Последние новости: Уязвимости

В библиотеке звонков Signal обнаружили уязвимость CVE-2026-113380, из-за которой разговор мог продолжаться после нажатия кнопки завершения.

НКЦКИ направил владельцам критической инфраструктуры предписание обновить PHP, проверить серверы и при задержке патча ограничить доступ к сайтам.

Команда PHP объявила внеплановый выпуск исправлений для двух критических уязвимостей, каждая из которых получила оценку 9,2 по шкале CVSS 4.0. Публикацию патчей назначили на 21 октября 2026 года, 14:00 UTC — это 17:00 по Москве

В Docker Hub обнаружили критическую уязвимость, которая позволяла злоумышленникам получать доступ к чужим репозиториям контейнерных образов без пароля владельца. Для атаки достаточно было создать собственную учетную запись, выпустить токен доступа и воспользоваться ошибкой при преобразовании личного аккаунта в организацию. После …

Исследователь Оливер Фиш сообщил об уязвимости в системах OpenAI, которая, как он утверждает, позволяла выйти из изолированной среды и обращаться к внутреннему Responses API без API-ключа и учетной записи. За отчет OpenAI выплатила ему $300.

Только 14,6% российских компаний, у которых в начале 2026 года были критические уязвимости, полностью устранили их за первое полугодие. Еще 30,8% организаций сократили число таких проблем, а у 53,5% состав критических уязвимостей не изменился.

Google и Mozilla выпустили крупные обновления безопасности для Chrome и Firefox. В двух браузерах в сумме исправили более 100 уязвимостей. Среди них — критическое переполнение буфера в графическом компоненте Chrome, многочисленные ошибки работы с памятью, выходы из песочницы Firefox и …

ShinyHunters снова массово атакуют серверы Oracle PeopleSoft через критическую уязвимость CVE-2026-35273, исправление для которой вышло еще в июне. На этот раз группировка изменила эксплуатацию так, чтобы обходить часть правил межсетевых экранов веб-приложений — WAF. Для этого атакующие кодируют всего один …

Apple выпустила обновления безопасности для iPhone, iPad и Mac после обнаружения нулевого дня в системном компоненте CoreGraphics. Компания сообщила, что уязвимость могла использоваться в «чрезвычайно сложной атаке» против отдельных пользователей.

Посторонние получили доступ к серверу Defense Manpower Data Center — кадрового центра Минобороны США — с незашифрованными персональными данными более 3 млн человек. В файлах находились номера социального страхования, имена, даты рождения, контакты и сведения о военной службе.

Исследователи выделили шесть уязвимостей в JetBrains TeamCity, TrueConf Server, Microsoft SharePoint Server, Windows и Zimbra Collaboration Suite, эксплуатация которых уже зафиксирована в реальных атаках. Часть ошибок позволяет атаковать сервер удаленно без учетной записи, другие помогают получить максимальные системные привилегии после …

Уязвимость CVE-2026-7273 в коммутаторах Zyxel GS1900 использовали для взлома 996 устройств в 48 странах. Атакующий выгружал конфигурации, сведения о сети и хешированные учетные данные с правами root. На 564 скомпрометированных устройствах при этом сохранились заводские учетные данные.

WordPress исправил уязвимость Click2Shell, из-за которой специально подготовленная ссылка могла заставить сайт установить и открыть для предпросмотра выбранную атакующим тему из официального каталога WordPress.org. Для этого злоумышленнику не требовалась собственная учетная запись на сайте: достаточно было, чтобы ссылку открыл администратор …

Microsoft исправила 18 уязвимостей в Azure, Microsoft 365 Copilot и других облачных сервисах. Большая часть ошибок позволяла повышать привилегии, а семь получили максимальные 10 баллов из 10 по CVSS. Все проблемы устранены на серверах Microsoft, поэтому клиентам не нужно устанавливать …

Cisco выпустила экстренное исправление для критической уязвимости CVE-2026-76460 в Identity Services Engine. Уязвимость получила максимальные 10 баллов из 10 по CVSS и уже используется в реальных атаках. Для эксплуатации не нужна учетная запись: удаленный атакующий может отправить специально сформированный запрос …