Python-фреймворк Mercury до версии 3.2.5 включительно позволяет удалённому злоумышленнику выполнить произвольный код на сервере. Учётные данные не нужны: проверка прав в обработчике веб-сокетов отсутствует.
С декабря 2025 года по сентябрь 2026 года в сети работала крупная инфраструктура из нескольких десятков серверов. Узлы выдавали себя за государственные и корпоративные ресурсы стран Центральной Азии.
С августа 2026 года группировка APT36 снова атакует государственные и оборонные организации Индии и Афганистана. Кампания получила название Operation RapidRust. За несколько недель арсенал сменился почти полностью.
В скриптах системы поддержки Udesk обнаружен посторонний код, который доставляет в страницу вторую полезную нагрузку. Она читает cookie, веб-хранилища и содержимое отправляемых форм, а на страницах пополнения
Обход авторизации между пространствами имён в consul-k8s даёт возможность получить в Consul права компонента, к которому доступа быть не должно. Ошибка кроется в правилах привязки списков контроля доступа
В ядре Drupal нашлась уязвимость компонента Field UI. Она позволяет злоумышленнику, действующему по сети, выполнить на сервере произвольный код. Ни учетная запись, ни действия пользователя не требуются.
Две уязвимости в ядре PHP затрагивают механизм, который отслеживает ход загрузки файлов через веб-формы. Ошибка работы с памятью позволяет удалённому злоумышленнику выполнить собственный код на сервере.
Операционный сервер группировки BlackHatSect0r && DXQRTXX оставался открытым для любого желающего. На диске лежало 4,9 ГБ в 9 299 файлах: собственный командно-контрольный сервер, написанный на
Ядро Linux содержит уязвимость в модуле ipset, который хранит наборы IP-адресов для правил фильтрации трафика. Ошибка даёт удалённому злоумышленнику возможность влиять на конфиденциальность, целостность
Плагин twofactor_gauthenticator добавляет в веб-почту Roundcube второй фактор проверки, то есть одноразовый код из приложения-аутентификатора. В плагине нашли несколько уязвимостей, и любая из них позволяет
