Последние новости: Эксплойт

CISA обязала федеральные гражданские ведомства США закрыть критическую уязвимость в Adobe ColdFusion до пятницы, 10 июля 2026 года. Речь о CVE-2026-48282 — ошибке с максимальной оценкой 10 из 10 по CVSS. Уязвимость уже добавлена в каталог Known Exploited Vulnerabilities, куда …

Linux Foundation представила Akrites — новый проект для координации исправления уязвимостей в критичном open source. Идея простая: пока ИИ ускоряет поиск багов, мейнтейнеры тонут в отчётах, дублях и шуме. Akrites должен стать единым защищённым каналом, где находки проверяют, дедуплицируют, чинят …

В сети нашли около 950 открытых экземпляров Oracle E-Business Suite — злоумышленники уже тестируют критическую уязвимость CVE-2026-46817. Проблема находится в Oracle Payments, компоненте File Transmission, и позволяет атакующему без учётной записи обратиться к системе по HTTP и скомпрометировать Oracle Payments. …

Хакеры активно используют уязвимость CVE-2026-4020 в WordPress-плагине Gravity SMTP. Проблема позволяет без входа в админку получить системный отчёт сайта, API-ключи, OAuth-токены и данные почтовых интеграций. Формально уязвимость получила среднюю оценку CVSS 5.3, но в реальной эксплуатации выглядит куда опаснее: через …

actions/checkout@v7 теперь по умолчанию блокирует популярный путь для атак на цепочки поставки: запуск кода из чужого pull request в привилегированном workflow. Старые мажорные версии получат защиту 16 июля 2026 года.

Microsoft подтвердила уязвимость CVE-2026-50656 в движке Microsoft Malware Protection Engine, который используется в Microsoft Defender. Для проблемы уже опубликован демонстрационный эксплоит, а исправление пока находится в разработке.

ShinyHunters использовали CVE-2026-35273 для кражи данных

CVE-2026-11645: Google закрыла уязвимость в Chrome, которую уже использовали в атаках

Google выпустила июньское обновление безопасности Android и закрыла уязвимость нулевого дня CVE-2025-48595. Компания указала, что для этой ошибки есть признаки ограниченной целевой эксплуатации.

Azure Portal и спорный npm-пакет: исследователь говорит о RCE, MSRC — о неэксплуатируемом сценарии. Microsoft закрыла отчёт по dependency confusion, несмотря на callback из своей инфраструктуры

Microsoft уточнила позицию по Nightmare-Eclipse: добросовестным исследователям не грозят иски

Ghost CMS не обновили после февральского патча — и 700 сайтов стали приманкой для ClickFix. Harvard, Oxford и DuckDuckGo попали в кампанию с заражёнными сайтами Ghost

Microsoft выпустила рекомендации по защите от YellowKey — уязвимости нулевого дня в BitLocker, которая позволяет получить доступ к зашифрованному системному диску Windows при физическом доступе к устройству. Проблема получила идентификатор CVE-2026-45585. Полного патча пока нет: компания предлагает вручную изменить образ …

Chrome, Edge и Brave под риском: баг Background Fetch держит JavaScript живым после закрытия браузера

Для критической уязвимости CVE-2026-42945 в NGINX появились технические детали и proof-of-concept-код. Проблема получила CVSS 9.2 и затрагивает ngx_http_rewrite_module — модуль, который используется для переписывания URL, редиректов и обработки правил rewrite, if и set. NGINX уже выпустил исправления в версиях 1.30.1 …