27 инцидентов за двое суток октября В соцсетях эти дни уже назвали Black October. Название появилось 22 октября в 03:42 UTC в посте аккаунта AISafetyMemes, который объявил прошедшие 48 часов худшими в истории кибербезопасности. В списке 27 пунктов. Вот они, сжато. Уязвимости 1. PHP2Shell. Две дыры в самом PHP с оценкой 9.2 по CVSS v4.0, позволяют выполнить код на сервере без учётной записи. По данным Wiz, их нашли с помощью передовых ИИ-моделей, а сидели они в коде больше десяти лет. Amazon советует расследовать инциденты начиная как минимум с 17 октября, за четыре дня до раскрытия. 2. GitLab. Дыра с оценкой 10 во всех версиях начиная с 2014 года. 3. NGINX. F5 оценила три ошибки памяти в 9.2, а сам проект NGINX считает их средними; для эксплуатации нужна специально включённая директива. 4. HTTP/3. Одно соединение роняет семь из десяти протестированных типов веб-серверов. 5. Signal. Участник звонка может перегрузить очередь событий так, что звонок не завершится и звук, а возможно и видео, останутся включены. Исправлено ещё в сентябре в RingRTC 2.72.0. 6. Plex. Взламывают домашние медиасерверы. 7. Siemens. Уязвимость в Siemens Software Center используют в кампании ClickFix: подписанную программу подкладывают вместе с чужими DLL. 8. Palo Alto. Патч для PAN-OS вышел 13 мая, атаки Rapid7 видит с 17 мая, среди атакующих группировки Qilin и Inc. Удостоверяющий центр 9. eMudhra. Ключи восьми промежуточных сертификатов были настолько слабыми, что восстанавливались из публичных сертификатов меньше чем за секунду. Один из ключей равен 4. 22 октября компания объявила об уходе из глобального бизнеса SSL/TLS-сертификатов. Платформы и облака 10. Railway. Посторонний мог получить доступ к зашифрованным переменным окружения и часть из них расшифровать. Деплои остановлены, клиентам советуют перевыпустить все переменные, ключи API и учётки реестров. 11. Zeabur. Украдены данные 321 810 аккаунтов и около 3,2 млн записей с переменными окружения. Админские токены не истекали и не менялись с января 2024 года. Компания закрывается. 12. Onamae.com, Япония. Под угрозой 26 739 серверов, все тарифы поэтапно отключают с 21 октября. 13. PingCAP, разработчик TiDB. С 9 сентября по 7 октября чужак ходил по внутренним системам с украденной сервисной учёткой и унёс исходный код. 14. Bullhorn. Рекрутинговая платформа с более чем 10 тысячами клиентов отключена. 15. Ahold Delhaize. Сайты и приложения большинства брендов в Европе и США отключены, магазины работают. Цепочки поставок 16. LiteLLM. Заражённая версия со стилером паролей, облачных учёток и ключей ИИ-сервисов провисела около двух часов. Это уже второй взлом LiteLLM за год. 17. OVHcloud. Через угнанный GitHub-аккаунт разработчика подменили версии CLI с 0.11.0 по 0.15.0. 18. WordPress. Через teamupdraft.com атакующий создавал админов и ставил вредоносные плагины на сайтах клиентов, Patchstack насчитал 99 названий бэкдоров, уязвимыми были около 400 тысяч сайтов. 19. AOMEI Backupper. На серверах вендора подменили два конфигурационных файла, и программа скачивала бэкдор. Окна подмены длились 10, 6 и 5 минут в мае и июле. Утечки 20. Калифорния. Через подрядчика ETS утекли данные всех учеников государственных школ за три года, включая сведения об инвалидности. Данные выкачивали с 22 мая по 18 сентября через скомпрометированную учётку. 21. Medi-Cal. Paradigm Healthcare Services сообщила о более чем 970 тысячах пострадавших, а сам доступ был обнаружен 13 октября 2025 года. 22. State Bank of India. Хакер заявил о 375 тысячах записей, проверка банка пока подтвердила 3897. 23. Meta Muse. Ссылки на расшаренные разговоры находились через публичные записи, одним поиском нашли 6800 штук. Среди них отчёт о выручке для CEO и заявка на кредит.

Между тем организаторы опубликовали программу ZeroNights — большой питерской хакерской конференции. Будет два основных направления: современные кибератаки и безопасность приложений, плюс воркшопы и традиционные забавы со вскрытием аналоговых замков. В прошлый раз не доехал, но в этот раз будет доклад про то, как рекламные маячки сотовых операторов позволяют деанонимизировать пользователей. Придется выкроить время. Эта тема из той же серии, что и профилирование, анализ поведенческих данных, цифровые отпечатки, утечки по побочным каналам, типа мигания светодиодов и гудения вентиляторов ПК. Интересно взглянуть все эти разные пути распространения информации как на отголоски некоего природного явления, чего-то напоминающего диффузию. Похоже, существует базовый физический закон, способствующий раскрытию секретов. Кое-что об этом написано. Физики со времен Ландауэра рассматривают информацию как физическую величину. Ее нельзя уничтожить, только переместить, поэтому любой путь, по которому теряется энергия (тепло, ЭМ-излучение, звук), одновременно является каналом передачи данных. Или вот в социологии распространение слухов описывают эпидемическими уравнениями, но цельного текста, где все это сведено к кибербезопасности и защите секретов, я пока не встречал. Если знаете такой — присылайте, пока я не написал его сам.

💧Каждая 5я утечка данных происходит через нейронки Сотрудники сливают конфиденциальные данные в нейросети быстрее, чем ИБ-отделы успевают узнать о существовании новых сервисов. В июле 2026 года уже 20% всех корпоративных утечек оказались связаны с несанкционированным использованием ИИ (годом ранее - всего 12%). В публичные модели без разбора улетают исходный код, договора, базы клиентов и техническая документация.

🟦Главный канал слива - обычные веб-интерфейсы чат-ботов (42%) 🟦Еще 24% приходится на браузерные расширения 🟦19% - на самописные скрипты с API 🟦15% - на ИИ-помощники в средах разработки.

Для классических DLP-систем и файрволов этот трафик выглядит идеально: обычный легитимный TLS-запрос на белый домен, никаких вредоносных сигнатур. В итоге коммерческая тайна уезжает на внешние серверы абсолютно беспрепятственно. Ситуацию усугубляет халатность с доступами: почти у трети компаний API-ключи от ИИ-сервисов открыты в Git-репозиториях, конфигах и тестовых скриптах. Утащив такой ключ, атакующий получает прямой доступ к корпоративным RAG-хранилищам и связанным базам данных. Из-за запоздалого обнаружения инциденты с теневым ИИ обходятся компаниям в среднем на $670 тысяч дороже обычных утечек. Единственный адекватный выход для ИБ - сплошная инвентаризация сервисов, автоматический поиск утекающих API-ключей, жесткий контроль браузерных плагинов и понятная классификация данных внутри компании. 🦔 CyberYozh