Архив для импорта в Drupal запускает код, API-модуль пускает без ключа
Модуль Content Synchronizer для Drupal выполняет произвольный код при разборе архива. Злоумышленник готовит файл импорта так, чтобы при распаковке ожил вредоносный объект.
Подставной идентификатор SASL в ZooKeeper даёт права суперпользователя
Apache закрыла несколько уязвимостей в ZooKeeper. Это служба координации: она хранит настройки кластера и сведения о лидере. Ошибки позволяют обойти политику безопасности и вызвать отказ в обслуживании по сети.
Запрос без учётных данных останавливает узел Elasticsearch
Очередной пакет исправлений Elastic закрывает несколько уязвимостей в продуктах компании. Остановить узел Elasticsearch можно одиночным сетевым запросом. Учётные данные при этом не нужны.
Ruby on Rails закрывает 21 уязвимость версиями 8.0.5.2 и 8.1.4.1
Команда Ruby on Rails выпустила два релиза с исправлениями безопасности. В сумме они устраняют 21 уязвимость в разных частях фреймворка. Часть из них опаснее прочих.
Symfony исправляет уязвимости в ветках 5.4, 6.4, 7.4 и 8.1
Symfony выпустила исправления для нескольких уязвимостей в своих компонентах. Часть из них позволяет обойти правила доступа. На сервере они дают прочитать файлы или вызвать отказ в обслуживании.
HPE закрывает уязвимости в VIA и Fabric Composer
HPE выпустила патчи для клиента Virtual Intranet Access и платформы Fabric Composer. Уязвимости позволяют локально повысить привилегии, обойти аутентификацию и вызвать отказ в обслуживании.
В PLCnext Engineer до версии 2026.6 устраняют уязвимости
PLCnext Engineer - среда разработки для промышленных контроллеров PLCnext, которую инженеры используют при сборке, проверке и вводе в эксплуатацию разных проектов автоматизации на производстве.
Samsung устраняет уязвимости Android в пакете SMR Nov-2026
Samsung выпустила ноябрьский пакет исправлений безопасности для мобильных устройств на Android. Обновление закрывает уязвимости платформы Android, ошибки в компонентах Samsung Semiconductor и 24 собственные уязвимости Samsung.
Связанная с КНДР группировка прячет адреса командных серверов в переводах Ethereum
С сентября 2026 года в атаках на разработчиков применяется необычный приём. Адрес управляющего сервера больше не хранится в коде программы или в отдельном файле - его записывают в обычный перевод криптовалюты в сети Ethereum.
DragonForce использует инфраструктуру Microsoft Teams для управления вредоносными программами
Группировка DragonForce наладила канал управления заражёнными компьютерами через легитимные серверы Microsoft Teams. Речь идёт о двух вредоносных программах, которые применяют в атаках на организации.