Телеграм канал «Инфобезопасность»

Нейросеть Claude нашла почти 500 проблем безопасности в открытом ПО — одна ошибка пряталась 21 год

https://clck.ru/3Wf3W4

Anthropic с помощью Claude проверила 25 крупных open source-проектов на C, C++, Java, PHP и Python. В сумме это более 5 млн строк кода, и в нём нашлось почти 500 проблем, связанных с безопасностью.

Что обнаружила нейросеть:

— во всех 11 проектах для авторизованных пользователей есть код, доступный без входа в систему;

— 93 поверхности атаки до аутентификации в настройках по умолчанию;

— 162 недокументированных сочетания параметров, часть которых отключает защиту;

— конфликт настроек, который 21 год позволял отменить проверку клиентского сертификата.

Отдельный пример — OpenSSH. Его демон обращался к 4500 строкам экспериментального постквантового кода ещё до проверки конфигурации сервера. После уведомления от Anthropic разработчики выпустили версию 10.6, где около пятой части кода закрыто от неаутентифицированных клиентов.

В Anthropic считают поиск отдельных уязвимостей сизифовым трудом и предлагают сокращать поверхность атаки. Методика станет навыком Claude и вскоре появится в бесплатном сервисе OSS-Scanner.

Центр при ФСБ велел объектам КИИ отключать сайты из-за уязвимостей в PHP

https://clck.ru/3We52F

НКЦКИ 22 октября разослал через ГосСОПКА письмо владельцам объектов критической информационной инфраструктуры. Поводом стали две критические уязвимости в языке PHP с оценкой 9,2 из 10, которые обнаружил искусственный интеллект. Они позволяют удалённо захватить сайт без пароля и вытащить из памяти сервера ключи и учётные данные.

На PHP работают 90,8% русскоязычных сайтов. За рубежом госсервисы уже временно закрыли Финляндия и Чехия, часть систем отключила Wikimedia. Лука Сафонов из «Гарда WAF» предупреждает, что обновление WordPress, Drupal или Joomla не поможет: уязвим сам язык. Он ожидает в ближайшее время серьёзную волну атак.

Хакеры уже атакуют сайты через свежие критические дыры в PHP

https://clck.ru/3WdPfJ

Злоумышленники начали эксплуатировать уязвимости PHP2Shell (CVE-2026-109618 и CVE-2026-109619). Это две критические ошибки в интерпретаторе PHP с оценкой 9,2 по CVSS, которые позволяют без авторизации выполнить код на сервере.

Под угрозой все установки PHP, обрабатывающие веб-запросы: PHP-FPM, mod_php, php-cgi, FrankenPHP и LiteSpeed. Значит, уязвимы и сайты на WordPress, Magento, MediaWiki и других платформах.

Детали утекли 20 октября, а первые атаки Cloudflare зафиксировала ещё до выхода патча.

Исправленные версии:

— 8.5.12;
— 8.4.27;
— 8.3.36;
— 8.2.35.

Для веток 5 и 7 официальных патчей нет. После обновления нужно перезапустить PHP-FPM или веб-сервер.

Злоумышленники захватили более 300 выходных узлов Tor для перехвата SSH-паролей

https://clck.ru/3WcKFJ

В начале октября неизвестные получили контроль над более чем тремя сотнями выходных ретрансляторов Tor. Через них SSH-подключения уходили на 12 серверов-перехватчиков. На пике, 4 октября, на такие узлы приходилось 7,46% всей выходной мощности сети.

Жертвой мог стать тот, кто с 1 по 5 октября подключался к SSH через Tor, согласился с подменённым ключом хоста и вошёл по паролю. Вход по ключу перехватить было нельзя. Число пострадавших неизвестно.

Хакеры с украденными ключами UpdraftCentral внедряли бэкдоры на сайты WordPress

https://clck.ru/3WcK63

18–19 октября злоумышленник с действующими ключами сервиса удалённого управления UpdraftCentral устанавливал скрытые плагины-бэкдоры на сайты WordPress. Клиент UpdraftCentral встроен в каждую копию плагина резервного копирования UpdraftPlus, у которого более 4 млн установок.

Команды были подписаны настоящими закрытыми ключами, поэтому все проверки их пропускали. По версии исследователей Patchstack и Nethemba, ключи утекли из облачной среды разработчика TeamUpdraft.

Как работал бэкдор:

— создавал учётную запись с ролью «Редактор» и скрытыми правами администратора;

— входил через cookie в обход формы авторизации и двухфакторной аутентификации;

— сохранял аккаунт даже после удаления плагина.

Обновление плагина не помогает. Владельцам сайтов советуют удалить все ключи UpdraftCentral, даже если сервисом никогда не пользовались: ключ мог появиться автоматически при привязке аккаунта TeamUpdraft. Резервное копирование после этого продолжит работать.

«Рынок пуст» как отговорка: как ленивый эйчар и слепая вера в ИИ оставили компанию без безопасника

Компания три месяца искала специалиста по информационной безопасности, и всё это время HR сообщал, что подходящих кандидатов на рынке нет. Тогда действующий инженер по защите информации, который полностью соответствовал требованиям вакансии, отправил своё резюме, чтобы проверить отбор. Через шесть минут пришёл автоматический отказ без объяснений.

Причина оказалась в настройке ИИ-скрининга: система искала точные совпадения по ключевым словам.

В статье разбираем, что именно алгоритм пропустил:

— опыт с SIEM, описанный через Splunk, QRadar и MaxPatrol;

— пентест, указанный как Red Team и тестирование на проникновение;

— DLP и СОРМ, записанные полными названиями;

— должность, названную иначе, чем в вакансии;

— сертификаты CISSP и OSCP, указанные вне шапки резюме.

Отдельно говорим о том, почему ответственность за такой отбор лежит на людях, которые настраивают и контролируют систему. Также объясняем, что компании стоит сделать: составить словарь синонимов для ИБ-терминов, проверять фильтры на резюме действующих сотрудников, оставить финальное решение за человеком и проверять сам ИИ-инструмент так же, как любую другую часть инфраструктуры.

Читать статью: https://clck.ru/3WbstU

Хакеры взломали систему управления серверами VMmanager — под угрозой данные клиентов российских хостингов

https://clck.ru/3WaryR

Несколько хостинг-провайдеров предупредили клиентов о взломе VMmanager 6 — платформы управления виртуальными серверами от ISPsystem, входящей в «Группу Астра». В компании подтвердили инцидент и связали его с уязвимостью в одной из сборок продукта.

Как сообщил FirstVDS, 17 октября атакующие получили доступ к части узлов виртуализации и запустили инструмент, который подключал диски клиентских VPS и копировал с них файлы. Внутрь гостевых систем проникать не требовалось, а работа серверов не прерывалась.

Под угрозой могли оказаться:

— пароли;
— SSH-ключи;
— облачные токены;
— конфигурационные файлы;
— криптокошельки;
— пользовательские документы.

По данным ForestNet Cloud, заражение могло идти с 11 по 16 октября, а активная фаза пришлась на ночь на 17 октября. Об атаке также сообщили MHost, HSH Network и YaColo.

ISPsystem выпустила несколько патчей, но уязвимость пока закрыта не полностью. Среди пользователей VMmanager — PSB Hosting, 4VPS, «ОБЛАКО.РУ», медцентры и УрФУ.

Клиентам таких хостингов стоит сменить пароли, перевыпустить SSH-ключи и токены, а средства с криптокошельков на серверах перевести на новые адреса.