Руководства по безопасности
Учитесь на реальных инцидентах. Защищайте свой сайт.
Не как атаковать — а как защищаться, на основе утечек, которые действительно произошли. Практичная защита, которую вы можете применить уже сегодня, даже без подготовки в области безопасности.
С чего начать
ITD / DEFENSEЛента угрозCVE13 Инциденты и уязвимости37 Глоссарий228 Руководства по безопасностиDEFENSE-ONLY — NO ATTACK STEPS
01ПОСЛЕДНЕЕ / Новости безопасности
Что проверить прямо сейчас.
Срочные сообщения об инцидентах и уязвимостях, активно эксплуатируемые уязвимости и недавно раскрытые критические уязвимости.Лента уязвимостей обновлена 2026-11-12 02:01 JSTСписок получен 2026-11-12 02:46 JST
Срочные сообщенияС источниками
- First reportна английскомFireworks AI Security Incident (October 2026): Billing Data and Some Datasets and Model Weights Affected, Company Says Cloud Provider Breach Was Involved. What Customers Should Do
- First reportна английскомNEAR AI Breached Through an Inference Engine Flaw (Account Details of About 100 Users): What Was Confirmed and What Users and AI Infrastructure Operators Should Do
- First reportна английскомSAP Security Patch Day, November 2026: four CVSS 10.0 flaws. Patch internet-facing Web Dispatcher and ICM first; how to check if you are affected and what to do today
- First reportна английскомUnauthorized access to Sharefull's internal management system (up to about 7.5 million accounts): names, bank details, emergency contacts and more may have leaked — what workers should do
- First reportна английскомUnauthorized access to Sumitomo Life's Vitality application system (about 80,000 people): names, addresses, phone numbers and partly masked card numbers leaked — what users should do
Срочные сообщения публикуются на английском и японском языках.
Все срочные сообщенияАктивно эксплуатируютсяНовое в CISA KEV
- CVE-2026-125350CVSS 8.8РазборGoogle ChromeИспользование после освобождения в компоненте XML в Google Chrome до версии 157.0.8103.50 позволяло удалённому злоумышленнику выполнить произвольный код внутри песочницы с помощью специально подготовленной HTML-страницы. (Уровень серьёзности по классификации Chromium: High)
- CVE-2026-116606CVSS 9.3РазборОбход аутентификации в Barracuda Email Security Gateway версий ранее 9.4.0.030 позволяет неаутентифицированному удалённому злоумышленнику вызвать функцию импорта конфигурации и восстановить специально сформированный совместимый архив резервной копии, что приводит к несанкционированному изменению глобальной конфигурации устройства.
- CVE-2026-20320CVSS 7.5РазборУязвимость в XML-парсере Open Client Interface (OCI) Cisco BroadWorks может позволить неаутентифицированному удалённому злоумышленнику считывать конфиденциальную информацию о конфигурации затронутой системы. Уязвимость обусловлена некорректной обработкой XML-элементов: по умолчанию разрешено разрешение внешних сущностей. Злоумышленник может эксплуатировать эту уязвимость, отправив специально сформированное XML-сообщение сервису Open Client Interface – Provisioning (OCI-P). Успешная эксплуатация может позволить злоумышленнику просматривать конфиденциальные файлы из файловой системы с привилегиями пользователя Cisco BroadWorks.
- CVE-2026-111560CVSS 8.6Неправильная нейтрализация метасимволов оболочки в поле конфигурации часового пояса в определённых продуктах-устройствах Barracuda, использующих общий код Barracuda, позволяет аутентифицированному администратору внедрять команды ОС, которые выполняются с правами root при последующей обработке специально сформированного значения часового пояса.
- CVE-2026-124194CVSS 6.5РазборПродукт ui не предупреждает пользователя о небезопасных действиях в Microsoft Office Outlook, что позволяет неавторизованному злоумышленнику выполнять спуфинг по сети.
Недавно раскрытые критические уязвимостиCVSS 8.8+
- CVE-2026-123710CVSS 9.8A flaw was found in Red Hat Quay. An unauthenticated client can obtain an anonymous registry token with an audience it controls, present that token to the service key rotation endpoint, and install its own approved signing key with no expiry. Registry tokens signed with that key are accepted for any repository, allowing read and write access to private images and replacement of repository tags.
- CVE-2026-89324CVSS 9.8The Basel Post Types plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 1.18. The vulnerability exists because a missing-quotes coding error in the defined() call for SECURE_AUTH_SALT inside BASEL_Auth::get_config() causes PHP to evaluate the constant's value rather than its name, making the check always fail and permanently falling back to the static hardcoded salt 2NlBUibcszrVtNmDnxqDbwCOpLWq91eatIz6O1O that is publicly visible in the theme source code; because this salt is static and known, an attacker can compute a valid Opauth signature entirely offline and submit a forged ?opauth callback to the unauthenticated init hook endpoint processed by register_or_login. This makes it possible for unauthenticated attackers to authenticate as any existing WordPress user, including administrators, by forging a callback tied to a known target account email address — bypassing all password verification, multi-factor authentication, and ownership checks, and receiving a fully authenticated session cookie via wc_set_customer_auth_cookie(). Exploitation requires WooCommerce to be active and at least one Basel social-login provider (Facebook, Google, or VKontakte) to be configured with a valid app_id and app_secret in the theme settings.
- CVE-2026-121908CVSS 9.9Adobe Connect is affected by an Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability that could result in arbitrary code execution in the context of the current user. A low-privileged attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
- CVE-2026-121906CVSS 9.9Adobe Connect is affected by an Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability that could lead to arbitrary file system read. An attacker could exploit this vulnerability to access sensitive files and directories outside the intended access scope. Exploitation of this issue does not require user interaction. Scope is changed.
- CVE-2026-121904CVSS 9.6Adobe Connect is affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by a low-privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim's browser when they browse to the page containing the vulnerable field, potentially gaining elevated access or control over the victim's account or session. Scope is changed.
Статус эксплуатации — по CISA KEV, уровень серьёзности — по NVD. Всегда подтверждайте исправленные версии и затронутый объём в бюллетене каждого вендора.
01 — Sections
С чего начать
Выберите точку входа по цели. Всё бесплатно, без регистрации.
02 — Field notes
Заметные инциденты и уязвимости
Capital One, Log4Shell, MOVEit и другие — публичные утечки и уязвимости, превращённые в инструкции по защите.
03 — Our stance
За что выступает этот сайт
Продукт по безопасности обязан держать в порядке собственный дом.
We don't hold secrets
We never store your real API keys — only metadata. The safest secret is the one we can't leak.
Scan only what you own
Diagnostics run on verified domains only. Internal IPs and metadata endpoints are blocked — SSRF defense is built in.
Minimal blast radius
Isolation so one breach can't cascade. This site itself runs on a dedicated, isolated host.
We test on ourselves
This site watches its own dependencies for CVEs. The incident that started this never gets missed by a human again.