Угрозы, уязвимости и анализ эксплойтов.

OpenSSL выпустила исправления для нескольких уязвимостей, включая CVE-2026-31790, которая может раскрывать данные из памяти процесса при специфичном использовании RSA KEM.

Apache выпустила исправление для CVE-2026-34197 в ActiveMQ Classic. Уязвимость позволяет выполнить код через Jolokia API и в некоторых конфигурациях может эксплуатироваться без пароля.

Критическая уязвимость в Dgraph: без входа можно перезаписать базу и читать файлы сервера

В Apache Traffic Server нашли две опасные уязвимости

Уязвимость TrueConf: хакеры распространяли вредоносные обновления через сервер

Эксперты Kaspersky обнаружили новый троян SparkKitty в App Store, Google Play и на сторонних сайтах. Вредонос крадет изображения из галереи смартфона и может искать данные для доступа к криптокошелькам.

ASEC сообщила о продолжающейся кампании Larva-26002 против плохо защищённых MS-SQL-серверов. Злоумышленники используют BCP, слабые пароли и сканер ICE Cloud Client для дальнейших атак.

В Chrome срочно устранили ещё один zero-day: Google подтвердила атаки в реальном мире

Исследователи DomainTools обнаружили вредоносное расширение ChatGPT Ad Blocker в Chrome Web Store. Под видом блокировки рекламы оно копировало переписки пользователей ChatGPT и отправляло их через Discord-вебхук. Рассказываем, как работала схема и что делать пользователям.

Android-кампания NoVoice затронула 2,3 млн установок: McAfee раскрыла схему заражения через Google Play. NoVoice маскировался под «чистильщики» и утилиты

Пустующие дома стали инструментом мошенников: преступники перехватывают почту и крадут личные данные

Исследователи Kaspersky сообщили о новой вредоносной программе CrystalX RAT. Это троян удаленного доступа, который распространяют по модели «вредонос как услуга»: клиентам предлагают подписку, веб-панель и набор функций для шпионажа, кражи данных, перехвата ввода и удаленного управления устройством. От похожих угроз …

Четвёртый Chrome zero-day за 2026 год затрагивает Dawn WebGPU. CVE-2026-5281 (CVSS 8.8) применяется как второй этап атаки для выхода из песочницы. Один исследователь нашёл четыре ошибки в графическом стеке Chrome за два месяца. CISA требует обновления до 15 апреля.

Исследователи BeyondTrust Phantom Labs обнаружили в OpenAI Codex уязвимость, которая позволяла через специально подготовленное имя ветки GitHub выполнять команды в контейнере агента и извлекать OAuth-токены. OpenAI уже исправила проблему, но история показала новые риски агентной разработки.

В базе Zero Day Initiative появилась запись ZDI-CAN-30207 для Telegram. Но в истории уже возникли расхождения: текущая карточка ZDI показывает CVSS 7,0, а Telegram вообще отрицает наличие критической уязвимости. Разбираем, что подтверждено, а что пока нет.