Microsoft одним махом залатала 1118 дыр в Windows и другом ПО Microsoft сообщила об устранении 1118 уязвимостей в Windows и других продуктах по итогам октябрьского обновления безопасности. Для анализа такого объёма компания объединила CVE в 15 групп риска — по общим вопросам, которые нужно проверять в конкретной инфраструктуре. Крупнейшие группы связаны с файловыми системами и резервным копированием, офисными документами и почтой, а также графикой и мультимедиа. Новый подход сокращает повторяющуюся работу, но не отменяет отдельную оценку каждой уязвимости и проверку её эксплуатации. #microsoft #уязвимость #обновление #windows 📎Подробнее 🔖 3DNews в TG | MAX | VK

😒 Claude помог взломать OpenAI за 72 часа Команда Hacktron взломала OpenAI, и начала с самого безобидного: загрузила специально подготовленное изображение на публичный форум компании community.openai.com. 🔍Разбор самих исследователей:

🟦Шаг 1. Картинка. Форум обрабатывал файлы HEIC/HEIF через уязвимую библиотеку libheif CVE-2026-32882. Отправил файл, и код исполнился прямо на сервере форума.

⬇️⬇️⬇️

🟦Шаг 2. Ошибка во входе. В системе единого входа OpenAI токены форума получили лишние права в других сервисах компании. Через них можно было перехватывать живые сессии сотрудников в ChatGPT и Codex.

⬇️⬇️⬇️

🟦Шаг 3. GitHub. Через скомпрометированный Codex исследователи добрались до GitHub и создали тестовый pull request в приватный монорепозиторий openai/openai. Сам код они не читали, им хватило доказать, что доступ есть.

🏍Эксплойт им помогал писать ИИ. По словам Hacktron, Claude Opus 5 за три часа собрала рабочий эксплойт под ARM64, а потом адаптировала его под x86-64 с учётом jemalloc, который использует Discourse. Все действия при этом контролировали люди. 💷OpenAI закрыла дыру во входе за 14 часов после уведомления, сузила права токенов, отозвала затронутые и завершила сессии. Награда исследователям: $6 500. Discourse выпустила патчи (2026.7.0, 2026.6.1, 2026.5.2 и 2026.1.6) и заменила опасную зависимость. 🦔 CyberYozh

ИИ-поисковики завалили разработчиков Linux тысячами отчетов об ошибках Разработчики ядра Linux сталкиваются с аномальным ростом числа зарегистрированных уязвимостей (CVE). Если раньше на один релиз приходилось около 500 багов, то в последних ветках показатель превысил 1500, а в Linux 7.3 ожидаетметку в 2000. Причина резкого скачка — массовое применение сторонних ИИ-инструментов и нейросетей для автоматического анализа 40 млн строк исходного кода. Главная проблема в том, что нейросети генерируют огромное количество мусорных отчетов и галлюцинаций. Алгоритмы находят уязвимости в давно забытых драйверах для железа тридцатилетней давности, а мейнтейнеры вынуждены вручную разбирать каждый тикет. Чтобы не утонуть в рутине, команды начали выпиливать из ядра устаревший код и привлекать собственные нейросети для проверки входящих патчей.

LLM снова наебала кожаных. Чисто по нахалке. Не нашла она никаких уязвимостей.

Эксперты компании JFrog в конце июля выпустили отчет по анализу 55 уязвимостей, якобы обнаруженные искусственным интеллектом в SQLite. Все они были внесены в базу данных о уязвимостях (Common Vulnerabilities and Exposures – CVE), создание которой инициировала некоммерческая организация MITRE. В результате проверки возможности эксплуатации уязвимости (триажа), который выполнили эксперты JFrog, выяснилось, что 54 из зарегистрированных уязвимостей являются фейковыми, то есть показатель ошибок фактически достиг 98%. Возможности искусственного интеллекта по поиску уязвимостей и генерации эксплойтов для них сильно преувеличены Хотя некоторые из заявленных уязвимостей получили уровень опасности 10 (из 10), на самом деле некоторые из них были результатом галлюцинаций искусственного интеллекта. В частности, самая опасная из заявленных уязвимостей в функции exprComputeOperands() (CVE-2026-51302), в которой якобы происходит использование указателя после его освобождения, просто не существовала – код был добавлен в другой версии. Но и сама функция не освобождает указатель, но лишь помечает его как не используемый. Некоторые критические уязвимости были обнаружены в коде, который был закомментирован (CVE-2026-51300). Процесс подачи CVE через публичную форму MITRE не имеет какой-либо реальной проверки подлинности, то есть практически любой может предоставить описание уязвимости и предложить оценку CVSS. Исторически NIST служил надёжной страховкой для этой системы: эксперты Национальной базы уязвимостей (NVD) вручную анализировали, проверяли и обогащали поступающие CVE перед выдачей им одобрения. Но эта страховка перестала существовать в феврале 2024 года, – сказано в сообщении компании JFrog.

https://www.tadviser.ru/index.php/Продукт:SQLite "Ум на лице - это еще не признак ума, господа! Все самые большие глупости делаются именно с этим выражением лица."

🔥 РЕАЛЬНЫЙ ВЗЛОМ IOT: КАК ОДНА УЯЗВИМОСТЬ ПОЗВОЛИЛА КОНТРОЛИРОВАТЬ 130 000 УСТРОЙСТВ Разбираем свежий случай, который произошел буквально на днях (CISA опубликовала информацию 1 июля 2026 года). Речь про Gardyn IoT Hub - систему для умного домашнего садоводства . Звучит безобидно, правда? Но последствия оказались серьезными. В чем суть: В устройствах Gardyn нашли критическую уязвимость (CVE-2026-13768). Оценка CVSS - 10 из 10, то есть максимальный уровень опасности . Проблема в том, что в системе использовался жестко зашитый (hardcoded) ключ доступа iothubowner. Это главный административный ключ к Azure IoT Hub, через который работают все устройства Gardyn . Что смог сделать злоумышленник с этим ключом: - Получить список ВСЕХ устройств Gardyn в мире. Исследователь смог перечислить почти 130 000 зарегистрированных устройств, из которых около 39 000 были онлайн в момент проверки . - Удаленно выполнять команды на любом из этих устройств. Буквально — взять и отправить команду на конкретный девайс, и он её выполнит с правами root (полный доступ) . - Попасть в домашнюю сеть владельца. Устройство Gardyn находится внутри WiFi-сети пользователя. Получив над ним контроль, хакер получает плацдарм для атак на другие устройства в этой сети — роутеры, ноутбуки, умные колонки, камеры . Это называется "латеральное перемещение". Простыми словами: Представьте, что вы купили умный горшок для растений. А хакер через него заходит в ваш домашний WiFi и начинает сканировать ваш ноутбук и другие гаджеты. А заодно может управлять такими же горшками у сотен тысяч других людей по всему миру. И всё это - через один встроенный пароль, который разработчики оставили в коде. Почему это произошло: Разработчики использовали один общий мастер-ключ для управления всеми устройствами вместо того, чтобы дать каждому устройству свой уникальный ключ . Это базовая ошибка в архитектуре безопасности. Что сейчас: Gardyn уже обновила свою облачную инфраструктуру, чтобы закрыть эту уязвимость. Но сам случай - отличный пример того, как IoT-устройства становятся точкой входа в сети, которые мы считали защищенными . Вывод для нас: Не доверяем умным девайсам. Они могут быть дверью для хакера в вашу сеть. Держим прошивки актуальными (Gardyn как раз выпустила исправления). Помним, что IoT - это не только про "удобно", но и про "новые риски". 🔐 А теперь скажите, кто из вас это сделал? 😆 #кибербезопасность #IoT #взлом #уязвимость #инфобез