Руководства по безопасности
Пароли, MFA, устройства, публичный Wi-Fi, серверы, зависимости, Git, открытые окружения — практичные руководства по защите, которые можно применить уже сегодня.
Инцидент безопасности Fireworks AI (октябрь 2026): затронуты платёжные данные, а также часть наборов данных и весов моделей; компания связывает его со взломом облачного провайдера. Что делать клиентам
Fireworks AI, предоставляющая инфраструктуру инференса моделей ИИ, опубликовала 9 ноября 2026 года обновление об инциденте безопасности, который впервые раскрыла 9 октября. По словам компании, об изначальном инциденте, обнаруженном 6 октябр…
Взлом NEAR AI через уязвимость движка инференса (данные учётных записей около 100 пользователей): что подтверждено и что делать пользователям и операторам инфраструктуры ИИ
NEAR AI, предоставляющая ИИ-чат и агентов, раскрыла несанкционированный доступ к части инфраструктуры в официальной записи блога от 9 ноября 2026 года. По словам компании, причиной стала уязвимость удалённого выполнения кода в SGLang, движк…
День исправлений SAP, ноябрь 2026: четыре уязвимости с CVSS 10.0. Сначала обновите Web Dispatcher и ICM, доступные из интернета; как проверить, затронуты ли вы, и что делать сегодня
10 ноября 2026 года в День исправлений безопасности SAP выпустила 35 новых заметок по безопасности и 4 рекомендации GitHub, а также обновила 3 прежние заметки. В списке SAP 9 строк помечены как Critical. Четыре из них имеют CVSS 10.0: повре…
Несанкционированный доступ к внутренней системе управления Sharefull (до 7,5 млн аккаунтов): могли утечь имена, банковские реквизиты, экстренные контакты — что делать работникам
9 ноября 2026 года Sharefull объявила, что третье лицо получило несанкционированный доступ к её внутренней системе управления и персональные данные пользователей могли утечь. Доступ произошёл около 23:30 4 ноября, был обнаружен около 9:45 5…
Несанкционированный доступ к системе заявок Vitality в Sumitomo Life (около 80 000 человек): утекли имена, адреса, телефоны и частично скрытые номера карт — что делать пользователям
9 ноября 2026 года Sumitomo Life Insurance Company объявила, что несанкционированный доступ третьего лица к системе компании, которой она поручила системные работы, привёл к утечке данных около 80 000 человек, которые пользуются или пользов…
Утечка данных Amplifon Americas (слуховая помощь; по данным прессы около 1,33 млн человек): сведения о слухе и здоровье, номера водительских удостоверений и другое, и что делать, если пришло уведомление
Amplifon Americas сообщает, что 11 февраля 2026 года обнаружила подозрительную активность в части своей сети, а расследование показало, что посторонний получил файлы из некоторых систем в период с 18 января по 8 февраля. 6 октября, проверив…
В Ethersphere bee-js 13.3.0 и Swarm Desktop 0.56.2 попала вредоносная программа (ноябрь 2026): затронутые версии и что делать пользователям
В версии 13.3.0 npm-пакета @ethersphere/bee-js от Ethersphere, разработчика децентрализованной сети хранения Swarm, находился вредоносный код. Бюллетень GitHub (GHSA-hh7j-5m3j-23pf), опубликованный 9 ноября 2026 года, называет затронутой то…
Несанкционированный доступ к сайту Mitsui Direct General Insurance (около 234 000 записей): утекли имена, адреса и сведения об автомобилях — что делать тем, кто получал расчёт или оформил полис
6 ноября 2026 года Mitsui Direct General Insurance Co., Ltd. объявила, что третье лицо получило несанкционированный доступ к её сайту и часть информации о клиентах утекла. Доступ обнаружен рано утром 4 ноября, и компания приостановила все п…
Эксплуатация уязвимости сервера MCP у mittwald: скомпрометированы 56 клиентских проектов (ноябрь 2026): опубликованная хронология и что делать пользователям и операторам интеграций ИИ
Немецкая компания веб-хостинга mittwald сообщила в официальной записи блога, что уязвимость её сервера MCP, подключающего ИИ-помощников клиентов к панели управления mStudio, была использована, и 56 клиентских проектов скомпрометированы. По…
Несанкционированный доступ к Nitori: персональные данные до 37,62 миллиона записей могли утечь (имена, адреса, телефоны, даты рождения), и что делать частным и корпоративным участникам
9 ноября 2026 года Nitori Holdings Co., Ltd. (Nitori) объявила, что 6 ноября подтвердила несанкционированный доступ третьего лица к управляемой ею системе и что персональные данные, хранившиеся на её серверах, до 37,62 миллиона записей, мог…
Несанкционированный доступ к системе приёма печатных данных Raksul (число подсчитывается): могли утечь имена, адреса и номера телефонов из печатных данных — что делать клиентам и тем, чьи имена указаны на печатной продукции
9 ноября 2026 года Raksul Inc. объявила, что к системе, связанной с обработкой присылаемых данных для сервиса Raksul, получило несанкционированный доступ третье лицо и что персональные данные могли утечь наружу. Доступ стал известен около 0…
Инцидент кибербезопасности в Университете Вандербильта (продолжается): Wi-Fi, Okta, почта и CampusPrint работают, остальные системы ограничены, полное восстановление займёт недели, что делать студентам и сотрудникам
9 ноября 2026 года Университет Вандербильта (Теннесси, США) сообщил, что реагирует на активный инцидент кибербезопасности, который может затрагивать устройства, системы и облачные сервисы университета. В обновлении от 18:00 10 ноября универ…
Несанкционированный доступ к интернет-магазину akyrise компании Euglena (до примерно 900 000 записей): могли утечь имена, адреса и телефоны, что делать покупателям
5 ноября 2026 года Euglena Co., Ltd. объявила, что к интернет-магазину её косметического бренда akyrise 4 ноября получила несанкционированный доступ третья сторона и что данные участников утекли. Компания в тот же день закрыла магазин и под…
Несанкционированный доступ к почтовым заказам Rohto Pharmaceutical (2 797 545 человек в клиентской системе, 9 715 номеров карт в записях звонков): что делать клиентам, заказывавшим по телефону, и всем остальным
6 ноября 2026 года Rohto Pharmaceutical Co., Ltd. опубликовала результаты расследования несанкционированного доступа к телефонной системе, которую использует для почтовых заказов. Были похищены имена, адреса и номера телефонов 2 797 545 чел…
Несанкционированный доступ к онлайн-игре в маджонг Maru-Jan (1 855 578 участников): утекли адреса электронной почты и пароли, что делать участникам
7 ноября 2026 года Signaltalk Co., Ltd. объявила, что из-за несанкционированного доступа к онлайн-игре в маджонг Maru-Jan, которой она управляет, утекли адреса электронной почты и пароли 1 855 578 участников. Компания говорит, что была испо…
Утечка из системы гарантий по кредитам SMBC Consumer Finance (до 320 118 человек): номера водительских прав, данные о работодателе и доход, что делать клиентам банковских карточных кредитов
5 ноября 2026 года SMBC Consumer Finance Co., Ltd. объявила, что третья сторона получила несанкционированный доступ к системе, которую компания использует для гарантирования кредитов, и что данные были отправлены за пределы системы. Доступ…
Утечка медицинских данных Perry Johnson & Associates (PJ&A): четыре штата заключили соглашение до 10 млн долларов (13,3 млн человек), что было раскрыто и что делать
6 ноября 2026 года генеральные прокуроры штатов Нью-Йорк, Коннектикут, Мичиган и Нью-Джерси объявили о соглашении с компанией по медицинской транскрипции и кодированию Perry Johnson & Associates, Inc. (PJ&A) и четырьмя аффилированными компа…
Кибератака на Crédit Mutuel Arkéa (Франция): мошеннические переводы со своего счета через платформу поставщика услуг, активы клиентов не затронуты
4 ноября 2026 года французская финансовая группа Crédit Mutuel Arkéa сообщила, что подверглась атаке, позволившей провести мошеннические операции. По словам группы, злоумышленники добрались до нее через платформу поставщика услуг и отправил…
Взлом внутренней бизнес-системы DigiCert (удостоверяющий центр): контакты представителей клиентов и часть документов, удостоверяющих личность, и что делать клиентам
В отчёте об инциденте на Mozilla Bugzilla (полный отчёт опубликован около 2 ноября 2026 года по времени Японии) DigiCert сообщает, что обнаружила несанкционированный доступ к внутренней бизнес-системе, где хранится информация, которую клиен…
Утечка из docomo Online Shop и My docomo (NTT DOCOMO), до примерно 300 000 записей: номера документов, удостоверяющих личность, — что делать клиентам
4 ноября 2026 года NTT DOCOMO подтвердила несанкционированный доступ извне к docomo Online Shop и My docomo и примерно с 1:05 5 ноября приостановила оформление услуг в обоих сервисах, перейдя на экстренное техобслуживание. Во втором сообщен…
Несанкционированный доступ к сервису рассылки новостей Hotto Motto (до примерно 7 млн записей): утекли имена, даты рождения и номера телефонов — что делать участникам
4 ноября 2026 года Plenus Co., Ltd. объявила, что к сервису рассылки новостей Hotto Motto, который предоставляет внешний подрядчик, получила несанкционированный доступ третья сторона и что утекла информация об участниках, включая адреса эле…
Несанкционированный доступ к Iris Plaza (данные примерно 7,7 млн человек): могли утечь имена, адреса и зашифрованные пароли — что делать участникам и покупателям
5 ноября 2026 года Iris Plaza Co., Ltd., входящая в группу Iris, во втором сообщении заявила, что из-за несанкционированного доступа к Iris Plaza, официальному интернет-магазину Iris Ohyama, могла утечь часть персональных данных клиентов. 2…
Файлы PC-лаунчера GODDESS OF VICTORY: NIKKE изменены, распространялась вредоносная программа: что делать пользователям Windows, запускавшим лаунчер после 15:41 (JST) 27 сентября
5 ноября 2026 года оператор GODDESS OF VICTORY: NIKKE (Level Infinite) объявил, что часть файлов PC-лаунчера была изменена третьей стороной, из-за чего при запуске лаунчера могла выполняться вредоносная программа. По словам оператора, внешн…
Срочное исправление OpenSSH 10.6p2 (CVE-2026-123158): добавлена в CISA KEV; в sshd на системах с musl без PAM, например Alpine, можно войти без пароля
5 ноября 2026 года OpenSSH выпустил 10.6p2 с важным обходным решением для проблемы обхода парольной аутентификации в sshd на некоторых системах Linux, собранных и запущенных с отключённым PAM, в частности использующих musl libc, например Al…
SonicWall SonicOS SSL-VPN CVE-2026-19868: обход SAML и MFA, уязвимость в KEV CISA (обновите Gen7 и Gen8)
CVE-2026-19868 — уязвимость в службе SSL-VPN SonicWall SonicOS, операционной системы межсетевых экранов SonicWall. Согласно бюллетеню SonicWall SNWLID-2026-0014 от 6 ноября 2026 года, на межсетевом экране, где для входа в SSL-VPN включен SA…
Утечка персональных данных Suntory Group (около 90 000 сотрудников и сотрудников партнеров, а также другие группы): имена и адреса электронной почты утекли после несанкционированного доступа к внешнему облачному сервису, и что делать соискателям и клиентам
Suntory Group 2 ноября 2026 года объявила, что подтвердила несанкционированный доступ третьего лица к внешнему облачному сервису, которым пользуется группа, и что часть скачанных третьим лицом файлов содержала персональные данные. Компания…
Несанкционированный доступ к сервису email-рассылки Arara Message компании Arara (около 81,3 млн адресов электронной почты): затронуты и имена, и другие данные участников. Что делать получателям рассылок и компаниям-клиентам
6 ноября 2026 года Arara Inc. (дочерняя компания PayCloud Holdings) в третьем сообщении заявила, что с учётом 3 249 492 адресов электронной почты, выгруженных из отдельной облачной среды (среда B), в результате несанкционированного доступа…
Утечка данных участников Asoview! (15 821 184 записи): через подрядчика по рассылке почты утекли имена, номера телефонов и данные о покупке билетов, и что делать участникам
Asoview Inc., которая управляет сервисом бронирования досуга Asoview!, сообщила 3 ноября 2026 года, что третья сторона несанкционированно получила доступ к сервису подрядчика, которого компания использовала для рассылки электронной почты, и…
Утечка данных клиентов 7NOW у Seven-Eleven Japan (164 180 записей только с именем и другие): что открыл взлом подрядчика по доставке и что делать пользователям
Seven-Eleven Japan сообщила 3 ноября 2026 года, что к сервису подрядчика, который выполняет часть доставок службы доставки 7NOW, третья сторона получила несанкционированный доступ и была взята часть данных заказчиков 7NOW (получателей доста…
Инцидент безопасности Trigger.dev (ноябрь 2026): корневые ключи API и переменные окружения затронуты у 0,66 % клиентов, перегенерируйте ключи и смените секреты
Trigger.dev, платформа для запуска фоновых задач и ИИ-агентов, раскрыла инцидент безопасности 1 ноября 2026 года и опубликовала дополнительный отчёт 6 ноября. Компания сообщает, что оповещения инфраструктуры 1 ноября указали на аномальную а…
Взлом внутреннего приложения продаж WorkOS (платформа SSO и синхронизации каталогов для разработчиков): компания связывает его с ИИ-агентом исследователя безопасности; что делать клиентам с раскрытыми контактами и историей поддержки и Slack
2 ноября 2026 года WorkOS опубликовала уведомление о несанкционированном доступе к внутреннему приложению, которым пользуются ее команды продаж и работы с клиентами, а 6 ноября обновила его. Обновление сообщает, что первый несанкционированн…
Взлом производственной среды Chainstack (платформа блокчейн-узлов и API): что разработчикам и операторам dApp делать с данными аккаунтов и учетными данными узлов
В уведомлении от 3 ноября 2026 года Chainstack сообщает, что внешний злоумышленник получил доступ к части ее инфраструктуры через сторонний компонент: к среде разработки 26 октября и к части производственной среды 29 октября; доступ был обн…
Утечка @cosme (istyle): данные около 3 миллионов участников, и что делать участникам с утекшими именами, адресами, телефонами и типом кожи
istyle Inc. объявила 2 ноября 2026 года, что 28 октября подтвердила несанкционированный доступ третьей стороны к @cosme и что часть данных участников, зарегистрированных под общим идентификатором @cosme, утекла. Затронуто около 3 миллионов…
Несанкционированный доступ к Nojima Online и сайту выкупа б/у телефонов (около 7 миллионов записей): имена, адреса, телефоны и зашифрованные пароли, и что делать участникам
Nojima Corporation объявила 2 ноября 2026 года, что к системе управления участниками Nojima Online был получен несанкционированный доступ и что данные участников Nojima Online и сайта выкупа подержанных телефонов утекли. По словам компании,…
Утечка из системы дорожной помощи Prestige International (до 5,5 млн записей, включая дубликаты): имена, данные об автомобилях и часть банковских реквизитов и 3 номера карт вывезены, что делать клиентам страховых и лизинговых компаний
Prestige International Co., Ltd. объявила 2 ноября 2026 года, что система её дочерней компании Prestige Core Solutions, которая принимает заявки на дорожную помощь и организует выезды для компаний-клиентов, подверглась несанкционированному…
Утечка из официального магазина Good Smile Company (полные данные карт 2 800 человек могли утечь, частичные данные по 402 466 картам, возможен просмотр до 202 заказов): что делать каждой группе
Good Smile Company Co., Ltd. объявила 23 октября 2026 года, что к её официальному магазину получила доступ третья сторона, а к четвёртому сообщению от 30 октября разделила пострадавших на три группы. У группы B (2 800 человек) имя владельца…
Jenkins 2.588 и LTS 2.580.2 исправляют 15 уязвимостей (CVE-2026-117612–117626): как проверить версию и что проверить после обновления
28 октября 2026 года проект Jenkins опубликовал уведомление безопасности, исправляющее 15 уязвимостей в ядре Jenkins (CVE-2026-117612–CVE-2026-117626) в еженедельной версии 2.588 и LTS 2.580.2. Затронуты еженедельные версии 2.587 и ниже и L…
Несанкционированный доступ и утечка данных у PingCAP (TiDB Cloud) (до примерно 50 000 записей в Японии): что администраторам организаций TiDB Cloud делать с данными аккаунтов, историей SQL-редактора и тикетами поддержки
PingCAP сообщает, что в период с 9 сентября по 7 октября 2026 года (по времени США) третья сторона с помощью украденных учётных данных проникла во внутренние системы и скопировала данные, и что, как выяснилось, утекло до примерно 50 000 зап…
Атаки программ-вымогателей на Synology DSM: устаревшие версии атакуют через уязвимость, исправленную в декабре 2024 года; что обновить и проверить сегодня (SA-24:20)
29 октября 2026 года Synology сообщила, что выявила злоумышленников, использующих уязвимость, исправленную в декабре 2024 года, против устройств с устаревшими версиями DSM с целью зашифровать данные и вымогать выкуп. Компания настоятельно п…
Несанкционированный доступ к сайту вакансий MyBRANDS и возможная утечка персональных данных (до примерно 135 000 аккаунтов): что делать соискателям и представителям работодателей, чьи имена, контакты и трудовая история под угрозой
iDA Co., Ltd. (Япония) объявила 30 октября 2026 года, что в результате несанкционированного доступа третьего лица к серверной среде сайта вакансий MyBRANDS информация зарегистрированных соискателей и представителей работодателей могла утечь…
Атака программы-вымогателя на Университет Сага (персональные данные студентов, сотрудников и выпускников, около 80 000 человек, и сведения о пациентах могли утечь): что делать тем, чьи имена, адреса и пароли указаны в перечне
Университет Сага, национальный университет в Японии, объявил 30 октября 2026 года, что после атаки программы-вымогателя на его административные информационные системы, о которой он сообщил 28 сентября, он подтвердил: исключить утечку хранящ…
Уязвимость WordPress 7.1.4 CVE-2026-119977: исправлена гонка при обновлении ядра, которая может привести к удаленному выполнению кода. Проверьте версию и автообновления
28 октября 2026 года проект WordPress выпустил релиз безопасности 7.1.4, который устраняет уязвимость в процессе обновления ядра, способную привести к удаленному выполнению кода. Согласно рекомендации WordPress на GitHub, при обновлении ядр…
Автоматизация мониторинга уязвимостей для вашего стека: сопоставление по компонентам, которые вы действительно используете
На сайтах, которыми управляет оператор этого сайта, уязвимость PHP, вредоносный код в пакете Python и проблема в базовом образе контейнера каждый раз сначала становились известны человеку, а не автоматической системе наблюдения, трижды за о…
Инцидент безопасности Chainalysis (октябрь–ноябрь 2026): имена, имена пользователей, хеши паролей и действующие токены всех пользователей раскрыты, что делать клиентам
Компания Chainalysis, занимающаяся блокчейн-аналитикой, опубликовала уведомление об инциденте безопасности 30 октября 2026 года и с тех пор обновляла его. В обновлении от 4 ноября компания сообщает, что имена, имена пользователей, хеши паро…
Несанкционированный доступ в Club Tourism и возможная утечка персональных данных (около 4,32 млн записей): что делать участникам, чьи имена, адреса, телефоны и экстренные контакты могли попасть в утечку
Японская турфирма Club Tourism Co., Ltd. объявила 31 октября 2026 года, что в 5:45 30 октября обнаружила несанкционированный доступ извне и что данные интернет-участников, зарегистрированных в её системе интернет-бронирования, могли утечь з…
Когда лимиты запросов по IP не остановили бота для поиска, распределённого по десяткам тысяч IP
На сайте, где поиск на каждый запрос обращается к внешнему API, поисковый трафик за несколько дней вырос примерно в 20 раз, и почти все поиски возвращали 503. Первое предположение, что лимит по IP всё сдержит, оказалось неверным. Примерно 6…
Ядро Linux CVE-2026-98432: use-after-free в TCP, вызываемый по сети (CVSS 9.8). Установите исправленное ядро, перезагрузитесь и проверьте MPTCP
CVE-2026-98432 — use-after-free в коде IPv4 TCP ядра Linux, опубликованный 15 октября 2026 года. CNA проекта ядра оценивает его в CVSS v3.1 9.8 (сеть, без привилегий, без действий пользователя). Исследователи одной ИИ-компании, как сообщает…
Инцидент безопасности Northflank (октябрь 2026): сохранённые переменные окружения считаются расшифрованными, сообщается о неправомерном использовании ключей API ИИ
30 октября 2026 года (UTC) облачная платформа развёртывания Northflank разместила на странице статуса сообщение об инциденте безопасности. Предупреждение об угрозе от поставщика средств безопасности поступило в 11:43 UTC; компания развернул…
Что проверить после экстренного обновления PHP: веб-PHP и PHP в командной строке, set -e и коды возврата diff, а также повторная проверка на взлом
Во время реагирования в октябре 2026 года на критические уязвимости PHP на сайте, которым управляет оператор этого сайта, обновили веб-PHP, но PHP в командной строке, которым пользовался cron, по-прежнему указывал на старую версию. Проверяй…
Утечка у дочерней компании World — Tin Pan Alley (по сообщениям прессы, оператор RAGTAG), всего около 1,2 млн записей: имена, адреса и телефоны могли утечь, что делать участникам
30 октября 2026 года World Co., Ltd. объявила, что к бизнес-серверу её консолидированной дочерней компании Tin Pan Alley Co., Ltd. получила несанкционированный доступ третья сторона и что часть данных участников, хранящихся на нём, могла ут…
Взлом клиентских аккаунтов Revolve: доступ к сохранённым номерам карт и срокам действия (1 515 073 человека по списку генпрокурора Индианы) — что делать клиентам
Американский ритейлер модной одежды Revolve в документе для американских регуляторов ценных бумаг от 29 октября 2026 года, как сообщает The Record, раскрыла, что неуполномоченная сторона с помощью автоматизированных средств получила доступ…
Кибератаки и утечки данных в октябре 2026: 36 эксплуатируемых уязвимостей и крупные утечки
В октябре 2026 года CISA добавила в каталог известных эксплуатируемых уязвимостей (KEV) 36 уязвимостей, на семь меньше, чем 43 в сентябре. Одиннадцать относились к периферийным устройствам и продуктам удалённого доступа, таким как VPN-шлюзы…
Подмена на сервере обновлений AOMEI Backupper (апрель–июль 2026): кто может быть затронут, даты и как проверить свой ПК
19 октября 2026 года AOMEI, разработчик программы резервного копирования для Windows AOMEI Backupper, опубликовала заявление (последнее обновление — 30 октября) о компрометации цепочки поставки ПО через свой сервер обновлений. Ссылаясь на р…
Кража криптовалюты у Binance (около 6,3 млрд долларов США): покрыты ли средства пользователей и что делать владельцам аккаунтов
Binance сообщила, что ее горячие кошельки были скомпрометированы около 20:05 UTC 29 октября 2026 года и за этим последовали несанкционированные выводы, оценочный ущерб составляет около 6,3 млрд долларов США. 31 октября ФБР объявило, что за…
Cisco Catalyst SD-WAN Manager CVE-2026-76504: доступ администратора без входа, уязвимость эксплуатируется (обновитесь до исправленного выпуска)
CVE-2026-76504 — уязвимость в аутентификации сеансов API Cisco Catalyst SD-WAN Manager (ранее vManage), системы управления SD-WAN от Cisco. Согласно бюллетеню Cisco от 30 сентября 2026 года, из-за неправильной обработки URI-кодирования в HT…
Cloudflare Workers AI вернул данные других клиентов в 155 ответах (GLM 5.3): что проверить командам, использующим размещенный ИИ
26 октября 2026 года Cloudflare опубликовала описание раскрытия данных между запросами в Workers AI. С 27 августа по 9 сентября 2026 года запросы длиннее 681 280 токенов к модели GLM 5.3 могли получать ответы, содержащие данные из запросов…
Подменённое расширение «Claude Code» в маркетплейсе Cursor (29 октября, около 11 часов): как проверить наличие SSH-бэкдора
Cursor опубликовал уведомление по безопасности 29 октября 2026 года (обновлено 30 октября), в котором говорится, что подменённые версии 2.1.312 и 2.1.313 расширения, опубликованного под именем Anthropic (Anthropic.claude-code), распространя…
Инцидент в DreamHost (октябрь 2026): логины FTP и SFTP раскрыты через File Manager, учётные данные веб-почты тоже похищены — что делать владельцам аккаунтов
29 октября 2026 года DreamHost сообщил, что 23 октября обнаружил несанкционированный доступ к серверу, на котором работает его веб-интерфейс File Manager (files.dreamhost.com). Злоумышленник использовал уязвимость в стороннем ПО, применяемо…
Drupal Commerce Core CVE-2026-118539: обход доступа без аутентификации, активно эксплуатируется (обновитесь до 8.x-2.41 или 3.3.13)
28 октября 2026 года команда безопасности Drupal опубликовала SA-CONTRIB-2026-254 для модуля Commerce Core (CVE-2026-118539). Модуль недостаточно защищает определенные маршруты и поля сущностей, что допускает обход доступа, который может им…
Утечка данных учащихся Калифорнии из ETS: скопированы сведения об инвалидности, плане 504 и тестах, и что делать семьям
Educational Testing Service (ETS) — некоммерческая организация, которая по контракту со штатом проводит штатные тесты Калифорнии (CAASPP и ELPAC), — 16 октября 2026 года начала уведомлять учащихся и семьи по указанию Департамента образовани…
Взлом внутренних систем Genesys (октябрь 2026 года): получен доступ к системам с контактными данными клиентов, платформы не затронуты, и что делать клиентам
19 октября 2026 года Genesys, поставщик платформы для контакт-центров Genesys Cloud, объявила об инциденте кибербезопасности с участием неавторизованной третьей стороны. Компании стало о нем известно 16 октября. Расследование установило, чт…
Утечка данных участников GETTIIS (317 971 идентификатор участника): что утекло и что делать участникам
19 октября 2026 года Linkstation Inc. (Япония) объявила, что после несанкционированного доступа утекла информация об участниках GETTIIS, а 20 октября опубликовала второе сообщение с числами по каждому пункту. По словам компании, с примерно…
Ivanti Connect Secure CVE-2026-111357 и CVE-2026-118527: еще две уязвимости добавлены в CISA KEV (что делать после октябрьских атак)
30 октября 2026 года CISA добавила в каталог известных эксплуатируемых уязвимостей (KEV) две уязвимости Ivanti Connect Secure: CVE-2026-111357, локальное повышение привилегий до root, и CVE-2026-118527, ошибку с предсказуемыми идентификатор…
Утечка из системы управления приложением Matsuya (2 377 127 записей плюс участники приложения): имена, телефоны и адреса доставки, и что делать участникам
30 октября 2026 года Matsuya Foods Holdings Co., Ltd., японская сеть ресторанов с рисовыми мисками с говядиной, объявила, что к системе управления официальным приложением Matsuya (Matsuben Net, Mobile Order и Matsuben Delivery) получил неса…
Утечка из приложения и интернет-магазина Ryohin Keikaku (MUJI) (до примерно 27,26 млн записей): затронуты также номера карт MUJI Card примерно 1,09 млн — что делать пользователям
После первого уведомления от 30 октября Ryohin Keikaku Co., Ltd., японская розничная компания, стоящая за брендом MUJI, сообщила во втором уведомлении от 4 ноября 2026 года, что масштаб шире. Затронуты как пользователи приложения MUJI, так…
Взлом OpenCode Console (октябрь 2026, 1,4% пользователей Console): возможно раскрыты API-ключи поставщиков ИИ, и что делать
17 октября 2026 года OpenCode, ИИ-агент для написания кода с открытым исходным кодом, сообщил в своём официальном аккаунте в X, что прошлой ночью произошёл взлом, связанный с масштабной атакой дистилляции, который затронул 1,4% пользователе…
Orkes Conductor CVE-2026-58138: выполнение команд ОС без аутентификации, зафиксированы попытки атак (обновитесь до 3.30.2 или новее)
CVE-2026-58138 — уязвимость в Conductor, движке рабочих процессов с открытым исходным кодом из проекта conductor-oss, который в записи CVE называется Orkes Conductor. В версиях с 3.21.21 до, но не включая, 3.30.2 удаленный злоумышленник мож…
Утечка данных Paradigm Healthcare Services: возможен доступ к номерам участников Medi-Cal и датам рождения, и что делать участникам
Paradigm Healthcare Services — сторонний поставщик услуг, который обрабатывает счета Medi-Cal и хранит идентификационные номера участников Medi-Cal для Департамента здравоохранения Калифорнии (DHCS), — опубликовала уведомление об утечке дан…
Утечка данных Photon Health (уязвимость инструмента аналитики): имена, адреса, номера телефонов, даты рождения и сведения о рецептах — что делать пострадавшим пациентам
8 октября 2026 года Photon Health, американская платформа электронных рецептов, опубликовала уведомление, в котором говорится, что неавторизованное третье лицо воспользовалось ранее неизвестной уязвимостью в её инструменте аналитики данных…
Plex2Shell: четыре CVE в Plex Media Server эксплуатируются на практике (обновитесь до 1.43.3.10861 или новее)
Plex2Shell — название, которое исследователь безопасности дал четырем уязвимостям в Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656. По словам Plex, объединенные в цепочку, они позволяют удаленному злоумыш…
Polymarket приостановила торги после компрометации стороннего скрипта: что делать пользователям и операторам сайтов
29 октября 2026 года страница статуса Polymarket сообщила, что ее международная платформа (Polymarket.com) в 14:05 по восточному времени США перешла в режим только отмены, что сторонний поставщик был скомпрометирован, что дело передано прав…
Утечка данных Ricardo (швейцарский маркетплейс), около 890 000 аккаунтов: раскрыты имена, адреса и телефоны, и что делать пользователям
9 октября 2026 года SMG Swiss Marketplace Group, управляющая швейцарским онлайн-маркетплейсом Ricardo, объявила о несанкционированном доступе к персональным данным, связанным с заказами на платформе Ricardo. Ricardo обнаружил подозрительную…
SharePoint Server CVE-2026-65660: выполнение кода вошедшим пользователем, уязвимость эксплуатируется (установите обновления августа 2026 года)
CVE-2026-65660 — уязвимость внедрения кода в локальном Microsoft SharePoint Server (Subscription Edition, 2019 и Enterprise 2016). По словам Microsoft, злоумышленник, прошедший аутентификацию и имеющий доступ низкого уровня, может отправить…
Безопасное управление сторонними скриптами: инвентаризация, SRI, CSP и адреса отправки форм
Сторонний скрипт может читать страницу, на которой выполняется, включая ввод пользователя. Если поставщик взломан или файл подменён, пользователи пострадают, даже если ваш сервер не тронут. Порядок защиты: перечислить всё, что выполняется,…
Trezor сообщает о возможном аппаратном имплантате в Safe 5 от бывшего реселлера (не подтверждено): что делать владельцам
30 октября 2026 года Trezor опубликовал уведомление, в котором говорится, что 28 октября его команда безопасности получила сообщение об аппаратном имплантате в Trezor Safe 5 в рамках ответственного раскрытия уязвимостей. Устройство было куп…
Взлом сайта Yakult Honsha (около 40 000 записей): имена, адреса, телефоны, адреса эл. почты и содержание обращений утекли — что делать пострадавшим
Yakult Honsha Co., Ltd. подтвердила несанкционированный доступ к своему сайту 26 октября 2026 года и в тот же день приостановила функции сайта. Во втором сообщении 30 октября она заявила, что подтверждена утечка около 40 000 записей персона…
Инцидент безопасности Zeabur (октябрь 2026, прочитано 3,22 млн переменных окружения): какие секреты заменить и что делать пользователям
19 октября 2026 года платформа для развёртывания приложений Zeabur опубликовала предварительный отчёт об инциденте безопасности 14–15 октября (UTC). По словам компании, атакующий с помощью утёкших внутренних учётных данных Zeabur проник в о…
Несанкционированный доступ к EC-приложению Aena (данные личных кабинетов до 817 215 человек): имена, адреса и данные доставки, которые могли быть просмотрены, что делать участникам
Aena Co., Ltd., японская розничная сеть уцененных товаров, 14 октября 2026 года объявила, что данные личных кабинетов участников в её EC-приложении могли быть просмотрены без разрешения. По данным компании, анализ системных журналов выявил…
Утечка данных клиентов ASOS и поддельное уведомление в приложении: затронуты имена и контактные данные, о датах рождения и истории поиска сообщается в прессе — что делать клиентам
6 октября 2026 года клиенты ASOS получили несанкционированное push-уведомление через приложение ASOS. ASOS сообщила, что неуполномоченная сторона получила доступ к сторонним платформам, которые компания использует для связи с клиентами. Она…
Взлом подрядчика сервиса Benefit One «Toku-Kai» (29 465 человек): утекли имена, даты рождения и адреса почты, и что делать участникам
28 октября 2026 года Benefit One Inc. сообщила, что к системе, которой управляет один из ее подрядчиков, был получен несанкционированный доступ и что утекли персональные данные 29 465 участников (включая некоторых уже вышедших) Toku-Kai, се…
Кража криптовалюты у Bitget (около 387,5 млн долларов США): покрыты ли балансы клиентов и что делать владельцам аккаунтов
24 сентября 2026 года (UTC) криптобиржа Bitget обнаружила несанкционированные переводы из части своих горячих и теплых кошельков. Сначала она оценила сумму примерно в 351,6 млн долларов США, а 25 сентября подтвердила, что около 387,5 млн до…
Несанкционированный доступ к внутренней системе групповой работы Bithumb (раскрыты данные 844 клиентов): идентификационные и счетные номера и другое, и что делать клиентам
Bithumb, криптобиржа в Южной Корее, 27 октября 2026 года обнаружила аномальный доступ посторонних лиц без разрешения к своей внутренней мобильной системе групповой работы и, согласно корейским сообщениям прессы об ее объявлении 29 октября,…
Инцидент с ConnectWise Cloud Backup (прежде SkyKick): попытки входа с помощью ИИ в более чем 2 250 тенантов Microsoft 365 и что проверить администраторам
16 октября 2026 года ConnectWise опубликовала бюллетень о несанкционированном доступе к учетным данным приложений, связанных с Cloud Backup (прежде SkyKick) — сервисом резервного копирования Microsoft 365 для управляемых сервис-провайдеров…
Утечка данных агентов Covered California: имена, номера лицензий и SSN или FEIN раскрыты при фишинге — что делать агентам
Covered California, медицинская страховая биржа Калифорнии, подала уведомление об утечке данных генеральному прокурору Калифорнии (сообщено 16 октября 2026 года). В уведомлении для агентов сказано, что 13 мая 2026 года неавторизованное лицо…
Утечка данных Discord-бота Double Counter (около 28 млн Discord ID, 1 млн адресов почты): что утекло и что делать участникам и администраторам серверов
Tellter SAS, оператор Discord-бота верификации Double Counter, опубликовала отчет об инциденте 5 октября 2026 года (версия 2.0 — 21 октября). В нем говорится, что злоумышленник проник 4 октября через общедоступный аналитический инструмент M…
Утечка данных клиентов ENGIE (Франция): контакты и номера договоров раскрыты через торговый инструмент партнера, банковских данных нет, и что делать клиентам
ENGIE, французский поставщик энергии, в конце октября 2026 года начала рассылать клиентам во Франции письма о том, что атака (в сообщениях формулировка «акт кибер-злоумышленничества») затронула инструмент, который некоторые ее партнеры испо…
Утечка на сайте финансовой помощи студентам Министерства образования Флориды (около 4,9 млн человек): номера социального страхования могли быть раскрыты — что делать
29 октября 2026 года Министерство образования Флориды объявило, что 19 октября его сотрудники узнали о преступном несанкционированном доступе к сайту Florida Student Financial Aid (FloridaStudentFinancialAidSG.org). Министерство считает, чт…
Утечка данных Frontline Education (поставщик школьного ПО): 3,09 млн человек по списку генпрокурора Индианы; затронуты номера социального страхования, Medicaid ID и студенческие ID — что делать сотрудникам и родителям
Frontline Education, американский поставщик ПО для управления школьными округами K-12, опубликовала уведомление об утечке данных (Notice of Data Breach) от 26 октября 2026 года. В нём сказано, что 14 августа 2026 года служба безопасности об…
Утечка данных участников Hana-cupid (до 4 238 242 записей): идентификаторы, зашифрованные пароли и адреса электронной почты, что делать участникам
Hana-cupid Co., Ltd. 28 октября 2026 года объявила, что в результате несанкционированного доступа третьей стороны к её онлайн-сервисам цветочного магазина Internet Hana-cupid и Business Hana-cupid утекла часть данных участников. По данным к…
Утечка данных iRhythm (в списке HHS 8 179 772 человека): имена пациентов Zio, номера страховок и серийные номера устройств — что делать пациентам
iRhythm Technologies, американский производитель носимого кардиомонитора Zio, сообщила Комиссии по ценным бумагам и биржам США (SEC) 15 июня 2026 года, что обнаружила несанкционированный доступ к некоторым бизнес-приложениям, размещённым у…
Несанкционированный доступ к поставщику системы бронирования JAL, JTA, ANA, Korean Air и Asiana (около 92 000 клиентов JAL/JTA и 37 800 клиентов ANA): номера бронирований, имена и не только, что делать путешественникам
Japan Airlines (JAL) и Japan Transocean Air (JTA) 28 октября 2026 года сообщили, что 23 октября поставщик их системы обслуживания пассажиров, зарубежная компания, уведомил их, что несанкционированный доступ к системам поставщика оставил сле…
Взлом Navigate360 и платформа приема сообщений Crime Stoppers (P3): что делать тем, кто сообщал, упомянутым в сообщениях и получателям уведомлений в США
Navigate360 опубликовала уведомление об утечке данных (на странице нет даты; по сообщению Reuters, компания признала утечку 23 октября 2026 года), в котором говорится, что неуполномоченная сторона скопировала данные из одной из ее систем в…
Несанкционированный доступ к Sony Life: утечка данных договоров (около 2,9 миллиона записей по договорам Sony Life и 385 000 по договорам Medicare Life): имена, адреса, номера полисов и что делать страхователям
9 ноября 2026 года во втором сообщении Sony Life Insurance Co., Ltd. объявила, что дополнительно подтвердила утечки информации в результате несанкционированного доступа к её системам: персональные данные по её собственным страховым договора…
Утечка данных Копенгагенского университета (около 525 000 человек): имена, номера CPR, телефоны и почта — что делать
Копенгагенский университет (Københavns Universitet, KU) 23 октября 2026 года объявил, что хакеры получили доступ к одной из его тестовых сред. Согласованные сообщения со ссылкой на университет говорят, что получены данные около 525 000 чело…
VMware ESX CVE-2026-41709 (CVSS 2.7): CISA включила уязвимость с низкой серьёзностью в журналировании в список эксплуатируемых; примените весь VMSA-2026-0006 и проверьте свои хосты
CVE-2026-41709 — уязвимость недостаточного журналирования в VMware ESX (CVSS 2.7, Low): злоумышленник, уже имеющий права администратора, может выполнять определённые операции так, что они не попадают в журналы. Broadcom исправила её в бюлле…
Несанкционированный доступ к White Essence и утечка персональных данных (около 1,05 млн аккаунтов): имена, адреса, телефоны и зашифрованные пароли, что делать пользователям
White Essence Co., Ltd. 12 августа 2026 года объявила, что приостановила свои системы из-за несанкционированного доступа к сайту записи и основным системам, а 5 октября опубликовала результаты расследования в уведомлении «Извинения и уведом…
Несанкционированный доступ к Beauty Garage и Eyelash Garage (775 725 записей): названия салонов, телефоны, адреса почты и хеши паролей, как защититься от подмены личности
15 октября Beauty Garage Co., Ltd. объявила, что к серверам интернет-магазинов компании и Eyelash Garage с 10 по 12 октября был получен несанкционированный доступ и что часть информации о клиентах утекла. Компания обнаружила инцидент 13 окт…
Уязвимость VPN в Cisco ASA и FTD CVE-2026-76418: неаутентифицированный атакующий может перезагрузить устройство (как проверить, исправленные версии)
28 октября 2026 года (UTC) Cisco раскрыла CVE-2026-76418 (CVSS v3.1 8.6) в службе SSL VPN удалённого доступа Cisco Secure Firewall ASA и Secure Firewall Threat Defense (FTD). Неаутентифицированный удалённый атакующий может вызвать неожиданн…
Fragnesia в ядре Linux (CVE-2026-46300): CISA внесла её в список эксплуатируемых со сроком 31 октября; обновите PHP и ядро, затем перезагрузитесь
CVE-2026-46300, получившая название Fragnesia, — уязвимость в ядре Linux, позволяющая локальному пользователю с низкими привилегиями получить root (CVSS v3.1 7.8, локальный вектор атаки). Когда ядро перемещает фрагменты данных между сетевым…
Несанкционированный доступ к базе данных участников So-net (2,14 млн записей So-net, 443 тыс. записей plala S-Course): имена, телефоны и даты рождения, что делать пользователям
27 октября 2026 года Sony Network Communications Inc. объявила, что подтверждена утечка информации из-за несанкционированного доступа к базе данных участников интернет-сервиса So-net. По данным компании, 19 октября к базе данных был получен…
Несанкционированный доступ к приложению Toypo (затронуты 697 209 пользователей, по данным Toypo): утекли номера телефонов, имена и адреса, и что делать пользователям приложений магазинов
Toypo Inc. подтвердила 4 октября 2026 года несанкционированный доступ третьей стороны к своему приложению для управления клиентами, приложению Toypo, а в уведомлении от 14 октября сообщила, что затронуты 697 209 пользователей и что их инфор…
Уязвимость Adobe Commerce и Magento CVE-2026-48356: CISA подтверждает эксплуатацию (KEV), июльское исправление и как проверить следы вторжения
27 октября 2026 года CISA внесло CVE-2026-48356, уязвимость загрузки файлов в Adobe Commerce и Magento Open Source, в каталог известных эксплуатируемых уязвимостей (KEV). Срок для федеральных гражданских ведомств США — 10 ноября. Adobe испр…
Возможная утечка данных доставки Ichiban Kuji ONLINE (несанкционированный доступ к Bandai Logipal): имена, адреса и номера телефонов, и что делать участникам
26 октября 2026 года BANDAI NAMCO Holdings Inc., BANDAI SPIRITS CO., LTD. и Bandai Logipal Co., Ltd. сообщили (первое сообщение), что к системе, которой управляет Bandai Logipal, логистическая дочерняя компания BANDAI NAMCO Holdings, третья…
Несанкционированный доступ в Joshin (ранее Joshin Denki), до примерно 6 млн записей: имена, адреса и телефоны участников могли утечь, и что делать пользователям
Joshin Corporation, сменившая 1 апреля 2026 года название с Joshin Denki Co., Ltd., 17 октября объявила, что 16 октября обнаружила несанкционированный доступ и после мер вроде ограничения доступа извне не может предоставлять часть услуг (ра…
Утечка на опросном сайте Qzoo (около 400 000 записей): могли утечь данные участников, включая банковские реквизиты, и что делать участникам
21 октября 2026 года Monitas Inc. сообщила, что третья сторона получила несанкционированный доступ к её опросному сайту Qzoo и что персональные данные участников (панелистов) могли утечь. Согласно хронологии, несанкционированный доступ нача…
Уязвимость Brotli CVE-2026-111497 (Node2Shell): как проверить Node.js, Python и .NET и что обновить
21 октября 2026 года (по времени США) Google выпустил Brotli 1.2.1, 1.1.1 и 1.0.10, исправляющие CVE-2026-111497 — запись за пределы буфера в официальной библиотеке Brotli. Затронуты Brotli 1.0.3–1.0.9, 1.1.0 и 1.2.0. Распаковка специально…
Утечка в M3 «MR-kun» (25 775 участников m3.com и других, 2 260 сотрудников фармкомпаний): что утекло и что делать врачам и сотрудникам фармкомпаний
15 и 23 октября 2026 года (второе сообщение) M3, Inc. объявила, что третья сторона получила несанкционированный доступ к системе MR-kun, сервиса, который компания ведет для фармацевтических компаний, и что произошла утечка персональных данн…
Утечка данных онлайн-заказов Pizza Hut Japan: утекли адреса электронной почты, номера телефонов и токены сеанса входа, что делать клиентам
23 октября 2026 года Pizza Hut Japan Ltd., управляющая Pizza Hut в Японии, сообщила, что третья сторона получила несанкционированный доступ к системе, связанной с японским сервисом онлайн-заказов Pizza Hut, и что часть информации о клиентах…
Несанкционированный доступ к Rakuten Travel (до примерно 2,6 млн записей): имена, контакты и часть данных карт из бронирований зарубежных отелей, что делать пользователям
26 октября 2026 года Rakuten Group, Inc. сообщила, что подтвердила несанкционированный доступ внешней третьей стороны к некоторым страницам сайта бронирования зарубежных отелей Rakuten Travel, которым управляет и который обслуживает её доче…
Как удалить историю браузера, файлы cookie и сохранённые пароли (Chrome, Safari, Edge, Firefox на компьютере и телефоне): что удалять после утечки и что сначала сохранить
Руководство по удалению истории браузера, файлов cookie (данных сайтов), кеша, сохранённых паролей и данных автозаполнения в Chrome (Windows, Mac, Android, iPhone), Safari (Mac, iPhone, iPad), Edge и Firefox с названиями пунктов из официаль…
FortiBleed (утечка учетных данных FortiGate, около 74 000 устройств): это не новая уязвимость, поэтому пароли администратора и VPN нужно менять
FortiBleed — крупномасштабная утечка и злоупотребление учетными данными администратора и SSL VPN для FortiGate, межсетевого экрана и VPN-устройства Fortinet. 18 июня 2026 года CISA предупредила, что учетные данные, связанные примерно с 74 0…
Возможная утечка данных участников кампании Fujicco (около 15 500 записей): имена, адреса, сведения о семье и что нужно сделать участникам
22 октября 2026 года Fujicco Co., Ltd., японский производитель продуктов питания, известный йогуртом Caspian Sea Yogurt и продукцией из ламинарии, объявила, что к серверу компании, которой она поручает обработку записей участия в кампаниях,…
Возможная утечка данных приложения FX Navi от Green Monster (около 6,19 млн записей): адреса электронной почты и ответы на опросы среди данных, и что делать пользователям
23 октября 2026 года Green Monster Inc. (Токийская фондовая биржа, рынок Growth, 157A) объявила, что информация пользователей её приложения для демо-торговли на форексе FX Navi (FXなび), возможно, получена сторонней стороной (первое сообщен…
Утечка данных участников интернет-магазина и приложения Lindt Japan (3 147 469 записей): имена, адреса, телефоны, даты рождения и хешированные пароли, что делать участникам
23 октября 2026 года Lindt & Sprüngli Japan, японское подразделение швейцарского производителя шоколада, сообщила, что к системе сторонней компании, которая обеспечивает платформу интернет-магазина и управляет данными его участников, был по…
Утечка адресов электронной почты рассылки Piccoma (1 002 404 записи): утекли только адреса почты, и что делать пользователям
24 октября 2026 года Kakao piccoma Corp., которая управляет японским приложением манги Piccoma, сообщила, что к blastmail, системе доставки электронной почты RAKUS Lite Cloud Corporation, которую компания использовала для рассылки новостей,…
Утечка на платформе предоплаченных карт Value Card (1,42 млн записей, 1,13 млн записей MOS Card): номера карт, PIN-коды и балансы утекли, что делать держателям карт
23 октября 2026 года PayCloud Holdings, компания, котирующаяся на фондовом рынке Growth Токийской фондовой биржи, объявила, что к серверам Value Card, собственной службы выпуска электронных денег (предоплаченных магазинных карт), которую её…
Уязвимость CVE-2026-110447 во встроенном сервере CODE Collabora в Nextcloud используется в атаках: кто затронут и что делать
14 октября 2026 года разработчики Collabora Online раскрыли CVE-2026-110447, неаутентифицированную уязвимость инъекции команд ОС в приложении Nextcloud Collabora Online - Built-in CODE Server (ID приложения richdocumentscode). Через proxy.p…
Несанкционированный доступ к облачным сервисам Digital Arts (i-FILTER@Cloud и еще пять): часть данных клиентов могла быть просмотрена, что должны делать администраторы
21 октября 2026 года Digital Arts Inc., японский разработчик продуктов для фильтрации веб-трафика и электронной почты и защиты файлов, сообщила в сообщении о существенном факте и на своем сайте, что обнаружила следы несанкционированного дос…
Утечка данных интернет-магазинов FANCL и Attenir (368 184 и 417 312 участников): раскрыты имена, адреса, телефоны и даты рождения, и что делать участникам
16 октября 2026 года FANCL Corporation и Attenir Corporation, две японские компании, выпускающие косметику и товары для здоровья, сообщили, что в период с 3 по 10 октября посторонние лица получили несанкционированный доступ к их интернет-ма…
Утечка данных Trustbank на Furusato Choice (4 454 097 записей участников): имена, адреса и хешированные пароли — что делать донорам
20 октября 2026 года компания Trustbank, Inc., которая управляет Furusato Choice, крупным сайтом для системы налоговых пожертвований furusato nozei в пользу малой родины в Японии, объявила, что посторонняя сторона получила несанкционированн…
GitLab CVE-2026-110264 (CVSS 10.0) и эксплуатируемая CVE-2026-97229: как проверить и обновить самостоятельно развёрнутый GitLab
21 октября 2026 года GitLab выпустил критические патч-версии 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13 для Community Edition (CE) и Enterprise Edition (EE). Самая серьёзная уязвимость, CVE-2026-110264 (CVSS 10.0), представл…
Утечка данных and ST HD (около 2,5 млн записей клиентов): что могло утечь и что делать участникам программы
23 октября 2026 года and ST HD Co., Ltd. сообщила, что из-за несанкционированного доступа третьего лица к её бизнес-серверам могла произойти утечка части данных клиентов, деловых партнёров и сотрудников. По данным компании, примерно с 7:30…
Эксплуатируется уязвимость VeloCloud Orchestrator CVE-2026-114625: исправленные версии и что проверить
22 октября 2026 года Arista раскрыла CVE-2026-114625 — уязвимость типа SQL-инъекция (CVSS v4.0 9.4, v3.1 9.9) в локальной (on-premises) версии VeloCloud Orchestrator (VCO), платформы управления SD-WAN. По данным Arista, компания сама обнару…
Несанкционированный доступ к сервису email-рассылок blastmail (данные учётных записей всех клиентов, а также списки рассылки и аналогичные данные по 345 договорам): что делать получателям рассылок и организациям-клиентам
К сервису email-рассылок blastmail, который предоставляет RAKUS Lite Cloud Co., Ltd., дочерняя компания RAKUS Co., Ltd., получила доступ посторонняя третья сторона, данные были вынесены. Компания экстренно остановила сервис в 0:30 21 октябр…
Эксплуатируемые уязвимости периферийных устройств, середина октября 2026: Ivanti, PAN-OS, FortiOS, Cisco
С 13 по 16 октября 2026 года CISA добавила в каталог известных эксплуатируемых уязвимостей (Known Exploited Vulnerabilities, KEV) четыре уязвимости в широко используемых периферийных устройствах (оборудовании на границе между сетью и интерн…
Несанкционированный доступ к клинической системе Medley @link (at-link): утекли имена, даты рождения, логины и пароли пациентов — что делать пациентам и клиникам
15 октября 2026 года компания Medley, Inc. объявила о несанкционированном доступе третьего лица к своей системе управления медицинскими учреждениями @link (at-link), приложению at-link для пациентов и связанным сервисам и сообщила, что прио…
Несанкционированный доступ к данным Nikkei (около 1,83 млн записей): имена, адреса электронной почты и другие данные утекли примерно по 150 000 записям — что делать пользователям
16 октября 2026 года японское газетное издательство Nikkei Inc. объявило, что к облачному сервису, который она использует для разработки систем, был получен несанкционированный доступ и что по состоянию на 16-е число утекло около 1,83 млн з…
Компрометация промежуточных CA eMudhra (emSign): что делать пользователям Python с pip, certifi и uv
17 октября 2026 года появилось сообщение о том, что закрытые ключи восьми промежуточных сертификатов индийского центра сертификации eMudhra (шесть для TLS) были сгенерированы настолько плохо, что любой мог их восстановить. eMudhra отозвала…
Возможная утечка переменных окружения Railway (октябрь 2026, до 1,85% рабочих пространств): какие секреты заменить и что делать пользователям
21 октября 2026 года (UTC) Railway сообщила, что обнаружила аномальную активность в системах, где хранятся переменные окружения клиентов, и что неавторизованная третья сторона могла получить доступ к зашифрованным переменным окружения и для…
Уязвимость CVE-2026-106931 в SiteGuard Server Edition используется в атаках: кого она касается и что делать
14 октября 2026 года EG Secure Solutions раскрыла CVE-2026-106931 — уязвимость внедрения команд ОС в функции статистики SiteGuard Server Edition, своего межсетевого экрана веб-приложений (WAF) уровня хоста, и сообщила, что эксплуатация уже…
Утечка данных Treasure Factory (Trefac), 746 277 записей с email: что делать клиентам выездной скупки и Trefac Moving
23 октября 2026 года Treasure Factory Co., Ltd., японская розничная сеть по продаже подержанных товаров, сообщила, что посторонний получил несанкционированный доступ к системе управления заявками, в которой компания принимает и обрабатывает…
Утечка данных CAPCOM ID у Capcom (11 774 247 записей): утекли адреса электронной почты и данные для входа — что делать владельцам аккаунтов
22 октября 2026 года Capcom Co., Ltd. объявила, что к её онлайн-сервису для участников CAPCOM ID (единый аккаунт для веб-сервисов Capcom и некоторых онлайн-игр) получил несанкционированный доступ третье лицо и что часть информации о клиента…
Утечка данных участников Comic Cmoa (до примерно 4,2 млн записей в лог-файлах): раскрыты адреса электронной почты и даты рождения. Что делать пользователям
NTT Solmare Corporation, которая управляет японским магазином электронных книг Comic Cmoa (コミックシーモア), опубликовала четыре уведомления о несанкционированном доступе к сервису: первое от 15 октября 2026 года и четвертое отчетное от 21…
Утечка данных у поставщика Iwai Cosmo Securities (4 975 клиентов): что утекло, непреднамеренные сделки и что делать клиентам
16 октября 2026 года Iwai Cosmo Securities Co., Ltd., японский брокер, сообщила через своевременное раскрытие информации материнской компании Iwai Cosmo Holdings, что к системе поставщика, который используется для эксплуатации и обслуживани…
Несанкционированный доступ к Onamae.com Desktop Cloud (GMO Internet) (возможно затронуто 26 739 серверов): вынесены данные клиентов, компенсация и что делать сегодня трейдерам Forex и ценных бумаг
21 октября 2026 года GMO Internet, Inc. объявила о несанкционированном доступе третьей стороны к Onamae.com Desktop Cloud, сервису VPS (виртуального выделенного сервера) для автоматической торговли на Форекс, и сообщила, что на серверных ок…
Несанкционированный доступ к сервису email-рассылки Cuenote FC компании Ymirlink (теперь около 51,63 млн записей накопленным итогом): затронуты данные участников Express Reservation и smartEX. Что делать получателям рассылок и компаниям-клиентам
26 октября 2026 года Ymirlink, Inc. (TSE Growth, 4372) опубликовала второе сообщение о несанкционированном доступе к своему сервису email-рассылки Cuenote FC: данные утекли из 49 систем, всего 51 628 280 записей накопленным итогом. В первом…
Несанкционированный доступ к Carsensor.net и C-MATCH у Recruit (до 3 709 551 записи): имена и адреса людей, которые связывались с дилерами, могли утечь. Что должны сделать пользователи и дилеры
21 октября 2026 года Recruit Co., Ltd. объявила, что информация о пользователях и деловых партнерах Carsensor.net, сервиса объявлений о продаже подержанных автомобилей (включая приложение), и C-MATCH, службы бизнес-поддержки для дилеров под…
В LiteLLM 1.107.0 оказался похититель учётных данных (октябрь 2026): затронутый релиз PyPI и образы Docker, что делать пользователям
21 октября 2026 года (UTC) BerriAI, компания-разработчик LiteLLM, сообщила, что её конвейер выпуска релизов был скомпрометирован и что был опубликован v1.107.0 с вредоносным ПО, которое похищает учётные данные и загружает инструменты удалён…
[Срочно] Уязвимости PHP CVE-2026-109618 и CVE-2026-109619 уже эксплуатируются и добавлены в каталог KEV CISA. Обновите до 8.5.12, 8.4.27, 8.3.36 или 8.2.35 немедленно
21 октября 2026 года команда безопасности PHP выпустила PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, которые устраняют две критические уязвимости, позволяющие выполнять удаленный код без аутентификации (RCE), и призвала всех пользователей немедленн…
Утечка данных H2O ID (около 1,26 млн записей) через сайт бронирования универмагов Hankyu и Hanshin: утекли адреса, номера телефонов и даты рождения. Что делать участникам
19 октября 2026 года H2O Retailing Corporation и Hankyu Hanshin Department Stores, Inc. совместно объявили, что сайт бронирования универмагов Hankyu и Hanshin, HANKYU HANSHIN E-STORES и Remo Order, которыми управляет Hankyu Hanshin Departme…
Взлом системы заявок на линии NIFTY (до 542 513 записей): могут раскрыться идентификаторы участников, имена, адреса и номера телефонов. Что делать абонентам оптоволокна
19 октября 2026 года корпорация NIFTY, японский провайдер интернет-услуг, сообщила в первом сообщении, что подтвердила несанкционированный доступ извне к своей системе управления заявками на линии и их приёмом. По словам компании, несанкцио…
Rank Math PRO 3.0.123 распространялся с вредоносным кодом (октябрь 2026): кто затронут и что делать владельцам сайтов на WordPress
16 октября 2026 года (UTC) Rank Math сообщила, что Rank Math PRO v3.0.123, платная версия плагина для WordPress, содержала вредоносный код у ограниченного числа пользователей, которые скачали его в период с 20:02 UTC 15 октября по 07:12 UTC…
Несанкционированный доступ к конструктору сайтов Studio: данные всех пользователей и содержимое отправленных форм могли утечь — что делать отправителям форм и владельцам сайтов
16 октября 2026 года Studio Inc. объявила, что третья сторона получила несанкционированный доступ к используемой компанией облачной среде и что данные обо всех клиентах, зарегистрированных в конструкторе сайтов Studio, могли утечь. Третья с…
Утечка данных приложения Burger King Japan (около 11,18 млн записей): имена, даты рождения и номера телефонов — что делать участникам программы
15 октября 2026 года BK Japan Co., Ltd., которая управляет сетью Burger King в Японии, объявила, что к официальному приложению Burger King, которым она управляет, без разрешения получила доступ третья сторона, и что компания подтвердила уте…
Утечка данных участников SourceNext (22 519 960 записей): возможно, раскрыты адреса эл. почты, пароли и адреса проживания — что делать участникам
15 октября 2026 года SOURCENEXT CORPORATION объявила, что третье лицо получило несанкционированный доступ к данным участников, которыми управляет компания, и что персональные данные зарегистрированных участников вышли за пределы компании. П…
Несанкционированный доступ к некоторым веб-серверам ConoHa WING (GMO Internet) (426 аккаунтов): затронуты данные в областях веб-серверов клиентов, что делать владельцам сайтов уже сегодня
20 сентября 2026 года GMO Internet, Inc. объявила, что на некоторых хостинг-серверах (веб-серверах) её сервиса аренды хостинга ConoHa WING третья сторона получила несанкционированный доступ к областям веб-серверов некоторых клиентов и устан…
Влияет ли безопасность сайта на SEO? Уязвимости, взломанные сайты, HTTPS и позиции в поиске по официальной документации Google
Google не называет уязвимости фактором ранжирования. Ущерб появляется, когда уязвимостью воспользовались. Спам-страницы после взлома приводят к пометке «This site may be hacked» (Этот сайт может быть взломан) в результатах поиска, вредоносн…
Утечка данных IDARE (129 659 человек): остатки на счетах, история операций и номера некоторых документов, удостоверяющих личность — что делать пользователям
13 октября 2026 года Fivot Inc. объявила, что её приложение безналичных платежей IDARE подверглось несанкционированному доступу третьих лиц, в результате которого были раскрыты персональные данные. Была использована уязвимость во внешнем пр…
Утечка SpeeCAN RAIDEN (2026): пользователи рассылки оповещений о катастрофах и риск мошенничества
13 октября 2026 года Arcadia Inc. объявила, что к SpeeCAN RAIDEN, её сервису массовой рассылки сообщений по электронной почте и другим каналам, получил несанкционированный доступ третье лицо, и что могли утечь имена контактов, адреса электр…
Несанкционированный доступ к Commune (166 505 записей участников, подсчитанных по сообществам): данные участников корпоративных сообществ утекли. Что должны сделать участники и операторы
9 октября 2026 года Commune Inc. сообщила, что её сервисы сообществ для бизнеса, Commune и Commune for Work, подверглись несанкционированному доступу со стороны постороннего лица, а данные участников некоторых сообществ утекли. Утечки проис…
Как проверить, не заходил ли кто-то в ваш аккаунт: история входов, подключённые устройства и пересылка почты (Google, Microsoft, Apple, LINE, Instagram, X)
Руководство по проверке несанкционированного доступа. Смотрите в трёх местах: (1) история входов и подключённые устройства (в Google — «Your devices», в Microsoft — «Recent activity», список устройств Apple Account, в LINE — «Devices», в In…
Как проверить, не взломан ли ваш сайт или сервер: пошаговые проверки для виртуального хостинга, WordPress и VPS и что делать в первую очередь, если вы что-то нашли
Проверка сайта на вторжение — это внешние признаки и следы внутри. Признаки: отчёт «Security issues» (Проблемы безопасности) в Search Console, пометка «This site may be hacked» (Этот сайт может быть взломан) в поиске, уведомление от хостинг…
Утечка данных Baitoru (до примерно 3,89 млн адресов электронной почты): утекли только email. Как распознать поддельные сообщения о собеседовании и мошенничество с вакансиями
9 октября 2026 года dip Corporation объявила, что 6 октября подтвердила несанкционированный доступ третьих лиц к Baitoru и Baitoru NEXT, сайтам вакансий, которыми компания управляет в Японии, и что утекли некоторые адреса электронной почты…
Утечка данных участников Bookoff (6 383 279 человек): имена, адреса, адреса электронной почты и хеши паролей могли попасть к посторонним — что делать участникам
9 октября 2026 года BOOKOFF GROUP HOLDINGS LIMITED сообщила, что третье лицо получило несанкционированный доступ к системе управления участниками Bookoff в Японии, которую предоставляет дочерняя компания BOOKOFF CORPORATION LIMITED, и что д…
Вредоносное ПО на ПК подрядчика Daiichikosho (около 8,72 млн записей): имена, даты рождения и телефоны участников Big Echo и других сетей могли утечь — что делать
8 октября 2026 года Daiichikosho Co., Ltd. сообщила, что компания, которой передана обработка персональных данных, сообщила о заражении вредоносным ПО одного компьютера, используемого её сотрудником, и что клиентские данные Daiichikosho мог…
Возможная утечка адресов электронной почты JR East, VIEW Card и JR Kyushu (2026): что делать
9 октября 2026 года Восточно-Японская железнодорожная компания (JR East), ООО «VIEW Card» и Kyushu Railway Company (JR Kyushu) сообщили, что внешний сервис, который они используют для отправки писем участникам, пострадал от несанкционирован…
Утечка данных NewsPicks (имена держателей карт и последние цифры, до 362 000 записей): что утекло через внутренний административный инструмент и что делать пользователям
8 октября 2026 года Uzabase, Inc. сообщила, что административным инструментом, который используется в работе новостного сервиса NewsPicks, без разрешения воспользовалось третье лицо, и что персональные данные некоторых пользователей могли у…
Утечка данных skyticket (Adventure Inc.) (около 14,64 млн записей): раскрыты пароли, банковские реквизиты для возврата и данные карт части пользователей. Что делать пользователям сегодня
9 октября 2026 года Adventure Inc. объявила о трёх отдельных случаях неправомерного доступа, каждый из которых произошёл по своему пути, затронувших сайт сравнения и бронирования путешествий skyticket. В первом случае административная функц…
Программа для кражи данных карт на платёжной странице PhotoGoods (Daiko Printing): что делать тем, кто платил с 6 августа по 11 сентября
16 сентября 2026 года Daiko Printing Co., Ltd. сообщила о несанкционированном доступе стороннего лица к PhotoGoods (photo-goods.com), которым компания управляет, и о том, что была установлена программа, способная незаконно перехватывать дан…
Windows запрашивает ключ восстановления BitLocker? Как найти 48-значный ключ и что делать, если его нет
Ключ восстановления BitLocker — это 48-значное число, которое Windows запрашивает, когда не может разблокировать диск автоматически: после обновления BIOS/UEFI, изменений TPM, изменения конфигурации загрузки и подобных событий. На личном ПК…
Как выключить BitLocker: решите, не хватит ли приостановки, и сначала сохраните ключ восстановления
Выключение BitLocker полностью расшифровывает диск. Microsoft пишет, что расшифровывать стоит, когда защита больше не нужна, а не как способ устранения неполадок. Для обновления BIOS или прошивки достаточно приостановить защиту. Сначала сох…
Как проверить, не утёк ли ваш пароль: безопасное использование Have I Been Pwned и проверки, уже встроенные в браузер и телефон
Руководство по проверке утёкших паролей. Have I Been Pwned (HIBP) показывает, встречается ли адрес электронной почты в известной утечке данных, с какого сервиса она произошла и какие данные утекли. Его проверка паролей (Pwned Passwords) хеш…
Утечка у подрядчика Daiwa Securities (около 110 000 клиентов, 220 000 записей): что могло утечь и что делать клиентам
5 октября 2026 года Daiwa Securities Co. Ltd., одна из крупнейших брокерских компаний Японии, сообщила, что к серверу подрядчика, сервис которого компания использует для обработки онлайн-обращений клиентов, был получен несанкционированный д…
Незаконные запросы к реестру CPR Дании (около 8,8 млн человек): что было получено и что должны делать жители и организации, которые предоставляют доступ для поиска
5 октября 2026 года министерство исследований, образования и цифровизации Дании сообщило, что неуполномоченные лица использовали законный доступ частной датской компании для поиска данных в системе гражданской регистрации (CPR) и получили и…
Настройка двухфакторной аутентификации (2FA) на GitHub: приложение-аутентификатор, passkey, коды восстановления и что делать при потере телефона
Руководство по настройке двухфакторной аутентификации (2FA) на GitHub так, чтобы не потерять доступ. С марта 2023 года GitHub поэтапно, группа за группой, требует 2FA от пользователей, которые публикуют код на GitHub.com; после выбора групп…
Утечка данных из опросного сервиса infoQ (894 082 записи): что стало известно и что делать участникам
5 октября 2026 года GMO Research & AI, Inc. сообщила, что к ее опросному сервису infoQ получило доступ третье лицо без разрешения и что персональные данные участников были вынесены. Во втором сообщении 14 октября компания подтвердила количе…
Утечка данных приложения и интернет-магазина MrMax (до примерно 1,74 млн человек): имена, адреса эл. почты и номера телефонов — что делать участникам программы
6 октября 2026 года MrMax Co., Ltd., японская сеть дискаунтеров, сообщила, что серверы управляемого ею приложения и интернет-магазина MrMax подверглись несанкционированному доступу со стороны третьего лица и что часть персональных данных уч…
Атака программы-вымогателя на Осакский столичный университет (подтверждена утечка персональных данных из облачного хранилища подрядчика): что делать студентам, выпускникам, родителям и сотрудникам
Осакский столичный университет в Японии сообщает, что ранним утром 2 октября 2026 года крупный сбой поразил его платформу виртуализации. Остановились кампусная сеть, почта OMU Mail, сайты и системы учебной части, финансов, расчёта зарплаты…
Утечка данных Rakuten Drive (сохранённые данные 15 382 аккаунтов): что стало доступно и что делать пользователям
6 октября 2026 года облачный сервис хранения Rakuten Drive сообщил, что третья сторона незаконно получила учётные данные управляющей учётной записи для части систем, которые использует сервис, получила доступ к этим системам и получила и пр…
543 699 учётных данных, опубликованных на GitHub, всё ещё работали (исследование 2026 года): почему нужно отзывать, а не удалять, и что делать разработчикам
Компания по безопасности, продающая инструменты поиска секретов, изучила снимок примерно 224 миллионов публичных репозиториев, собранный для обучения LLM, и сообщила, что в конце июля 2026 года 543 699 учётных данных всё ещё проходили аутен…
Утечка данных Abahouse: возможно, раскрыты данные заказов — как действовать при поддельных письмах о возврате средств
2 октября 2026 года Abahouse International Co., Ltd. сообщила, что несанкционированный доступ к её внутренним системам, по предположению, со стороны третьей стороны за рубежом, мог привести к утечке идентификаторов членов, имён, адресов, но…
Утечка данных Lashinbang: номера удостоверений личности и банковские реквизиты для выплат могли утечь (изображений документов нет) — что делать продавцам
1 октября 2026 года компания Lashinbang Co., Ltd. объявила, что несанкционированный доступ к сервису, которым она управляет, в период с 14 по 16 сентября 2026 года мог привести к утечке имён, адресов, номеров телефонов, адресов электронной…
Утечка данных из приложения Seicomart (около 575 000 участников): просмотрены имена, адреса и даты рождения — что делать участникам
29 сентября 2026 года компания Seicomart Co., Ltd., которая управляет сетью магазинов у дома Seicomart в Японии, объявила, что третье лицо получило несанкционированный доступ к серверу с данными участников через сервер, обслуживающий смартф…
Утечка данных ShopServe от E-store (итоговый отчёт: около 23,36 млн человек): что делать покупателям, владельцам магазинов и партнёрам
В итоговом отчёте от 16 октября 2026 года E-store Co., Ltd. сообщила, что третья сторона воспользовалась уязвимостью в приложении на серверах ShopServe, сервиса для создания интернет-магазинов, и с 21 мая по 1 августа 2026 года вывела содер…
Неправомерный доступ к TEMAIRAZU (2026): рекомендации для гостей и отелей
28 сентября 2026 года Temairazu, Inc. объявила о неправомерном доступе к TEMAIRAZU Series — системе, которую отели и рёокан используют для управления бронированиями из множества источников в одном месте. Начиная с позднего вечера 21 сентябр…
Утечки данных Yamato и Sagawa (2026): затронутые пользователи и меры
Yamato Transport обнаружила несанкционированный доступ к своей услуге отсрочки платежа Kuroneko 28 сентября 2026 года, а Sagawa Express обнаружила несанкционированный доступ к своей службе отслеживания посылок 30 сентября. 1–2 октября обе к…
Утечка данных бронирований Booking.com: как распознать мошеннические сообщения от имени отеля
В апреле 2026 года Booking.com уведомил гостей, что посторонние лица без разрешения могли получить доступ к некоторым данным бронирований, обновил PIN-коды затронутых бронирований и сообщил, что локализовал проблему. Согласно уведомлению и…
Цепочка компрометаций TanStack, Nx Console и GitHub (май 2026): что проверить разработчикам
11 мая 2026 года пайплайн публикации репозитория Router/Start проекта TanStack был использован, чтобы выпустить код для кражи учётных данных в 42 пакетах npm, 84 версиях. У участника Nx, установившего один из них, украли токен GitHub CLI, и…
Компрометация цепочки поставок Trivy (март 2026): что делать, если Trivy работает у вас в CI
19 марта 2026 года вышла вредоносная версия v0.69.4 сканера уязвимостей с открытым кодом Trivy, который разрабатывает Aqua Security, а теги GitHub Actions trivy-action (76 из 77) и setup-trivy (все 7) были перенаправлены на вредоносные комм…
Утечка данных Times Car (6 628 007 записей с именами и адресами, следы отправки около 1,46 млн изображений документов): проверка My Page и действия участников и бывших участников
В пятом уведомлении от 23 октября 2026 года Times Mobility Co., Ltd. сообщила, что внешнее судебно-техническое расследование завершено, и опубликовала итоговые цифры. В веб-системе Times Car найдены следы доступа злоумышленника и передачи д…
Предупреждения «ваш компьютер заражён» почти всегда поддельные: как их закрыть и что делать, если вы уже позвонили
Страница в браузере, которая кричит «ваш компьютер заражён» и показывает номер телефона, — это мошенничество с поддельной техподдержкой. Японское агентство IPA пишет: если окно просто появилось, компьютер не заражён и достаточно его закрыть…
Спам с вашего собственного адреса: обычно это подделка отправителя, и как проверить, не взломали ли вас
Большая часть спама, который приходит «от» вашего собственного адреса, — это подделанное поле отправителя, а ваш аккаунт никто не трогал. Японские IPA и JC3 предупреждали о письмах с вымогательством, оформленных именно так, и IPA сообщает,…
VPN-устройства — главный путь проникновения программ-вымогателей: защита удалённого доступа после утечки в Цифровом агентстве Японии
VPN-устройство соединяет интернет с внутренней сетью организации, и в Японии примерно в двух третях случаев с программами-вымогателями, где путь известен, атакующие проникали именно через него. Инцидент с GSS в Цифровом агентстве повторил т…
Публичный доступ к облачному хранилищу: почему данные могут утечь даже при включённом Block Public Access
Утечки из бакетов возникают из-за настройки, а не из-за атаки. Главная строка в документации: настройки блокировки публичного доступа не меняют существующие политики и ACL. Публичные настройки остаются под блокировкой, и если её снять, публ…
4 частые ошибки в безопасности: настройки по умолчанию, забытые сервисы, отсутствие мониторинга и излишнее доверие к проверке ввода
Инциденты возникают из небольшого набора повторяющихся схем, и их проще увидеть, если сортировать не по технологиям, а по убеждениям. Их четыре: настройки по умолчанию безопасны (ничего не настроили), неиспользуемое безвредно (ничего не зак…
Небезопасная десериализация: чем опасно, когда внешние данные выбирают тип объекта, и как это предотвратить
Опасность десериализации не в том, что приходят плохие значения, а в том, что некоторые форматы позволяют внешним данным решать, объект какого типа создать. Поэтому ущерб не ограничивается испорченными данными: OWASP называет отказ в обслуж…
Ошибки в сбросе пароля: 5 способов захватить аккаунт при надёжном входе и как их исправить
Сброс пароля позволяет человеку, который не знает пароль, задать новый, — значит, это самостоятельный путь аутентификации. Сколько ни усиливайте вход, если сброс слабый, реальная сила аутентификации равна силе сброса. Пять типичных ошибок:…
Загрязнение прототипа в Node.js: что не закрывает среда выполнения и как защитить свой код
Загрязнение прототипа происходит, когда специальный ключ из внешних данных доходит до встроенных прототипов JavaScript, обычно через рекурсивное слияние. Два последствия: повсюду появляются свойства, которые вы не задавали (ломаются проверк…
Ограничение частоты запросов и защита от злоупотреблений: лимиты против перебора паролей и неконтролируемых расходов
Ограничение частоты обычно не срабатывает не потому, что лимит слишком мягкий, а потому, что задан не тот вопрос. Три вопроса: кого считать (IP можно подделать, и его делят настоящие пользователи, поэтому главное — идентичность), что считат…
Как выбрать заголовки безопасности: что ещё нужно, что устарело и что вредит
Больше заголовков — не значит лучше. Разделите их на три группы: всё ещё работают (CSP, HSTS, X-Frame-Options, nosniff, Referrer-Policy, Permissions-Policy), устарели (Expect-CT в основном устарел с июня 2021 года) и вредят (MDN помечает X-…
Захват поддомена (висящая DNS-запись): как забытая запись DNS позволяет атакующим использовать ваш домен
Если удалить облачный ресурс, но не удалить запись DNS, остаётся висящая запись: любой может занять поддомен, создав ресурс с тем же FQDN. Ваши серверы не затронуты, а законный поддомен показывает содержимое атакующего. Ущерб не только внеш…
Какую CVE закрывать первой — что на самом деле измеряют CVSS, EPSS и KEV
CVSS — это тяжесть, EPSS — вероятность эксплуатации, KEV — подтверждённый факт эксплуатации. Они не заменяют друг друга. Наши данные по всем 1 695 записям KEV: 64% ниже CVSS 9 и 24% ниже EPSS 0.1 — и «чиним только высокие оценки», и «EPSS н…
osv-scanner на практике — pnpm, игнорирование CVE, офлайн-режим и типичные ошибки
Только вопросы второго дня, с ответами по официальной документации. pnpm-lock.yaml поддерживается; исключения задаются в osv-scanner.toml в IgnoredVulns и могут иметь срок действия; офлайн-режим — это три флага с тремя разными задачами. Взг…
Много ли уязвимостей в Next.js и React? Что на самом деле показывают данные CVE
Данные показывают, что у ядра React почти нет CVE, а CVE Next.js многочисленны и их становится больше. Важно, где они возникают: в middleware, кешировании, оптимизации изображений и Server Actions, а среди CWE лидируют SSRF, десериализация…
Черви в цепочке поставок npm: как учётные данные крадут при установке пакета и как защититься
Добавить зависимость — значит запустить чужой код с вашими правами, поэтому защищаться нужно в момент установки. Взгляд этого сайта: подписи и provenance эту кампанию не остановили, значит, на них нельзя строить доверие. Помогает другое: от…
Если взломали вашего хостинг-провайдера: что делать клиентам
Взлом на стороне провайдера нельзя заблокировать настройками клиента, поэтому защита смещается от предотвращения к ограничению того, что можно потерять. Результаты расследования от 10 сентября установили самое важное: несанкционированный до…
Уязвимости загрузки файлов: как предотвратить веб-шеллы и RCE на уровне архитектуры
Проблема уязвимости загрузки не в том, что сервер «принимает файл», а в том, куда его кладут и может ли он выполниться. Точка без аутентификации + нет проверки типа + хранение в корне сайта + там выполняются скрипты = веб-шелл → RCE. Защища…
Аутентификация и авторизация: один только вход не защищает данные других пользователей
Аутентификация — проверка того, кто вы; авторизация — решение о том, что вам можно делать. Это разные вещи, и добавить вход — не значит настроить авторизацию. Без привязки данных к владельцу (user_id) получается «вошёл = видит все данные» —…
Как люди хранят пароли? Что показывают данные — и безопасный способ
Репрезентативные опросы показывают, что ~54% полагаются на память, ~33% записывают пароли на бумаге и лишь ~36% используют специализированный менеджер паролей — при этом ~25% переиспользуют пароли. Тем временем DBIR от Verizon выявил, что к…
Как безопасно хранить пароли: правильный способ хеширования и соли
Практическое руководство по безопасному хранению паролей на сервере. Поймите, почему открытый текст, шифрование и сырые хеши все проваливаются, затем сойдитесь на одном ответе: соль для каждого пользователя плюс намеренно медленный хеш (рек…
Безопасность для эпохи ИИ: что закрыть прямо сейчас (приоритетный чек-лист)
ИИ в основном усиливает атаки на СУЩЕСТВУЮЩИЕ слабые места (незакрытые CVE, повторно используемые пароли, открытые секреты), а не изобретает новые — найденные автоматически, быстро, в масштабе. Поэтому лучшая подготовка — закрыть основы в п…
Меры безопасности в эпоху ИИ: что работает, а что нет, и почему малые сайты тоже становятся целями
Четыре заблуждения эпохи ИИ: (1) слишком мал, чтобы стать целью → автоматизированным атакам не нужен человек, выбирающий цель; (2) нужен особый новый механизм → основы по-прежнему работают лучше всего; (3) продукт делает вас безопасными → п…
Подделка писем от вашего домена: как отличить её от взлома и как SPF, DKIM и DMARC её останавливают
Подозрительное письмо, которое будто пришло с вашего домена, обычно не взлом, а поддельный From, потому что SMTP позволяет кому угодно вписать строку From. Чтение заголовков (Authentication-Results, Received, Reply-To) отличает взлом от под…
Основы резервного копирования: правило 3-2-1 и план восстановления, переживающий программу-вымогатель
«У меня есть резервная копия» недостаточно — пользу приносит только та копия, восстановление из которой вы проверили. Основа: правило 3-2-1 (три копии, два типа носителей, одна вне площадки). Против программы-вымогателя также нужна хотя бы…
Останавливайте секреты до коммита с gitleaks: ловите утечки API-ключей до push
Секреты нельзя «удалить после утечки». Раз закоммиченный, секрет остаётся в истории Git, а раз запушенный — его надо считать утёкшим: ключ нужно отозвать/сменить. gitleaks — бесплатный инструмент, сканирующий весь репозиторий и историю комм…
Как правильно выбирать MFA: что значит «устойчивый к фишингу» и почему SMS слаб
MFA сочетает разные категории факторов. Вводимые вручную коды можно выманить фишингом; SMS также зависит от контроля номера. Для важных аккаунтов выбирайте устойчивые к фишингу методы, например passkey или ключи FIDO2, и проверяйте условия…
Всё ещё на Windows 10? Риски безопасности после окончания поддержки
Обычная поддержка Windows 10 семейства Home/Pro версии 22H2 завершилась 14 октября 2025 года. В официальных материалах, проверенных 16 октября 2026 года, потребительская ESU действует до 12 октября 2027 года с автоматическим продолжением дл…
BitLocker против «Шифрования устройства» — одна и та же технология: полная версия против автоматической облегчённой
BitLocker и Шифрование устройства используют один и тот же движок шифрования. Шифрование устройства = автоматическая облегчённая версия, работающая на Home (включается автоматически с учётной записью Microsoft, ключ восстановления автоматич…
Как по-настоящему закрывать CVE в зависимостях: сканировать, исправлять, изолировать и продолжать следить
Работа с уязвимостями не закончена, когда вы «исправили». Готово = 1) скан, 2) фикс, 3) изоляция/передача, 4) мониторинг. Пока не налажен мониторинг (ежедневное обнаружение изменений), это незавершённо — зависимости снова станут уязвимыми з…
Защита ноутбука, который вы носите с собой — от кражи, потери и подглядывания через плечо
Носить ноутбук — значит исходить из того, что вы его потеряете или его украдут. Главная защита — настроить его так, чтобы потеря не привела к утечке содержимого: шифрование диска (BitLocker/FileVault), надёжный вход с короткой автоблокировк…
Установка и использование osv-scanner: автоматический поиск CVE в ваших зависимостях
osv-scanner сканирует lock-файлы и контейнеры, выявляя CVE в ваших зависимостях, бесплатно. Здесь разобраны установка, запуск и интеграция в CI, плюс когда применять его vs npm/pnpm audit vs Dependabot. Взгляд этого сайта: какой инструмент…
Безопасны ли менеджеры паролей? Как они работают, облако vs локально и как выбрать
Менеджер паролей помогает использовать отдельный надёжный пароль для каждого сервиса. Шифрование с нулевым разглашением призвано защищать содержимое даже при утечке зашифрованных данных у провайдера, но безопасность также зависит от силы ма…
Опасности публичного Wi-Fi: поддельные точки доступа и предупреждения о сертификате важнее прослушки
«Прослушка» публичного Wi-Fi в основном смягчена HTTPS и теперь менее приоритетна. Настоящие риски — (1) самому подключиться к поддельной точке доступа «злому двойнику», (2) проигнорировать предупреждение о сертификате и (3) выставить своё…
Оставили файл с секретом в публичной директории? Проверьте свой webroot
Всё, что в вашем webroot, любой может скачать по URL. Забытый JSON с токеном/учётными данными, .env или резервная копия означают мгновенную утечку — и если он пришёл из общего шаблона, тот же файл лежит на каждом сайте. Исправление: кладите…
Базовая безопасность для инди-разработчиков и малых операторов: стандартные меры в порядке приоритета
База — это не «всё одинаково важно». Порядок приоритета этого сайта: 1) админ-аккаунты, домен и почта (MFA), 2) секреты и код, 3) само приложение, 4) патчи, обнаружение, восстановление. При конечном времени заполняйте сверху вниз. Большинст…
Минимум безопасности организации: шесть приоритетов, выведенных из реальных инцидентов Японии 2026 года
«Минимум» организации нужно определять по тому, где реальные инциденты прорвали защиту, а не по списку продуктов. Если выстроить инциденты Японии 2026 года в ряд, точки входа разные — VPN-устройство, сторонний софт, функция запросов, нераск…
Инвентаризация безопасности: 7 проверок, которые упускают владельцы нескольких серверов
Для одиночек/малых операторов инциденты происходят не столько из отсутствующих мер, сколько из неотслеживаемого состояния. Граница — это ПК, хранящий ваши ключи. Расставьте приоритеты 2FA по тому, какой аккаунт может восстановить остальные…
Самохостинг Git vs GitHub: что на самом деле безопаснее?
Самохостинг Git не делает вас «безопаснее» — он перемещает риск. Класс случайной публичной выставленности исчезает, но патчинг сервера, резервные копии и обнаружение секретов в pre-commit переходят на вас. Правильный выбор, если вы продолжа…
Основы безопасности смартфона: защита одного устройства, на котором ваши пароли, платежи и удостоверение личности
Телефон концентрирует 2FA, почту, банкинг и удостоверение в одном устройстве, поэтому его потеря затрагивает множество сервисов (единая точка отказа). Самая действенная защита — не приложение безопасности: (1) сильная блокировка + короткая…
Наименьшие привилегии SSH-ключа: не храните root-ключи продакшена в эфемерных средах, которые можно скомпрометировать
Регистрация root-ключа в продакшене из эфемерной, компрометируемой среды (под GPU, раннер CI, одноразовая ВМ) означает, что в тот миг, когда среда скомпрометирована, атакующий получает root в продакшене. Исправление: никаких root-ключей в э…
Безопасно ли хранить пароли в Google Drive? Как держать их правильно
Держать пароли в документе/таблице Google открытым текстом опасно: один аккаунт Google становится единой точкой отказа для каждого пароля — захват аккаунта, вредоносное подключённое приложение или фишинг утекают их все разом. Самый безопасн…
Почему блокируют аккаунт OpenAI: украденные API-ключи и политика дистилляции
Когда украденный API-ключ используют для «дистилляции», даже аккаунт жертвы может быть автоматически заблокирован. Защитное, обезличенное руководство по механизму, профилактике и апелляциям.
Что такое подделка X-Forwarded-For (XFF): ошибка конфигурации доверенного прокси и защита
XFF — заголовок, подделываемый клиентом. Неразборчивый сканер помещает пробы инъекций в подделанный XFF, а настройка «доверять всем прокси (wildcard)» пропускает это. Краткосрочное исправление: санировать IP-заголовок на границе. Исправлени…
Из кода, написанного ИИ, утёк API-ключ, и им воспользовались для мошеннических списаний: причиной была незакрытая уязвимость CVSS 10.0
Скачок счёта был симптомом. Причиной была незакрытая опубликованная RCE с CVSS 10.0. Обезличенный случай, сведённый к урокам по защите.
Основы безопасности: чем на самом деле опасны .env и API-ключи
Начните здесь. Поймите, что происходит при утечке .env и API-ключей (кто-то пользуется сервисом от вашего имени, а счёт приходит вам), затем заведите четыре привычки сегодня: не выставлять их наружу, не коммитить, сменить всё при утечке и с…
Случай, когда .env в Laravel был доступен публично: ошибка размещения на шаред-хостинге и как её исправить
Причина: всё приложение сидело под веб-корнем; видимым должен быть только public/. Исправление в три шага — временная блокировка через .htaccess, смена ключей, реструктуризация — затем профилактика процессом.
Безопасный запуск Next.js: не отставать от опубликованных CVE
Главный риск фреймворка — заброшенные опубликованные CVE. Защищайтесь четырьмя практиками: судите по работающей версии, мониторьте Dependabot/osv-scanner, быстро обновляйтесь и работайте с минимумом привилегий. Взгляд этого сайта: инди-разр…
Как держать .env вне публичного веба на общем хостинге
Основное исправление: тело приложения вне docroot, наружу только public/. Сначала закройте доступ через .htaccess, сделайте это постоянным реструктуризацией, затем самопроверка. Взгляд этого сайта: это не оплошность одного человека, а опасн…