Угрозы, уязвимости и анализ эксплойтов.

Пять лет проверяющие FedRAMP не могли подтвердить шифрование в облаке Microsoft для госорганов. Одобрили всё равно. Бывший специалист АНБ с 30-летним стажем назвал это «театром безопасности». ProPublica опубликовала расследование на основе внутренних документов.

В дневной подборке 45 CVE выделяются два RCE в SIEM-платформе Wazuh (CVSS 9.1 каждая), утечка ключей шифрования ScreenConnect (9.0), три KVM-ошибки (9.3) и обход шлюза одобрения Apache Airflow. Инструменты защиты сами превращаются в точки входа.

252 уязвимости за один день, включая два выхода из песочницы Chrome Mojo. Один принёс исследователю рекордные $250 000, другой использовала APT-группировка TaxOff. В Unraid снова нашли цепочку root-доступа в том же файле, что и шесть лет назад.

Поддельные ИИ-приложения обманом заставляют пользователей macOS вставлять вредоносные команды в терминал. Sophos зафиксировала 50 000+ переходов за дни. Вариант InstallFix нацелен на разработчиков, потому что curl | sh для них привычный паттерн установки.

89% корпоративных взломов за 2025 год связаны со слабостями управления доступом. Вывод данных ускорился вчетверо, до 72 минут. Медианный выкуп вырос до $1,5 млн. Отчёт Unit 42 на 750+ инцидентах.

Поддельные страницы загрузки семи VPN-компаний, подписанные DLL и инфостилер Hyrax. Microsoft раскрыла кампанию Storm-2561, которая крадёт корпоративные VPN-пароли через манипуляцию поисковой выдачей.

124 новые уязвимости за сутки, три критических. Veeam Backup с четырьмя уязвимостями (CVSS до 9.8), среди которых активно эксплуатируемая группировками-вымогателями Akira, Fog и Frag.

Экстренный патч Chrome 146 закрывает два 0-day с CVSS 8.8 в графической библиотеке Skia и движке V8. Обе уязвимости уже применялись в атаках. Это второй и третий 0-day в Chrome за 2026 год.

Проиранская Handala заявила о стирании данных на 200 000 устройств медтехгиганта Stryker ($25,1 млрд выручки). Check Point Research называет это первой атакой группировки на крупную американскую компанию. Stryker подала 8-K в SEC.

Попытку прорвать защиту Национального центра ядерных исследований Польши остановили на ранней стадии. Первые следы указывают на Иран, но министр оговорился, что это может быть намеренной маскировкой.

420 новых CVE за сутки. Обход аутентификации в плагине Tutor LMS Pro для WordPress (CVSS 9.8) позволяет войти под любым пользователем. SQL-инъекция в системе автоматизации АЗС «Нефтепродукттехника» открывает базу данных заправки.

Впервые уязвимость с оценкой CVSS 9.8 обнаружил автономный ИИ-агент XBOW. Мартовский Patch Tuesday закрыл 83 уязвимости, включая две 0-day в SQL Server и .NET. Ни одна из них пока не использовалась в атаках.

Поддельное резюме в облачном хранилище запускает цепочку заражения и отключает антивирусы на уровне ядра Windows. По данным Aryaka, за кампанией BlackSanta стоит предположительно русскоязычная группировка, действующая более года.

Очередная уязвимость аннотаций ingress-nginx (CVSS 8.8) продолжает годовую цепочку проблем контроллера Kubernetes. Семь CVE в модемах Unisoc обрушивают связь Android-смартфонов удалённо. Budibase позволяет выполнять команды ОС через PostgreSQL.

Сеть из микроконтроллеров за $54 фиксирует позу тела, дыхание и пульс через стены по сигналам Wi-Fi. Проект RuView набрал 31 700 звёзд на GitHub. Шифрование WPA3 от этой технологии не защищает.