·	14.04.2026	Уязвимость в Python-библиотеках lzma, bz2 и gzip, потенциально приводящая к выполнению кода (63 +20)
	В поставляемых в составе CPython классах распаковки сжатых данных в форматах lzma, bz2 и gzip (lzma.LZMADecompressor, bz2.BZ2Decompressor и gzip.GzipFile) выявлена уязвимость (CVE-2026-6100), приводящая к обращению к памяти после её освобождения. Проблема присвоен критический уровень опасности (9.1 из 10) - в случае успешной эксплуатации уязвимость может привести к утечке информации из памяти процесса или выполнению кода атакующего при распаковке специально оформленных данных... (63 +20) обсуждение | весь текст
·	10.04.2026	Опасные уязвимости в GStreamer, CUPS, wolfSSL, OpenSSL, OpenClaw, Nix и ядре Linux (154 +30)
	Несколько выявленных за последние дни опасных уязвимостей, большинство из которых можно эксплуатировать удалённо:... (154 +30) обсуждение | весь текст
·	08.04.2026	Anthropic анонсировал AI-модель Claude Mythos, умеющую создавать рабочие эксплоиты (115 +23)
	Компания Anthropic представила проект Glasswing, в рамках которого предоставит доступ к предварительному варианту AI-модели Claude Mythos с целью выявления уязвимостей и повышения безопасности критически важного программного обеспечения. В число участников проекта включена организация Linux Foundation, а также компании Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, NVIDIA и Palo Alto Networks. Приглашения принять участие в проекте также получили ещё около 40 организаций... (115 +23) обсуждение | весь текст
·	08.04.2026	Уязвимость во Flatpak, позволяющая выполнить код вне изолированного окружения (117 +17) ↻
	В опубликованном несколько часов назад корректирующем выпуске системы самодостаточных пакетов Flatpak 1.16.4, а также в экспериментальном выпуске 1.17.4, устранена уязвимость (CVE-2026-34078), позволяющая вредоносному или скомпрометированному приложению в формате flatpak, обойти установленный режим sandbox-изоляции, получить доступ к файлам в основной системе и выполнить произвольный код вне режима изоляции. Проблеме присвоен критический уровень опасности (9.3 из 10)... (117 +17) ↻ обсуждение | весь текст
·	07.04.2026	Атака GPUBreach, позволяющая получить root-доступ через выполнение CUDA-кода на GPU NVIDIA (34 +15)
	Группа исследователей из университета Торонто разработала технику атаки GPUBreach, которая аналогично анонсированным на днях атакам GDDRHammer и GeForge использует технику RowHammer для искажения битов видеопамяти GDDR и повреждения таблицы страниц памяти GPU. GPUBreach позволяет получить root-доступ в основное системное окружение через выполнение в GPU NVIDIA непривилегированного ядра CUDA... (34 +15) обсуждение | весь текст
·	04.04.2026	Атаки GDDRHammer и GeForge, искажающие память GPU для доступа ко всей памяти CPU (66 +27)
	Исследователи из нескольких университетов США и Австралии разработали две атаки класса Rowhammer - GDDRHammer и GeForge, позволяющие при выполнении непривилегированного ядра CUDA на GPU NVIDIA добиться искажения отдельных битов в чипах видеопамяти GDDR. В отличие от представленного в прошлом году метода GPUHammer, новые атаки не ограничиваются воздействием на данные, обрабатываемые в памяти GPU, а позволяют получить полный доступ ко всей основной памяти, относящейся к адресному пространству CPU. Исследователями продемонстрированы эксплоиты, предоставляющие root-доступ к основной системе при выполнении непривилегированного CUDA-ядра на GPU... (66 +27) обсуждение | весь текст
·	03.04.2026	Неофициальный Telegram-клиент Nekogram отправлял номера телефонов боту разработчика (152 +55)
	В неофициальном Telegram-клиенте Nekogram выявлен обфусцированный код, скрыто отправляющий боту "@nekonotificationbot" номера телефонов пользователей, вошедших в приложение, в привязке к идентификатору пользователя. Изменение для сбора номеров телефонов присутствует только в готовых APK-пакетах, распространяемых через Google Play, GitHub и Telegram-канал проекта. В исходном коде на GitHub и в APK-пакете из каталога F-Droid собирающее телефоны изменение отсутствует... (152 +55) обсуждение | весь текст
·	03.04.2026	Раскрыты подробности захвата учётных данных сопровождающего NPM-пакет axios (95 +41)
	Сопровождающий NPM-пакет axios, для которого на днях были выпущены вредоносные обновления, раскрыл подробности атаки, в результате которой атакующим удалось получить доступ к его компьютеру и всем учётных данным. Атака была проведена с использованием типового метода социального инжиниринга, который ранее уже использовался для компрометации разработчиков криптокошельков и AI-платформ... (95 +41) обсуждение | весь текст
·	02.04.2026	Уязвимость в автопилоте PX4, позволяющая выполнить код без аутентификации (15 +8)
	В PX4, открытом стеке с реализацией автопилота для дронов и автономных транспортных средств, выявлена уязвимость (CVE-2026-1579), позволяющая выполнить на устройстве произвольные shell-команды без криптографической аутентификации при наличии доступа к интерфейсу MAVLink. Проблеме присвоен критический уровень опасности (9.8 из 10)... (15 +8) обсуждение | весь текст
·	01.04.2026	Удалённо эксплуатируемые уязвимости в ядре FreeBSD, Vim и Emacs (143 +23)
	Во FreeBSD устранена уязвимость (CVE-2026-4747), позволяющая через отправку сетевых пакетов к NFS-серверу добиться выполнения кода на уровне ядра. Проблема проявляется при использовании модуля kgssapi.ko, реализующего API RPCSEC_GSS на стороне ядра. Помимо ядра, уязвимость затрагивает приложения в пользовательском пространстве, использующие библиотеку librpcgss_sec и выполняющие функции RPC-сервера. Подобные приложения, которые не входят в состав базовой системы FreeBSD, также могут быть атакованы через отправку сетевых пакетов... (143 +23) обсуждение | весь текст
·	31.03.2026	Скомпрометирован NPM-пакет axios, имеющий 100 млн загрузок в неделю (40 +16)
	Злоумышленники смогли перехватить учётную запись сопровождающего и выпустить два вредоносных выпуска NPM-пакета axios, предлагающего реализацию HTTP-клиента для браузеров и Node.js. Пакет axios насчитывает более 100 млн загрузок в неделю и используется в качестве зависимости у 174 тысяч других пакетов. Вредоносные изменения были интегрированы в выпуски Axios 1.14.1 и 0.30.4 через подстановку фиктивной зависимости plain-crypto-js 4.2.1, содержащей код для загрузки компонентов, принимающих команды с управляющего сервера злоумышленников. Вредоносные выпуски предлагались для загрузки 31 марта в течение почти 3 часов - с 03:21 по 6:15 (MSK)... (40 +16) обсуждение | весь текст
·	29.03.2026	Компрометация PyPI-пакета Telnyx (42 +5)
	Разработчики VoIP-платформы Telnyx предупредили пользователей о компрометации пакета telnyx в репозитории PyPI, насчитывающего 756 тысяч загрузок в месяц и предоставляющего SDK для обращения к API Telnyx из программ на языке Python. 27 марта атакующие смогли опубликовать два вредоносных выпуска telnyx 4.87.1 и 4.87.2, получив доступ к PyPI после захвата учётных данных сопровождающего. Вредоносные версии распространялись с 6:51 до 13:13 (MSK), после чего были заблокированы администрацией PyPI. Инфраструктура, API, голосовые сервисы и платформа Telnyx не пострадали... (42 +5) обсуждение | весь текст
·	25.03.2026	Обновления nginx 1.29.7 и 1.28.3 с устранением 6 уязвимостей (27 +7)
	Сформирован выпуск основной ветки nginx 1.29.7, в рамках которой продолжается развитие новых возможностей, а также выпуск параллельно поддерживаемой стабильной ветки nginx 1.28.3, в которую вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей. В обновлениях устранено 6 уязвимостей, три из которых приводят к переполнению буфера. Четырём уязвимостям присвоен высокий уровень опасности (8.8 или 8.5 из 10)... (27 +7) обсуждение | весь текст
·	24.03.2026	В PyPI размещены вредоносные выпуски библиотеки LiteLLM, насчитывающей 95 млн загрузок в месяц (27 +21)
	Разработчики Python-библиотеки LiteLLM, насчитывающей 95 млн загрузок в месяц и 3.5 млн за последние сутки, сообщили о компрометации проекта. Атакующие смогли перехватить учётные данные сопровождающего и опубликовать в PyPI два вредоносных выпуска - 1.82.7 и 1.82.8, содержащих код для кражи ключей и паролей с систем пользователей. В настоящее время вредоносные версии удалены из PyPI, а проект временно заморожен до окончания разбирательства... (27 +21) обсуждение | весь текст
·	24.03.2026	В Telega, альтернативном клиенте Telegram, выявили возможность совершения MITM-атаки (161 +53) ↻
	Опубликовано исследование, в котором утверждается, что Telega, альтернативный клиент Telegram, содержит изменения, позволяющие реализовать MITM-атаку и отключающие ключевые элементы криптозащиты Telegram. Клиент Telega использует код оригинального Android-клиента Telegram, распространяемый под лицензией GPLv2, но не раскрывает вносимые изменения, вопреки требованиям лицензии... (161 +53) ↻ обсуждение | весь текст
<< Предыдущая страница (позже)
Следующая страница (раньше) >>