Последние новости кибербезопасности, инциденты и развитие моделей ИИ — наблюдаемые и разобранные для пострадавших и исследователей в законных пределах white-hat. Без инструкций по вторжению или эксплуатации.
Эта статья была переведена машиной.
- Cyberattack response: country-by-country guides
Nine country guides, local-language editions and downloadable non-executable BPMN response processes.
- Cyberattack response for companies in the United States
Evidence, reports, counsel, insurance and public communications after a cyberattack in the United States.
- Cyberattack response for companies in the United Kingdom
Evidence, reports, counsel, insurance and public communications after a cyberattack in the United Kingdom.
- Cyberattack response for companies in Canada
Evidence, reports, counsel, insurance and public communications after a cyberattack in Canada.
- Cyberattack response for companies in Australia
Evidence, reports, counsel, insurance and public communications after a cyberattack in Australia.
- Cyberattack response for companies in Germany
Evidence, reports, counsel, insurance and public communications after a cyberattack in Germany.
- Cyberattack response for companies in France
Evidence, reports, counsel, insurance and public communications after a cyberattack in France.
- Cyberattack response for companies in the Netherlands
Evidence, reports, counsel, insurance and public communications after a cyberattack in the Netherlands.
- Cyberattack response for companies in Singapore
Evidence, reports, counsel, insurance and public communications after a cyberattack in Singapore.
- Cyberattack response for companies in Japan
Evidence, reports, counsel, insurance and public communications after a cyberattack in Japan.
- Cybersecurity daily — 1 November 2026: MCP migration and corrected extension scope
Smithery's connection-management shutdown date has arrived; Cursor's notice also names 2.1.312. Distinguish planned shutdown, observed operation and verification time.
- Cybersecurity daily — 31 October 2026: extension removal is not incident recovery
Cursor extension follow-up, Wasmtime UDP authorization bypass, and updated AWS Brotli mitigation status. Check host privileges, network authorization and deployed patches.
- Cybersecurity daily — 30 October 2026: verify enforcement beyond configuration
Clerk adds passkeys as a second factor; an older PDF MCP authentication flaw enters the advisory database. Verify enforcement, not just settings and logs.
- Cybersecurity daily — 29 October 2026: verify that Brotli patches are active
AWS details Brotli mitigation: phased Lambda rollout, Node.js 24 verification, container rebuilds and upstream-response decoding.
- Cybersecurity daily — 28 October 2026: separate detection, delegation and runtime authorization
Zuma/Agent Gateway runtime authorization and Socure Agent Intelligence: distinguish release stages and authority boundaries.
- Cybersecurity daily — 27 October 2026: the boundary around agent-managed IAM
Google Cloud introduces IAM Helper. Separate diagnostics and simulation from permission changes, and verify the approval-to-execution boundary.
- Why Faster Cybercrime Intake May Not Reduce Case Backlogs
Public Japanese statistics and an explicit queueing model show why faster intake may shift a bottleneck downstream. Evidence preservation, international assistance, and deterrence require distinct measurements.
- Crypto fraud and theft: Japanese requests for Canadian asset restraint and seizure
For Japanese victims and receiving police officers: RCMP cooperation, formal central-authority requests, evidence and translations, procedural-stage conditions and asset return.
- Prompt injection is not SQL injection: the NCSC design lesson
The NCSC blog says prompt injection is not SQL injection: current large language models do not separate instructions from data, and the risk may never be fully removed the way parameterized queries remove SQL injection (https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection). The NCSC news warns that the comparison is dangerous and challenges claims that the issue can be stopped (https://www.ncsc.gov.uk/news/mistaking-ai-vulnerability-could-lead-to-large-scale-breaches). Design lesson only. Not an attack guide and not legal advice.
- Что говорить клиентам о метках статьи 50 EU AI Act
Страница Commission по Article 50 разделяет обязанности поставщиков и deployer по уведомлениям о взаимодействии, машиночитаемой маркировке и раскрытию deep fake (https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50). Предупреждение юридической фирмы говорит, что эти обязанности стали применимы 2 August 2026 и не были отложены вместе с правилами высокого риска (https://www.goodwinlaw.com/en/insights/publications/2026/08/alerts-technology-dpc-eu-ai-act-transparency-obligations-now-in-force). Общие сведения, не юридическая консультация.
- Учения по кибербезопасности, которые следуют отраслевым рабочим процессам
24 отраслевых представления, 18 технических поверхностей и восемь офлайн-упражнений, которые связывают обучение в формате CTF с непрерывностью, исправлением и восстановлением.
- ИИ-видео, имитация голоса и границы полномочий
Обзор по источникам о Tavus, сообщённом злоупотреблении ИИ и границах идентичности, согласия и полномочий инструментов, которые внедряющим следует проверять.
- System One Coding: составление кода через решения
Типизированные блоки, поэтапная проверка, измеренные сравнения и зарегистрированный бесплатный пилот.
- Если Ваш аккаунт захватили: «хронология» и «перечень доказательств», которые стоит подготовить до консультации в полиции (можно скопировать и использовать)
После захвата аккаунта: что сохранить, не удаляя, с шаблонами хронологии и перечня доказательств. Затем обратитесь в полицию или службу сообщений о киберпреступности своей страны и в свой банк или платёжную службу.
- Если Вы пострадали от мошенничества с криптоактивами: как составить «таблицу переводов» для полиции и биржи
При мошенничестве с криптоактивами или инвестициями, до ещё одного перевода или «службы возврата», соберите каждый платёж и сообщения на одном листе. Затем обратитесь в полицию или службу сообщений о киберпреступности своей страны, в свой банк или платёжную службу и на биржу. Эта страница не обещает возврат.
- Рабочий лист для жалобы в IC3: что собрать до подачи (мошенничество с криптоактивами и в сети)
Подготовьте каждое поле, которое спрашивает IC3 ФБР — потери, хеши транзакций, данные о другой стороне, заголовки — затем подайте одну полную жалобу и сохраните свою копию.
- Зачем предприятию нужен двойник и как Mithril его предоставляет
Промышленная среда — неверное место, чтобы узнавать, кто может достичь чувствительной системы, как выглядит отказ и совпадает ли работающий кластер с тем, который был объявлен. Двойник сохраняет эти имена и не применяет результат. Mithril делает этот двойник документом: компоненты с обратным доменом сочетаются, прогон возвращает ответ и решение, а кластер сверяется с наблюдением, не будучи запущен.
- Никакого украденного ключа, $351 миллион за час — взлом горячего кошелька Bitget и граница доверия потока одобрения
Bitget подтвердил 25 сентября, что около $351.6 миллиона ушли из частей его горячих и тёплых кошельков в несанкционированных переводах, обнаруженных в 18:31 UTC 24 сентября. Его офлайн-холодные кошельки сообщаются как не затронутые, выводы приостановлены, и биржа говорит, что её User Protection Fund в $464 миллиона покрывает всю потерю. По словам Bitget, атакующий не забрал закрытые ключи, а достиг внутренней системы и подделал данные транзакции, чтобы направить поток одобрения на выпуск средств. Мы разбираем вопрос атрибуции Lazarus и изоморфизм с темой плоскости управления и идентичности, которую эта обсерватория рассматривала в последние недели.
- Неделя, когда пал сам издатель удостоверений — zero-day OAuth в F5 BIG-IP APM (CVE-2026-94127) и концентрация KEV на плоскостях управления и удостоверений
22 сентября F5 раскрыла критический zero-day в пути OAuth BIG-IP APM (CVE-2026-94127, CVSS 9.8), который позволяет удалённое выполнение кода без аутентификации, и подтвердила эксплуатацию in the wild. CISA в тот же день добавила его в каталог KEV со федеральным сроком 25 сентября. Arista VCO и два изъяна серверов управления Check Point также вошли в KEV в тот день — мы рассматриваем схождение атак на плоскости управления и удостоверений граничных устройств.
- Неделя, когда путь к локальному root открылся сразу — LPE ядра Linux попали в каталог KEV CISA, пока выходят публичные эксплойты
18 сентября CISA добавила три активно эксплуатируемых изъяна ядра Linux (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) в каталог KEV, а Red Hat подтвердила, что существует публичный код эксплойта. В тот же день в рамках скоординированного раскрытия были опубликованы рабочие эксплойты для четырёх LPE ядра (DirtyAH6, TUNderflow, PPPoEject, DiagSpill). Мы рассматриваем, почему повышение привилегий на общем узле следует за граничными устройствами в центр внимания.
- Обход аутентификации максимальной тяжести бьёт по самой инстанции удостоверений — Cisco ISE CVE-2026-76460 и повторяющийся шаблон компрометации root граничного устройства
Обход аутентификации Cisco ISE / ISE-PIC CVE-2026-76460 (CVSS 10.0) находится под активной эксплуатацией. CISA добавила его в каталог KEV 16 сентября с федеральным сроком устранения 19 сентября; обходного пути нет, а iACL являются лишь смягчением. Мы рассматриваем шаблон компрометации root граничного устройства — параллельно с zero-day Secure Email Gateway (CVE-2026-76461), раскрытым 14 сентября, — и что это значит, когда собственные журналы скомпрометированного устройства перестают быть первичным источником.
- Шлюзы ИИ становятся поверхностью атаки — включение LiteLLM в KEV и путь через ключи, MCP и облако
Обход аутентификации MCP в BerriAI LiteLLM (CVE-2026-59822) попал в каталог KEV CISA, и Microsoft сообщает об атакующих, которые используют шлюзы LiteLLM, чтобы доставить XMRig. Исследование Wiz обнаружило, что примерно 1 из 10 из ~3,000 публичных экземпляров принимал ключ по умолчанию sk-1234 или работал без аутентификации. Мы рассматриваем, что значит положение, при котором инфраструктура ИИ является хранилищем учётных данных.
- Когда захватывают тело агента — одно расширение ведёт помощников ИИ в пяти продуктах
Forever Security показала, что одно обычное расширение браузера могло вести встроенный ИИ пяти продуктов — Chrome, Comet, Edge, Opera Neon и Claude. Отдельно Mandiant сообщила об атакующем, который захватил сеанс помощника по написанию кода на ИИ и распространил червя Shai-Hulud примерно на 100 репозиториев. Мы наносим на карту границы доверия агентных сред выполнения.
- Цепочка zero-day «разрыва исправления» — уязвимости, уже исправленные в Chromium и ещё не исправленные в Chrome, совместно использовались несколькими шпионскими группами за 1 неделю
Выяснилось, что цепочка атаки BlueMoon, связывающая выход из песочницы V8 в Chrome и злоупотребление ALPC в Windows, по наблюдению Volexity совместно использовалась по меньшей мере несколькими кластерами китайского происхождения. Мы разбираем опасность «разрыва исправления»: исправление вошло в Chromium, но ещё не отражено в стабильном выпуске Chrome.
- Бриф для венчурного капитала: SYN Ventures — специализированный фонд кибербезопасности под руководством операторов
Фонд с AUM $900M, под руководством операторов, созданный бывшими CISO и основателями. Мы сопоставляем два его фонда и портфель из ~40 компаний с позицией mithril.fund.
- Zero-day Cisco Secure Email Gateway CVE-2026-76461 — когда внедрение SQL при разборе почты заканчивается выполнением от root
CVE-2026-76461 (CVSS 9.8) активно эксплуатируется и добавлен в каталог KEV CISA. Мы разбираем повторяющийся шаблон «компрометации root граничного устройства» и то, что это значит, когда собственным журналам устройства больше нельзя доверять.
- Представляем блог Security Observatory
Ежедневное наблюдение и анализ новостей кибербезопасности, инцидентов и развития моделей ИИ публикуются здесь.
- Неавторизованная запись файлов через «бэкдур» почтового шлюза — нулевой день FortiMail CVE-2026-104286 и функция IBE
1 октября Fortinet раскрыл уязвимость нулевого дня обхода путей (path traversal) в FortiMail (CVE-2026-104286, CVSS 9.8), позволяющую неавторизованную запись произвольных файлов, и подтвердил эксплуатацию в реальных сетях. CISA добавил её в каталог KEV в тот же день, федеральный дедлайн — 4 октября. Ни одна из четырёх затронутых версионных веток ещё не получила выпущенной сборки с исправлением, поэтому отключение IBE — временная мера; разбираем её в контексте резкого роста KEV в конце сентября.
- От пострадавших от обмана к корпоративным белым хакерам: карта ландшафта кибербезопасности (2026)
Тринадцать категорий, от помощи пострадавшим от обмана до тестирования безопасности предприятий, с заявленными потерями, объявленным финансированием, прогнозами рынка по издателям и честным статусом того, где место Mithril.
- Переполнение памяти в NetScaler при условии SAML — CVE-2026-88779 в KEV (срок 7 октября)
Citrix раскрыла недостаток границ буфера памяти в NetScaler ADC / Gateway (CVE-2026-88779, CVSS v4.0 8.7, CWE-119). Citrix сообщает, что наблюдала целенаправленные атаки на развертывания без мер защиты, которые могут привести к отказу в обслуживании. Включение в KEV CISA устанавливает эксплуатацию уязвимости, а краткое описание говорит, что недостаток может позволить отказ в обслуживании. Ни один из источников не подтверждает, что затронутые развертывания были фактически остановлены. CISA добавила запись 4 октября, срок для федеральных ведомств — 7 октября. Вместе с CVE-2026-88771 и CVE-2026-88772 (обе добавлены 27 сентября) это третья запись KEV для NetScaler, добавленная в течение двух недель, а не третья запись продукта за все время (в каталоге уже есть более ранние записи, включая CVE-2023-4966). Сигнатуры Global Deny List (v24 или новее) — временная мера, исправление поставляется в 14.1-73.41 / 13.1-64.28 или новее.
- Unauthenticated API access in Cisco Catalyst SD-WAN Manager — CVE-2026-76504 Added to KEV (Due October 3)
Cisco published CVE-2026-76504 (CVSS 3.1 9.8 per Cisco, CWE-177) in advisory cisco-sa-sdwan-webauth-xr8beuuU: improper URI-encoding handling in the API session-based authentication management of Cisco Catalyst SD-WAN Manager can let an unauthenticated remote attacker reach the API with admin privileges. CISA added it to KEV on September 30, 2026, with a federal due date of October 3. Fixed releases start at 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1 (earlier branches migrate). No known workarounds exist; interim mitigation is restricting internet access to trusted hosts, plus the optional Live Protect shield. Cisco has confirmed exploitation in the wild.
- Apple CoreGraphics zero-day added to KEV — CVE-2026-86950, report of exploitation in an extremely sophisticated targeted attack (Due October 2)
On September 28, 2026, Apple released iOS 26.7.1 / iPadOS 26.7.1 / macOS Tahoe 26.7.1 / macOS Sequoia 15.8.1, fixing an out-of-bounds write (CVE-2026-86950, CWE-787) in CoreGraphics. Processing a maliciously crafted file may lead to arbitrary code execution; Apple says it is aware of a report that the issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on iOS versions before iOS 27. CISA added the vulnerability to KEV on September 29, 2026, with a federal due date of October 2 (forensicTriage Yes). The CISA-ADP CVSS 3.1 base is 8.8 (High). The fix is the listed releases only; the primary sources reviewed for this post state no interim workaround.
- Binance: 'No wallet key leaked' - the largest hot-wallet incident on record (10/29) and first observations
From the night of October 29 UTC Binance disclosed a security incident involving unauthorized withdrawals from its hot wallets. Its verified frozen total stood at $2.54B (23:22Z) and then 'around $3 billion' (10/30 00:52Z); it states it will cover all losses and suspended deposits and withdrawals. Its initial investigation 'may involve a compromised DevOps engineer's laptop' through which an attacker reached a service container and submitted unauthorized withdrawal transactions, with no evidence of a wallet private-key leak. Reported stolen amounts range $5.6B-$6.3B with no confirmed total. This article records the first passive observation of 0x3E2bf1ac6bf0934BBba6456C341c2EcbCED632d5 (named by ZachXBT after the Arbitrum Security Council's ~$30.5M freeze; first tx 10/29 21:29:47Z, 3 EVM txs, 0.0038 ETH) the on-chain verification of the Arbitrum freeze transaction (from = the address itself), and two converging third-party attribution claims (TRM Labs: TraderTraitor; Specter: commingling with the DPRK-attributed Bitget exploit via THORChain).