32258
Xakep.RU: взлом, защита, кодинг. @Nifeya — реклама и сотрудничество.
Уязвимость в WordPress-плагине W3 Total Cache допускает инъекции PHP-команд
В популярном плагине для WordPress W3 Total Cache обнаружена критическая уязвимость CVE-2025-9501, позволяющая выполнять произвольные PHP-команды на сервере без аутентификации. Для атаки достаточно оставить на уязвимом ресурсе комментарий с полезной нагрузкой.
https://xakep.ru/2025/11/20/w3-total-cache-injection/
Плохая форма. Разбираем техники тестирования и защиты форм восстановления пароля #статьи #подписчикам
Небольшая форма восстановления пароля может стать большой головной болью. На каждом шаге разработчики допускают ошибки. В этой статье я покажу актуальные методы атаки на формы сброса пароля и дам рекомендации, которые будут полезны пентестерам и разработчикам.
https://xakep.ru/2025/11/20/bad-forms/
Хакеры дефейснули сайт поставщика DPI-технологий Protei и заявляют об утечке 182 ГБ данных
Неизвестная хак-группа заявляет, что взломала серверы компании Protei и похитила около 182 гигабайт данных, включая электронную переписку за несколько лет. Также злоумышленники, мотивы которых неизвестны, дефейснули сайт компании, оставив на нем нецензурное послание.
https://xakep.ru/2025/11/20/protei/
50 000 роутеров Asus взломаны в рамках кампании WrtHug
Исследователи компании SecurityScorecard обнаружили масштабную вредоносную кампанию WrtHug, в рамках которой были скомпрометированы около 50 000 роутеров Asus по всему миру. Атакующие эксплуатируют шесть уязвимостей, в основном в устаревших моделях серий AC и AX.
https://xakep.ru/2025/11/20/wrthug/
Глобальный сбой Cloudflare произошел не из-за атаки, а из-за ошибки
Глава компании Cloudflare Мэттью Принс (Matthew Prince) рассказал о причинах масштабного сбоя, который затронул глобальную сеть компании и многие сайты 18 ноября 2025 года. По его словам, причиной стала ошибка при изменении прав доступа к базе данных, хотя поначалу в компании решили, что столкнулись с масштабной DDoS-атакой.
https://xakep.ru/2025/11/19/cloudflare-outage/
Он, робот. Колонка главреда
Автономный гуманоидный робот, который ходит по квартире и помогает с домашними делами, — привычный персонаж из научной фантастики. Возможно ли сделать такого сегодня? Рекламные ролики компании 1X говорят, что да, вполне возможно, чем, собственно, и вызвали много хайпа. Давай посмотрим, чем в реальности будет заниматься этот робот‑носочек с глазами‑пуговками.
https://xakep.ru/2025/11/19/neo-robot/
💡 Почему SAST так много и какие из них действительно нужны вам? Приходите на вебинаре от курса «Внедрение и работа в DevSecOps».
🗓 20 ноября, 20:00 - «SAST, их много, почему столько, а сколько нужно нам? А главное, какие?»:
- Чем различаются инструменты SAST и для каких кейсов подходят
- Как выбрать подходящие инструменты и комбинировать их без лишних накладных расходов
- Что делать с негативными особенностями работы SAST
👉 Узнайте больше о DevSecOps! Регистрируйтесь на вебинар: https://vk.cc/cRsnPZ
Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576, www.otus.ru
Голландская полиция конфисковала 250 серверов у «пуленепробиваемого» хостинга
Полиция Нидерландов сообщает, что провела масштабную операцию против неназванного «пуленепробиваемого» хостинга, конфисковав около 250 физических серверов в дата-центрах Гааги и Зутермера. После этого в офлайн ушли тысячи виртуальных серверов. СМИ полагают, что речь идет о хостинге CrazyRDP.
https://xakep.ru/2025/11/19/politie-hosting/
Компания Keenetic принудительно обновляет роутеры пользователей из-за уязвимости
Пользователи роутеров Keenetic обнаружили, что их устройства самостоятельно получили новую версию прошивки, даже если автоматическое обновление было отключено в настройках. Представители производителя подтвердили факт принудительного обновления и заявили, что оно связано с недавно обнаруженной уязвимостью.
https://xakep.ru/2025/11/18/keenetic-update/
Google позволит опытным пользователям устанавливать приложения из сторонних источников
В Google пошли на попятную в вопросе запланированной обязательной верификации разработчиков Android-приложений. После критики со стороны сообщества компания объявила, что введет упрощенные учетные записи для небольших разработчиков и создаст отдельный режим для «опытных пользователей», которые смогут устанавливать приложения неверифицированных разработчиков из сторонних источников.
https://xakep.ru/2025/11/18/registration-rules/
Уязвимость в Fortinet FortiWeb использовалась для создания новых администраторов
Представители Fortinet предупреждают о массовой эксплуатации критической 0-day-уязвимости в своем файрволе для веб-приложений FortiWeb. Компания выпустила патч для этой проблемы почти месяц назад, однако официально уязвимость признали только сейчас — после того как исследователи забили тревогу и опубликовали proof-of-concept эксплоиты.
https://xakep.ru/2025/11/18/fortiweb-attacks/
Checkout отказалась платить выкуп хакерам и пожертвует деньги на борьбу с киберпреступностью
Британская финтех-компания Checkout, которая обрабатывает платежи для eBay, Uber Eats, IKEA, Samsung и десятков других крупных брендов, пострадала от кибератаки и утечки данных. Checkout взломали участники хак-группы ShinyHunters и потребовали выкуп. Однако Checkout официально заявила, что не станет платить.
https://xakep.ru/2025/11/17/checkout-hacked/
HTB Outbound. Атакуем Roundcube и получаем учетные данные #статьи #начинающим #подписчикам
В этот раз используем недавнюю RCE в почтовом клиенте Roundcube, после чего получаем доступ к базе данных и расшифровываем учетные данные пользователей. При повышении привилегий эксплуатируем уязвимость в утилите Below.
https://xakep.ru/2025/11/17/htb-outbound/
Компания Logitech пострадала от взлома и утечки данных
Представители Logitech уведомили власти о взломе и крупной утечке данных. Ответственность за эту атаку взяла на себя известная вымогательская группировка Clop, которая уже несколько месяцев атакует компании через уязвимость в Oracle E-Business Suite.
https://xakep.ru/2025/11/17/logitech-leak/
Мерч «Хакера»: футболки и бейсболки для тех, кто не носит корпоративный дресс-код
Праздники уже близко, так что вот еще пара идей для подарков в копилку — наш мерч станет отличным подарком для друзей и коллег из комьюнити, а еще им можно порадовать самого себя. В коллекции «Хакера» тебя ждут 15 уникальных дизайнов футболок и четыре модели бейсболок.
https://xakep.ru/2025/11/14/merch-xakep/
Реклама. ИП Яковлева А.В. ИНН 503806735948.
Австрийские исследователи собрали личные данные 3,5 млрд пользователей WhatsApp
Исследователи из Венского университета заявили, что обнаружили уязвимость в WhatsApp, которая позволила им собрать данные более 3,5 млрд пользователей. По их мнению, это может быть крупнейшей утечкой данных в истории.
https://xakep.ru/2025/11/20/whatsapp-data/
Злоумышленники используют в атаках RCE-уязвимость в 7-Zip
NHS England Digital предупреждает об активной эксплуатации уязвимости CVE-2025-11001 в архиваторе 7-Zip. Пользователям рекомендуется срочно обновиться до версии 25.00, выпущенной в июле 2025 года.
https://xakep.ru/2025/11/20/7-zip-flaw/
Карьерный рост в информационной безопасности требует не только знаний, но и практического опыта.
Платформа онлайн-тренингов «Лаборатории Касперского» по кибербезопасности предлагает уникальную возможность — обучение на реальных кейсах из практического опыта мировых экспертов компании.
В программе курсы по:
• Реверс-инжинирингу и анализу вредоносного ПО
• Реагированию на инциденты и цифровой криминалистике
• Поиску угроз с помощью современных инструментов
Все тренинги включают работу в виртуальных лабораториях с доступом 24/7. Формат самообучения подходит даже занятым специалистам.
Сделайте практические навыки своим конкурентным преимуществом.
Реклама. АО "ЛАБОРАТОРИЯ КАСПЕРСКОГО", ИНН: 7713140469
В Google Chrome исправили уязвимость нулевого дня, уже использовавшуюся хакерами
Компания Google выпустила экстренный патч для Chrome, закрывающий уязвимость нулевого дня CVE-2025-13223. Это уже седьмая 0-day, которая эксплуатировалась в реальных атаках и была исправлена в браузере в этом году.
https://xakep.ru/2025/11/19/cve-2025-13223/
⚡️ Отличные новости! Мы запускаем розыгрыш годовых подписок на «Хакер» 🔥
Всего 15 призовых мест, и уже через две недели (03 декабря в 18:00 по московскому времени) бот случайным образом выберет победителей.
Чтобы участвовать:
1️⃣ Подпишись на канал Xakep
2️⃣ Подпишись на канал Linux Academy
3️⃣ Нажми кнопку «Участвовать» — и всё!
Удачи всем! 💻💚
Ботнет RondoDox взламывает серверы с помощью уязвимости в XWiki
Специалисты предупреждают о новой волне атак ботнета RondoDox: малварь начала активно эксплуатировать критическую RCE-уязвимость в XWiki Platform (CVE-2025-24893). Ошибка уже значится в списке активно используемых уязвимостей CISA, а количество попыток ее использования растет с первых дней ноября.
https://xakep.ru/2025/11/19/cve-2025-24893/
Вредоносные пакеты из npm злоупотребляют перенаправлениями Adspect
Исследователи из компании Socket обнаружили в npm семь вредоносных пакетов, которые используют облачный сервис Adspect для маскировки своей активности и пытаются направить жертв на криптомошеннические сайты.
https://xakep.ru/2025/11/19/adspect-malware/
Azure подвергся DDoS-атаке мощностью 15 Тбит/с, исходившей от 500 000 IP-адресов
Компания Microsoft сообщила, что ее облачная платформа Azure подверглась мощнейшей DDoS-атаке со стороны ботнета Aisuru. Мощность атаки составила 15,72 Тбит/с, а трафик исходил одновременно с 500 000 IP-адресов.
https://xakep.ru/2025/11/18/azure-aisuru/
Push-pull. Собираем двухтактный ламповый усилитель своими руками #статьи #подписчикам
Сегодня мы выясним, как собрать двухтактный ламповый усилитель буквально из того, что найдется под рукой. Поговорим о схемотехнике шестидесятых годов, фазоинверторах, трансформаторах и нюансах монтажа, а затем проверим, на что способен самодельный «пуш‑пуль» в реальных тестах.
https://xakep.ru/2025/11/18/push-pull-amp/
Открыта регистрация на главную аналитическую конференцию Код ИБ ИТОГИ в Москве
🗓 4 декабря | Начало в 9:30
📍 Palmira Business Club
Более 50 экспертов по ИБ разберут ключевые события года, представят свежую аналитику и озвучат прогнозы на будущее.
В программе:
📌 3 дискуссии
— CISO говорят
— БОССЫ кибербеза говорят
— Стартапы говорят
📌 6 тематических сессий
— Защита инфраструктуры
— Культура кибербезопасности
— Анализ защищенности
— Защита данных
— Безопасная разработка
— Процессы
А также:
— Зона со стендами ИБ-компаний
— Новогодние угощения
— Розыгрыши подарков
— Дружественная атмосфера
Опытом поделятся практики из ведущих компаний: Yandex, Сбер, Билайн, Райффайзенбак, СОГАЗ, ГК Элемент и др.
Успейте забронировать место — участие бесплатное по предварительной регистрации.
➡️ Стать участником
Реклама. ООО "Экспо-Линк". ИНН 6670051499
Эксперты сомневаются, что Claude Code мог использоваться для автоматизированных атак
На прошлой неделе компания Anthropic опубликовала отчет, в котором заявила, что китайская хак-группа GTG-1002 провела масштабную кибершпионскую операцию, автоматизировав до 90% своих атак с помощью ИИ-модели Claude Code. Эти заявления компании вызвали волну скептицизма со стороны ИБ-экспертов.
https://xakep.ru/2025/11/18/anthropic-doubts/
Microsoft борется с KMS-активацией Windows
Пользователи обратили внимание, что на прошлой неделе разработчики Microsoft отключили офлайн-способ активации Windows 11 и 10 через KMS38, который годами использовали пираты по всему миру. При этом в официальных примечаниях к релизам об этих изменениях не упоминается.
https://xakep.ru/2025/11/17/kms38-down/
Asus предупредила о критической уязвимости в роутерах серии DSL
Компания Asus выпустила экстренное обновление прошивки для нескольких моделей роутеров серии DSL. Патч устраняет критическую уязвимость, которая позволяет злоумышленникам захватывать полный контроль над устройствами без аутентификации.
https://xakep.ru/2025/11/17/asus-auth-bypass/
Минцифры обновило «белые списки» сайтов
Министерство цифрового развития, связи и массовых коммуникаций РФ опубликовало в своем Telegram-канале дополненный список сайтов, которые будут доступны во время ограничений работы мобильного интернета.
https://xakep.ru/2025/11/17/whitelist-v2/
В Госдуму внесен законопроект, предусматривающий штрафы за авторизацию через зарубежные сервисы
В Госдуму внесли законопроект, который предусматривает административную ответственность и штрафы в размере до 700 000 рублей для владельцев российских сайтов, которые игнорируют требования об авторизации пользователей только через российские сервисы.
https://xakep.ru/2025/11/14/russian-auth/