Посты канала 0day Alert

Критическая уязвимость найдена в плагине для WooCommerce и WordPress Defused Cyber зафиксировала попытки эксплуатации уязвимости CVE-2026-81648 в плагине CryptoPayment Gateway, которая получила 10 баллов из 10 по шкале CVSS 3.1. Под угрозой находятся версии 1.2.1 и 1.2.2, при этом исправления пока нет, а последняя версия остаётся самой новой. Причина уязвимости кроется в отсутствии проверки прав доступа в одном из AJAX-обработчиков плагина. Из-за этого посторонний пользователь без входа в учётную запись может удалять файлы сервера, менять платёжные настройки и извлекать данные криптокошельков в открытом виде. Поскольку патча нет, владельцам сайтов рекомендуют удалить плагин и заменить ключи и другие секреты кошельков. После этого стоит проверить настройки платежей и файлы сервера, так как обычное обновление WordPress ошибку внутри дополнения не устранит. #wordpress #уязвимость #плагин #криптоплатежи @ZerodayAlert

Крупнейшая криптобиржа Бразилии сообщила об атаке на свои системы Атака на Mercado Bitcoin произошла в ночь на 2 ноября, после чего с кошельков биржи вывели активы более чем на $46 млн. Компания быстро пресекла атаку, временно приостановила ввод и вывод криптовалюты и обратилась к компетентным органам. Биржа утверждает, что клиенты не понесли убытков, а персональные данные не утекли. Однако анализ Bitquery выявил переводы с 35 853 депозитных адресов клиентов в сети Ethereum, а подозрительные операции, по оценке исследователей, продолжались и после заявления о локализации инцидента. Часть похищенных средств удалось заблокировать: Mercado Bitcoin сообщила о заморозке активов на $11,2 млн, а Tether подтвердила блокировку около $4,5 млн. К поиску похищенной криптовалюты подключилась Chainalysis, а компания опубликовала адреса кошельков, чтобы участники рынка могли отслеживать переводы. #mercadobitcoin #криптобиржа #взломбиржи #блокчейн @ZerodayAlert

Новая кампания слежки: Apple предупредила журналистов и других пользователей Apple разослала уведомления о возможных целевых атаках пользователям в 99 странах. Масштаб кампании подтвердил исследователь угроз Костин Райю, но доступные журналы событий пока не позволяют установить, кто за ней стоит. Среди получателей оказались журналисты, которые уже сталкивались со взломами. Руководитель турецкого бюро Middle East Eye Рагып Сойлу получил три таких предупреждения за 2026 год, а ливанский документалист Радван Мортада ранее становился целью шпионской программы Pegasus. Apple не раскрывает технические детали атак и не называет предполагаемых заказчиков. Компания объясняет это тем, что такая информация помогла бы разработчикам шпионского ПО обходить защиту, и рекомендует получателям включить Lockdown Mode. #шпионскоепо #apple #журналисты #lockdownmode @ZerodayAlert

Разбор веб-тасок с AI: от SQLi до SSTI 🚩 Название уязвимости ещё не флаг. Нужно найти точку ввода, понять, как приложение обрабатывает данные, и подтвердить гипотезу ответом сервера. Сегодня в 19:00 МСК специалист по анализу защищённости Никита Коломиец на открытом воркшопе решит четыре учебные веб-таски и покажет весь путь от условия до флага.  На отдельных этапах подключит AI, и ты увидишь, что предложила модель и как это проверяли. На встрече разберём: 🔻 SQL-инъекцию в INSERT-запросе (InsertIssue); 🔻 XSS (Contact); 🔻 SSTI во Flask/Jinja (Temple); 🔻 NoSQL-инъекцию в MongoDB (Mango); 🔻 как давать AI контекст и проверять его ответы. Если хочешь посмотреть, как с задачами пентеста работает действующий специалист, и перенять его приёмы, приходи сегодня вечером. 👉 Зарегистрироваться 👉 Подробнее о воркшопе

Хакеры начали эксплуатировать критическую уязвимость в Node-RED VulnCheck зафиксировала 16 попыток эксплуатации уязвимости CVE-2026-58115 с 30 октября по 1 ноября. Проблема получила максимальную оценку 10 баллов по CVSS и затрагивает Node-RED, который используют в том числе в промышленной автоматизации. Злоумышленники отправляют HTTP-запрос к административному интерфейсу, создают вредоносный сценарий и запускают системные команды без авторизации. В обнаруженных атаках код загружал исполняемый файл Linux непосредственно в оперативную память. Риск особенно высок для промышленных устройств с доступным извне интерфейсом Node-RED. Siemens выпустила исправление для затронутых систем ещё в августе. Администраторам стоит проверить версии ПО, ограничить доступ к API и убедиться в отсутствии посторонних сценариев. #NodeRED #Siemens #Linux #RCE @ZerodayAlert

В Langflow обнаружили две критические уязвимости с оценкой 9,8 балла IBM раскрыла две ошибки безопасности, позволяющие атаковать серверы Langflow без авторизации. Проблемы затрагивают версии с 1.0.0 по 1.12.8 включительно. Исправления вошли в выпуск 1.13.0. Первая уязвимость позволяет обойти проверку доступа через MCP, вторая открывает путь к удалённому выполнению кода. Для эксплуатации не требуются учётные данные. Для одной из ошибок уже появился модуль Metasploit, однако реальные атаки пока не подтверждены. Чтобы закрыть уязвимости, необходимо перейти на Langflow 1.13.0. Перед обновлением желательно сохранить базу данных и секретный ключ. Также потребуется учесть изменения в настройках автоматического входа. #Langflow #IBM #MCP #RCE @ZerodayAlert

Уязвимость в Commerce Core позволяла менять цену и обходить оплату Уязвимость CVE-2026-118539 находится в модуле Commerce Core, который отвечает за корзину, оформление покупок и работу торговых функций через API. Из-за недостаточной проверки прав доступа посторонний может взаимодействовать с маршрутами и полями заказов без необходимых разрешений. Проблема затрагивает версии Commerce Core ниже 8.x-2.41 и выпуски 3.x до 3.3.13, а исправления вышли 28 октября. Опасность касается и обычных магазинов, и проектов с отдельной клиентской частью, которая обращается к магазину через API. Centarro получила два сообщения о мошеннических заказах, среди которых встречались покупки по цене 1 цент, но признаков массовой кампании не выявлено. Поэтому владельцам магазинов советуют не только обновить модуль, но и сопоставить оплаченные заказы с реальными платёжными операциями. #drupal #уязвимость #commerce #покупки @ZerodayAlert

Функция «Поделиться» в ChatGPT стала лазейкой для XSS Атака начиналась с обычной общей ссылки на chatgpt.com, которую создавал злоумышленник через штатную функцию доступа. Вместе с открытой беседой загружался код, способный выйти за пределы изолированной области просмотра. Цепочка опиралась на HTML Preview и библиотеку MathLive, которая принимала команды через postMessage без надёжной проверки отправителя. Это позволяло подменить разметку, создать фрейм без атрибута sandbox и обойти политику CSP через разрешённый сервис YouTube. Уязвимость отправили в программу вознаграждений OpenAI 18 октября 2026 года, а к 26 октября исправление было внедрено на стороне сервиса. Исследователям выплатили 5000 долларов, а сведений о реальных жертвах нет. #chatgpt #уязвимость #xss #openai @ZerodayAlert

WARP PANDA использовала уязвимость нулевого дня в гипервизоре VMware Китайская группировка WARP PANDA использовала уязвимость нулевого дня CVE-2026-41709 в VMware ESX минимум до начала 2026 года. Ошибка затрагивала механизм регистрации команд, поэтому атакующие с правами администратора могли выполнять операции без записей в системных журналах. Broadcom оценила уязвимость всего в 2,7 балла по шкале CVSS, так как для эксплуатации нужны уже имеющиеся административные привилегии. Однако для кибершпионов возможность скрывать активность оказалась ценной, ведь она затрудняла обнаружение взлома и последующее расследование. Broadcom выпустила исправления 29 июля 2026 года, но временного обходного решения не предложила. Спустя время, 28 октября, CISA добавило уязвимость в каталог KEV, и госучреждения США обязаны установить обновления до 11 ноября 2026 года. #vmware #уязвимость #кибершпионаж #crowdstrike @ZerodayAlert

Canonical закрыла критическую уязвимость в LXD и MicroCloud с оценкой 10 из 10 В платформах для управления контейнерами и виртуальными машинами обнаружили CVE-2026-112816. Ошибка позволяет выдавать себя за доверенного клиента без закрытого ключа и получать доступ к облачной инфраструктуре. Причина в неправильной проверке цепочки TLS-сертификатов. Сервер может принять публичный сертификат доверенного клиента, добавленный в чужую цепочку. В зависимости от привилегий подменённой учётной записи атакующий способен получить полный контроль над хостом. Canonical уже выпустила исправления для затронутых версий. Для снижения риска необходимо проверить версии LXD и MicroCloud, установить обновления и ограничить доступ к HTTPS API. Подтверждённых случаев эксплуатации пока нет. #LXD #MicroCloud #Canonical #TLS @ZerodayAlert

🟥 Dephaze Live Hack Show 2: взломать, чтобы защитить 5 ноября | 12:00 мск   Dephaze Live Hack Show возвращается. За полгода PT Dephaze существенно изменился — хотим показать его вам. Запустим PT Dephaze в прямом эфире и продемонстрируем, какие новые векторы компрометации он может найти в реальной инфраструктуре, как будет выстраивать цепочки атак и получать максимальные привилегии в ключевых инфраструктурных системах Active Directory и FreeIPA. На трансляции вы: 🔴увидите демонстрацию атак с помощью PT Dephaze; 🔴узнаете, как система ищет и выстраивает цепочки атак в Active Directory и FreeIPA; 🔴познакомитесь возможностями PT Dephaze, в том числе функциями на базе ИИ; 🔴поймете, как интерпретировать результаты автопентеста и превращать найденные векторы атак в конкретные рекомендации по усилению защиты. Для участия нужно зарегистрироваться.

Через уязвимость Gotenberg распространяют бэкдоры для Linux и Windows Аналитики VulnCheck зафиксировали 38 запросов к своей ловушке Gotenberg с одного IP-адреса. Расследование вывело на репозиторий с бэкдорами, загрузчиками и инструментами повышения привилегий. За 30 дней исследователи насчитали 1358 попыток эксплуатации CVE-2026-42589 со 128 IP-адресов. Критическая ошибка с оценкой 9,8 балла по CVSS позволяет внедрять команды через API изменения метаданных PDF. Злоумышленники используют уязвимость для запуска команд без авторизации и пытаются загрузить вредоносные компоненты. Среди найденных инструментов оказались обратные оболочки для разных архитектур, PHP-веб-шеллы и программы для атак на Windows. VulnCheck выделила не менее семи групп активности. Для защиты серверов Gotenberg требуется закрыть доступ к уязвимому API и перейти на исправленную версию 8.31.0 или новее. Администраторам также следует проверить журналы запросов к обработчику метаданных PDF и признаки запуска посторонних процессов. Уязвимость уже эксплуатируют, хотя подтверждений успешного закрепления участников описанной кампании пока нет. #Gotenberg #ExifTool #RCE #бэкдор @ZerodayAlert

До 5000 пользователей Cursor оказались под угрозой из-за подменённого Claude Code 29 октября в магазине расширений Cursor распространялась вредоносная версия Anthropic.claude-code 2.1.313. Заражённый пакет собирал сведения о компьютерах разработчиков и устанавливал скрытый SSH-доступ. Cursor подтвердила, что под угрозой находились не более 5000 пользователей. Вредоносный загрузчик запускался автоматически при старте расширения. Программа собирала системные данные, добавляла чужой SSH-ключ и пыталась создать обратный туннель для удалённого подключения. На большинстве компьютеров атака не достигала полной цели, но оставляла фоновые задания и посторонний ключ доступа. Сервер злоумышленника отключён, опасная версия удалена из магазина. Для исключения последствий заражения недостаточно удалить расширение. Пользователям затронутой версии следует проверить authorized_keys на наличие ключа svc-telemetry и запустить опубликованные Cursor скрипты очистки. При обнаружении следов атаки потребуется изолировать компьютер и сменить доступные с него учётные данные. #Cursor #ClaudeCode #SSH #бэкдор @ZerodayAlert

В TeamViewer нашли уязвимость, позволяющую атаковать компьютер специалиста техподдержки Исследователь Омри Дар из Remedio обнаружил CVE-2026-111585 с оценкой 8,8 балла по CVSS. Злоумышленник может атаковать оператора TeamViewer через удалённый компьютер, к которому специалист подключился для обслуживания. Ошибка затронула несколько платформ и версий приложения до 15.83. Уязвимость связана с переполнением 32-битного числа при расчёте размера буфера изображения. Вредоносный компьютер передаёт завышенные параметры экрана, из-за чего TeamViewer выделяет недостаточно памяти для кадра. Исследователи подтвердили аварийное завершение программы и продемонстрировали выполнение кода в лабораторных условиях, хотя полный сетевой сценарий пока не показан. Для снижения риска специалистам удалённой поддержки необходимо использовать исправленные версии TeamViewer. Компания выпустила обновление 15.83 и патчи для старых веток 27 октября. Сведений о реальной эксплуатации уязвимости пока нет. #TeamViewer #RCE #Windows #CVE @ZerodayAlert

Критическая уязвимость в Rust позволяет ZIP-архивам обходить проверку безопасности В библиотеке zip для Rust обнаружили уязвимость CVE-2026-115905 с оценкой 10 баллов по CVSS 4.0. Специально подготовленный архив может пройти проверку как обычный PDF, а при распаковке перезаписать системный скрипт на сервере. Проблема затрагивает версии библиотеки до 9.0.5. Причина кроется в двух записях имени файла внутри ZIP. Защитный сканер и распаковщик могут прочитать разные имена, позволяя злоумышленнику подменить содержимое после проверки. Разработчики исправили ошибку, но контроль совпадения заголовков по умолчанию остался отключённым даже в версии 9.1.3. Для защиты серверов, автоматически обрабатывающих чужие архивы, недостаточно просто обновить зависимость. Рекомендуется перейти на zip 9.1.3 или новее и явно включить enforce_header_consistency(true). Такая настройка позволит обнаруживать подмену до переноса распакованных файлов на постоянное место. #Rust #ZIP #zip2 #CVE @ZerodayAlert

Пять уязвимостей в VMware: какие продукты затронуты и что обновить Две ошибки в vCenter получили по 9,8 балла из 10: CVE-2026-59309 позволяет обойти аутентификацию, а CVE-2026-59310 открывает путь к удалённому исполнению кода. Для обеих атак достаточно сетевого доступа к vCenter. Ещё одна проблема, CVE-2026-47876 с оценкой 9,3 балла, находится в адаптере VMXNET3 в ESX. Она позволяет администратору гостевой машины запустить код на физическом хосте, но для этого нужны локальные административные права. Broadcom выпустила исправления для vCenter и ESX, а Workstation и Fusion нужно обновить до версии 26H1. Обходных мер нет, а CISA уже подтвердила использование CVE-2026-59310 операторами программ-вымогателей. #vmware #уязвимость #vcenter #zeroday @ZerodayAlert

Разработчики Linux закрыли уязвимость, которую нашел Claude Уязвимость получила идентификатор CVE-2026-98432 и оценку 9,8 балла из 10 от команды безопасности ядра Linux. Она связана с состоянием гонки в сетевом стеке TCP, из-за которого код обращается к уже освобождённому участку памяти (use-after-free). Anthropic показала рабочий сценарий на сервере с поддержкой Multipath TCP (MPTCP), где ошибка сначала позволила обойти защиту KASLR, а затем выполнить команду с правами root. На получение адреса ядра в лаборатории ушло 48 минут, ещё пять потребовалось на выполнение команды, при этом код эксплойта компания не публиковала. Разработчики Linux уже исправили проблему в основном дереве ядра и стабильных ветках, но в дистрибутивах обновления выходят не одновременно. Исправленные пакеты уже есть для ряда выпусков Debian, Oracle Linux, SUSE и Amazon Linux, поэтому администраторам стоит проверить наличие обновления у своего поставщика. #linux #уязвимость #claude #zeroday @ZerodayAlert

PHP2Shell уже привела ко взлому 24 файерволов. Хотя заплатка доступна с 21 октября Исследователи Dream обнаружили кампанию, в ходе которой злоумышленники скомпрометировали 24 межсетевых экрана и внутренний сервер организации, связанной с правительством США. Атакующие получили root-доступ, похитили учётные данные LDAP и изучили структуру Active Directory. Взлом стал возможен благодаря цепочке PHP2Shell (CVE-2026-109618 и CVE-2026-109619) и Linux-уязвимости Fragnesia. Уязвимый интерфейс управления позволил выполнить код без авторизации, повысить привилегии и проникнуть в корпоративную сеть. Чтобы закрыть известный вектор атаки, необходимо обновить PHP до 8.2.35, 8.3.36, 8.4.27 или 8.5.12 в зависимости от используемой ветки. Встроенные версии PHP в сетевом оборудовании требуют отдельных исправлений производителя. После обновления стоит проверить журналы и исключить открытый доступ к интерфейсам управления. #PHP2Shell #PHP #Fragnesia #RCE @ZerodayAlert

Cisco подтвердила эксплуатацию уязвимости в ASA и FTD Уязвимость CVE-2026-76418 (8,6) затрагивает службу SSL VPN в Cisco ASA и Secure Firewall Threat Defense. Для атаки не нужны учётные данные, поэтому специально сформированный запрос может перезагрузить устройство и вызвать отказ в обслуживании. Проблема возникает при настройке дополнительной аутентификации для группы VPN-туннелей, если служба входа SSL VPN доступна извне. Поэтому администраторам нужно проверить параметр secondary-authentication-server-group не только в видимых профилях, но и в стандартной группе DefaultWEBVPNGroup. Cisco выпустила исправления для ASA и FTD и подтвердила, что узнала об активной эксплуатации в октябре 2026 года. Временные меры возможны, но компания рекомендует установить обновление, подобрав подходящую версию с помощью Cisco Software Checker. #cisco #уязвимость #sslvpn #межсетевыйэкран @ZerodayAlert

Linux и FreeBSD: 14 уязвимостей, часть из них с готовыми эксплойтами Пять уязвимостей ядра Linux преждевременно раскрыла Zero Day Initiative, отправив сведения не в тот список рассылки. Две из них затрагивают файловый сервер ksmbd и позволяют удалённо выполнять код на уровне ядра, причём для обеих уже есть эксплойты под Debian 13. Отдельно специалисты представили пять уязвимостей под общим названием Infinity Core, которые позволяют повышать привилегии и обходить изоляцию контейнеров. Эксплойты проверили на Ubuntu, Arch Linux и смартфоне Samsung Galaxy S26 Ultra, а в актуальных ядрах ошибки уже исправлены. Во FreeBSD обнаружили четыре уязвимости в звуковом драйвере и гипервизоре Bhyve, три из которых создают риск выхода за пределы гостевой системы. Исправления вошли в версии 15.1-RELEASE-p5, 14.5-RELEASE-p2 и 14.4-RELEASE-p11, поэтому администраторам стоит как можно скорее проверить обновления. #linux #freebsd #уязвимости #эксплойт @ZerodayAlert