🔥 GitLab: две уязвимости на 10.0 за девять дней 🗓 12 октября CVE-2026-97229, CVSS 10.0. Переполнение в компиляторе регулярных выражений CI/CD при определенных условиях дает выполнение кода на сервере без авторизации. Уязвимы версии с 19.2 по 19.4 🗓 13 октября Rapid7 публикует PoC для уязвимости CVE-2026-97229: команды выполняются от пользователя git. Censys находит около 26 тыс. хостов с уязвимой версией 🗓 21 октября CVE-2026-110264, снова 10.0 и снова компиляция регулярных выражений. Затронуты все версии, начиная с 7.0. Патч от 12 октября от нее не защищает Что делать: 1. Обновить self-managed GitLab до 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 или 18.11.13 2. Для 18.10 и старше патчей нет, нужен переход на поддерживаемую ветку 3. Обходного пути GitLab не дал, спасает только обновление GitLab.com уже защищен, обновлять нужно свои серверы @tomhunter Наш канал в MAX

🛡 Приказ ФСТЭК №60: пентест стал частью аттестации С 1 сентября 2026 действует приказ №60, который изменил порядок аттестации объектов информатизации (приказ №77). Сравним: ❌ Было: пентест при аттестации прямо не требовался ✅ Стало: обязателен для ГИС и систем госсектора 1 и 2 класса с выходом в интернет или связью с другими ИС, включая системы подрядчиков ❌ Было: методы периодического контроля не назывались ✅ Стало: анализ уязвимостей и тестирование на проникновение, отчет подписывают проверяющие ❌ Было: отчет о контроле раз в 2 года, без срока сдачи ✅ Стало: раз в 3 года, во ФСТЭК за 5 рабочих дней, иначе аттестат могут приостановить Исключение: пентест не нужен, если взаимодействие идет через сеть шифрованной связи или VPN на сертифицированных СКЗИ Контроль проводят своими силами или с лицензиатом ФСТЭК на ТЗКИ Что делать: сверить сроки контроля по аттестатам и проверить лицензию исполнителя @tomhunter Наш канал в MAX

🔥 PHP2Shell: проверьте себя 21 октября закрыли две критические уязвимости в PHP (CVE-2026-109618 и CVE-2026-109619, CVSS 9.2): выполнение кода без авторизации. Cloudflare видит миллионы попыток атак, успешных взломов пока не подтверждено 🔺 Где у вас PHP? Сайты, панели хостинга, контейнеры. Обновить CMS и плагины мало, нужен патч самого PHP 🔺 Какая версия? Исправлены 8.5.12, 8.4.27, 8.3.36 и 8.2.35. php -v не покажет фикс в пакете дистрибутива, смотрите changelog 🔺 Ветка 8.1 и старше? Релизов не будет: только патчи для ручной сборки, бэкпорты дистрибутива или переход на новую версию 🔺 upload_progress выключен? session.upload_progress.enabled=0 закрывает и новую CVE-2026-115560, патча для нее пока нет 🔺 Есть следы? Ищите процессы php-fpm или apache, которые запускают shell и утилиты загрузки Не успеваете обновиться? Изолируйте сайт от интернета @tomhunter Наш канал в MAX