Телеграм канал «CodeSpec»

🥲

Эль-Класико 🚀

Хроники коллапса интернета 2026, часть N, не последняя
⚠️ 1. eMudhra
Скомпрометированы восемь ключей промежуточных центров сертификации. Один из приватных ключей — число 4. Другие — 56 и 115. Вместо случайных 384-битных значений все восемь уложились в один байт. Исследователь восстановил их из публичных сертификатов на ноутбуке меньше чем за секунду.

С такими ключами можно подписывать поддельные сертификаты для чужих сайтов. Клиенты, которые доверяют этим CA, будут принимать подделки. Проверять и обновлять нужно хранилища доверия в ОС, контейнерах и приложениях. Браузер мог уже получить блокировку, а библиотека внутри вашего сервиса — ещё нет.

Срочнейшим образом обновите все свои браузеры, операционные системы, прошивки устройств.
⚠️ 2. PHP2Shell
Две критические уязвимости с возможностью выполнения кода без авторизации. AWS видела попытки эксплуатации ещё 17 октября, за четыре дня до раскрытия. Обновлением WordPress это не лечится: обновлять нужно сам PHP. Исправленные версии: 8.2.35, 8.3.36, 8.4.27, 8.5.12.

⚠️ 3. LiteLLM
В официальный релиз 1.107.0 подсунули стилер и средства удалённого выполнения кода. Заражённые артефакты раздавали через PyPI, Docker Hub и GHCR, включая теги latest, main-latest и main-stable. Релиз уже убрали. Если запускали заражённую версию, доступные ей ключи и пароли следует считать утёкшими.

⚠️ 4. GitLab
CVSS 10.0: переполнение в компиляторе регулярок при определённых условиях позволяет выполнить код без авторизации. Проблема тянется с версии 7.0. Патчи выпущены, в том числе для старых веток.

⚠️ 5. Node.js
RCE в Brotli-декодере при обработке специально подготовленных данных. Затронуты ветки 22, 24 и 26. Исправления: 22.23.4, 24.22.1 и 26.12.1. Для Node.js и GitLab подтверждения массовой эксплуатации в проверенных источниках пока нет.

⚠️ 6. Railway
Посторонние могли получить переменные окружения клиентов и расшифровать часть значений. Там API-ключи, пароли баз и доступы к реестрам. Масштаб ещё выясняют, но компания рекомендует заменить все сохранённые секреты. На время расследования остановили новые деплои.

⚠️ 7. OVHcloud CLI
Через захваченный GitHub-аккаунт разработчика подменили бинарники версий 0.11.0–0.15.0. Они собирали секреты с диска. CI/CD не трогали: права позволяли менять готовые релизы в обход проверок. Неизменяемость релизов включили уже после взлома.

⚠️ 8. Onamae Desktop Cloud
У японского VPS-провайдера подтвердили установку малвари в части клиентских окружений. Потенциально затронуты 26 739 серверов. Провайдер начал их отключать. Многие использовали эти VPS для торговых ботов.

Ещё по теме:
• ConnectWise / Microsoft 365: Storm-0940 использовала ИИ-агентов для атак на клиентские тенанты. 2250 — число целей, а не успешных взломов.
• Plex2Shell: CISA подтвердила эксплуатацию четырёх уязвимостей Plex.
• CrowdStrike разобрала четыре группы с ИИ-агентами. Кампании происходили в мае–августе.
Фоном:
• Capcom ID: доступ к 11,77 млн записей, 196 несанкционированных смен пароля.
• PingCAP: украдены исходники и внутренние данные, включая SQL-тексты и биллинг.
• Meta Muse: более 6800 ссылок на общие чаты находились через passive DNS.
• AfD подтвердила взлом почтового провайдера. СМИ сообщают о 421 тысяче писем.
• Crime Stoppers: раскрыт масштаб утечки более 1,5 млн конфиденциальных сообщений.
• Ahold Delhaize: атака нарушила работу сайтов и приложений торговых сетей в Европе и США.

Тестирую kling.ai

Anthropic в пятницу помимо прекрасного отчета про изменения в найме и работе внутри компании опубликовала и еще одно исследование: «The AI expectations gap». В нем сравниваются взгляды сотрудников Anthropic и широкой выборки взрослых американцев на то, как AI изменит их работу к 2030 году. Иными словами: взгляды тех, кто действительно создает и использует ИИ — и взгляды тех, кто с ним знаком по диалогам в ChatGPT и статьям недалеких журналистов и блогеров.
Главная картинка прямо здесь (обратите внимание на любопытную инверсию в левом нижнем углу), но в статье есть не менее любопытные результаты, касающиеся, например, автономии. Сотрудники, понятно, уверены в возможности полностью автономной работы ИИ в широком наборе ролей, публика, конечно, сомневается:)
Традиционно советую почитать текст самостоятельно или с помощью любимого агента, там много любопытного, но вкусы-то у всех читателей разные:)
https://www.anthropic.com/research/ai-expectations-gap