX уже выпустил исправления в версиях 1.30.1 …

Microsoft закрыла SignSpace: сервис превращал малвар в доверенное ПО

FAST16 менял математику ядерных расчётов: исследователи уточнили цель древнего вредоноса