Последние новости: DevSecOps

Сокращённый инженер Atlassian записал разбор систем, которые строил 8 лет. Интернет принял это за месть

В npm обнаружили три вредоносные версии пакета node-ipc: 9.1.6, 9.2.3 и 12.0.1. Пакет используется в Node.js-проектах для межпроцессного взаимодействия, а вредоносный код был встроен в CommonJS-сборку node-ipc.cjs. При загрузке через require("node-ipc") он запускался автоматически, собирал переменные окружения, SSH-ключи, облачные конфиги, …

Киберпреступники превратили взлом open source в конкурс: $1 000 за самый крупный supply chain. Риск — массовые атаки на цепочки поставок

Для критической уязвимости CVE-2026-42945 в NGINX появились технические детали и proof-of-concept-код. Проблема получила CVSS 9.2 и затрагивает ngx_http_rewrite_module — модуль, который используется для переписывания URL, редиректов и обработки правил rewrite, if и set. NGINX уже выпустил исправления в версиях 1.30.1 …

Экосистема npm пережила заметный сдвиг: вредоносные пакеты перестали быть мелким шумом вокруг опечаток в названиях библиотек. Атаки всё чаще бьют по реальным пакетам, учётным записям сопровождающих, сборочным конвейерам и токенам публикации. Главная цель — не компьютер отдельного разработчика, а вся …

В корпоративной безопасности до сих пор живёт опасный рефлекс: нашли компрометацию — всем срочно меняем пароли. В Active Directory это часто не решает проблему. Злоумышленник может работать не с паролем, а с хэшем, Kerberos-ticket, токеном, правами репликации или служебным ключом …

GitHub подтвердил несанкционированный доступ к части внутренних репозиториев после компрометации устройства сотрудника через вредоносное расширение Visual Studio Code. Группа TeamPCP выставила данные на продажу на хакерском форуме и заявила о доступе примерно к 4 000 приватных репозиториев. GitHub говорит, что …

В Linux раскрыли новую опасную уязвимость повышения привилегий — Dirty Frag. Она позволяет локальному непривилегированному пользователю получить root-доступ через ошибки в сетевых и memory-fragment механизмах ядра. Под ударом — Ubuntu, RHEL, CentOS Stream, AlmaLinux, Fedora, openSUSE и OpenShift-среды. Особенно неприятный …

Разработчикам PHP-проектов рекомендуют срочно обновить Composer до версий 2.9.8, 2.2.28 LTS или 1.10.28. Исправление закрывает уязвимость CVE-2026-45793, из-за которой Composer мог вывести полный GitHub Actions GITHUB_TOKEN или GitHub App installation token в stderr, а затем — в логи CI. Проблема …

Checkmarx предупредила клиентов о поддельной версии своего Jenkins AST Scanner — плагина, который подключает проверки безопасности Checkmarx One к пайплайнам Jenkins. Вредоносная сборка 2026.5.09 появилась в Jenkins Marketplace 9 мая 2026 года и была доступна до 10 мая. Компания советует …

Python под угрозой: asyncio ломает память и открывает путь к RCE

Исследователь показал, как GitHub-комментарии, issue и заголовки PR можно использовать для prompt injection против Claude Code, Gemini CLI Action и GitHub Copilot Agent. Атака позволяет вытаскивать токены и API-ключи из окружения.

Одна ошибка в Kubernetes — и хакер уже в облачном аккаунте. Как ошибки в Kubernetes открывают путь к облачной инфраструктуре.

Supply chain-атака на Trivy: скомпрометированы релизы, GitHub Actions и Docker-образы

Представлен инструмент для автоматического аудита криптографических решений в условиях перехода к постквантовой эпохе. Утверждение стандартов NIST положило начало миграции индустрии на квантово‑устойчивые алгоритмы шифрования.