цепочка поставок
27 статей с этим тегом
Инцидент безопасности Fireworks AI (октябрь 2026): затронуты платёжные данные, а также часть наборов данных и весов моделей; компания связывает его со взломом облачного провайдера. Что делать клиентам
Fireworks AI, предоставляющая инфраструктуру инференса моделей ИИ, опубликовала 9 ноября 2026 года обновление об инциденте безопасности, который впервые раскрыла 9 октября. По словам компании, об изначальном инциденте, обнаруженном 6 октября, было известно лишь то, что затронуты секреты, хранящиеся в Fireworks (например, используемые в заданиях оценки); позже она выявила влияние на информацию об учётных записях и платежах, а у ограниченного набора аккаунтов ещё и на секреты, наборы данных и неполные веса моделей. По её рассказу, у стороннего облачного провайдера, на котором размещались её машины для НИОКР, 23 октября произошёл инцидент безопасности, а 24 октября неавторизованная третья сторона воспользовалась этим, чтобы добраться до машин разработки Fireworks и запустить несанкционированную нагрузку, что привело к дополнительному затрагиванию данных клиентов. Компания обнаружила это в тот же день и по состоянию на 25 октября не обнаружила новых свидетельств успешного несанкционированного доступа к платформе, которой пользуются клиенты. Она говорит, что свидетельства указывают на связь с финансово мотивированной киберпреступной группой. Номера платёжных карт компания не хранит, и они не затронуты. Влияния на Inference, Training SDK и Nexus, где по умолчанию нулевое хранение данных, не обнаружено. На время расследования самостоятельная загрузка наборов данных и их скачивание отключены. Наше мнение: клиентам стоит составить перечень того, что они хранили на платформе, и сменить это; операторам важно отделять среды разработки от систем с платёжными данными и данными клиентов.
В Ethersphere bee-js 13.3.0 и Swarm Desktop 0.56.2 попала вредоносная программа (ноябрь 2026): затронутые версии и что делать пользователям
В версии 13.3.0 npm-пакета @ethersphere/bee-js от Ethersphere, разработчика децентрализованной сети хранения Swarm, находился вредоносный код. Бюллетень GitHub (GHSA-hh7j-5m3j-23pf), опубликованный 9 ноября 2026 года, называет затронутой только версию 13.3.0 и сообщает, что исправленной версии нет. В нём сказано, что любой компьютер, на котором пакет установлен или запущен, следует считать полностью скомпрометированным, а все секреты и ключи на нём немедленно сменить с другого компьютера. Удаление пакета может не устранить всё вредоносное ПО, которое появилось при установке. Для Swarm Desktop в примечаниях к выпуску Ethersphere сказано, что версия 0.56.3, выпущенная 9 ноября, заменяет скомпрометированную 0.56.2. По анализу компании по безопасности, bee-js 13.3.0 появился в npm около 00:09 UTC 9 ноября (09:09 по японскому времени) и был удалён примерно через 75 минут. Swarm Desktop 0.56.2 был доступен около 8,5 часа, а на Windows x64 и Apple Silicon доставлялся и автообновлением. О том, что bee-js 13.2.0 и более ранние версии, а также Swarm Desktop 0.56.1 не затронуты, сообщается. Тот же анализ говорит, что целью были файл конфигурации узла Bee (в нём пароль в открытом виде) и ключ кошелька, а учётные данные, которыми пользуется официальная автоматизация выпусков, использовались злоумышленником. Наш вывод: пересоберите любую машину или среду CI, где была установлена затронутая версия, перенесите кошелёк на новый ключ и переведите средства, смените учётные данные с другой машины.
Кибератака на Crédit Mutuel Arkéa (Франция): мошеннические переводы со своего счета через платформу поставщика услуг, активы клиентов не затронуты
4 ноября 2026 года французская финансовая группа Crédit Mutuel Arkéa сообщила, что подверглась атаке, позволившей провести мошеннические операции. По словам группы, злоумышленники добрались до нее через платформу поставщика услуг и отправили деньги с собственного счета Arkéa другим банковским участникам, откуда их могли конвертировать в криптовалюту через специализированные платформы. Счета клиентов федераций и дочерних компаний не использовались, активы клиентов не затронуты, лишь часть переводов была исполнена с задержкой, а большинство операций возобновилось утром 4 ноября. Группа отвергла версию о человеческой ошибке и опровергла утверждение, что вторжение произошло через дочерний онлайн-банк. Задействованные суммы еще оцениваются: по поводу 118 млн евро (133 млн долларов), упомянутых как вопрос в дополнительном заявлении, группа сказала, что порядок величины верен, но до публикации окончательной суммы еще не дошла. Часть средств заблокирована, идет возвращение. Группа предупреждает о фишинге. Вывод этого сайта: клиентам не стоит открывать ссылки в сообщениях от имени группы и нужно проверять информацию по официальным каналам, которые вы открываете сами; компаниям стоит пересмотреть соединения и права, которые поставщики услуг имеют в их платежных системах.
Кибератаки и утечки данных в октябре 2026: 36 эксплуатируемых уязвимостей и крупные утечки
В октябре 2026 года CISA добавила в каталог известных эксплуатируемых уязвимостей (KEV) 36 уязвимостей, на семь меньше, чем 43 в сентябре. Одиннадцать относились к периферийным устройствам и продуктам удалённого доступа, таким как VPN-шлюзы и межсетевые экраны, пять были старыми уязвимостями, опубликованными в 2015–2023 годах (все добавлены 8 октября), десять касались Plex, PHP, Ahsay и Zammad, ещё десять — других продуктов. В октябре этот сайт опубликовал 115 первых сообщений об инцидентах и уязвимостях (65 японских инцидентов, 28 зарубежных, 4 глобальных, 18 уязвимостей); это число статей этого сайта, а не национальная статистика. В Японии продолжались утечки из баз участников и приложений. Крупнейшие объявленные показатели: ShopServe (около 23,356 млн человек), приложение MUJI (до примерно 27,26 млн записей, возможно), Club Tourism (около 4,32 млн записей, возможно) и Hana Cupid (до 4 238 242 записей). Продолжались также утечки у сервис-провайдеров и SaaS, кражи на криптобиржах и инциденты на платформах для AI-разработчиков. Наш вывод на ноябрь: в первую очередь обновите периферийные устройства из KEV, составьте список внешних сервисов с вашими клиентскими базами и будьте готовы к фишингу от имени пострадавшей компании.
Подмена на сервере обновлений AOMEI Backupper (апрель–июль 2026): кто может быть затронут, даты и как проверить свой ПК
19 октября 2026 года AOMEI, разработчик программы резервного копирования для Windows AOMEI Backupper, опубликовала заявление (последнее обновление — 30 октября) о компрометации цепочки поставки ПО через свой сервер обновлений. Ссылаясь на расследование компании по безопасности, она сообщает, что с апреля по июль 2026 года файлы конфигурации на сервере обновлений AOMEI Backupper неоднократно изменялись примерно на пять–десять минут, а затем возвращались в исходное состояние. В эти окна изменённая конфигурация могла заставить программу скачать вредоносные файлы. Пока установлены три окна: 28 мая (05:40–05:50 UTC), 16 июля (08:33–08:39 UTC) и 20 июля (10:35–10:40 UTC). К 29 июля компания усилила защиту серверов, 5 августа перенесла службу обновлений на новый сервер, а 19 октября выпустила AOMEI Backupper 8.5.1. Она просит всех пользователей AOMEI Backupper, затронутых или нет, запустить AOMEI Security Scanner, обновиться до 8.5.1, проверить ПК защитным ПО и сменить пароль учётной записи Windows или домена. Число затронутых пользователей и затронутые версии не опубликованы. Мнение этого сайта: если AOMEI Backupper был установлен на ПК, который был включён в эти окна, выполните все четыре шага и, если можете, смените пароль Windows с другого, чистого устройства.
Подменённое расширение «Claude Code» в маркетплейсе Cursor (29 октября, около 11 часов): как проверить наличие SSH-бэкдора
Cursor опубликовал уведомление по безопасности 29 октября 2026 года (обновлено 30 октября), в котором говорится, что подменённые версии 2.1.312 и 2.1.313 расширения, опубликованного под именем Anthropic (Anthropic.claude-code), распространялись в маркетплейсе расширений Cursor для Windows и macOS примерно с 2:27 до 13:35 по тихоокеанскому времени 29 октября. Cursor заявляет, что эти версии не разрабатывались Anthropic. По данным Cursor, код запускался при загрузке расширения, собирал сведения о хосте и пользователе, добавлял контролируемый злоумышленником SSH-ключ (с меткой svc-telemetry), пытался включить SSH и открыть обратный туннель, устанавливал закрепление через LaunchAgent в macOS или запланированную задачу либо элемент автозагрузки в Windows и отправлял сведения о хосте злоумышленнику. Cursor говорит, что на большинстве хостов включить SSH не удаётся, поэтому там злоумышленник не мог войти через туннель. Cursor удалил расширение, приостановил маркетплейс, проверил другие расширения, сменил ключи и говорит, что сервер злоумышленника больше не работает. Cursor говорит, что у него нет доказательств того, что затронуты другие версии или официальное распространение. BleepingComputer сообщает, что могли подвергнуться воздействию до примерно 5 000 разработчиков. Наш вывод: если вы устанавливали или обновляли это расширение в Cursor 29 октября, проверьте наличие ключа и элементов закрепления и смените секреты, доступные с этого компьютера.
Polymarket приостановила торги после компрометации стороннего скрипта: что делать пользователям и операторам сайтов
29 октября 2026 года страница статуса Polymarket сообщила, что ее международная платформа (Polymarket.com) в 14:05 по восточному времени США перешла в режим только отмены, что сторонний поставщик был скомпрометирован, что дело передано правоохранительным органам и что всем пострадавшим будет возмещен ущерб; торги были временно приостановлены в 14:37 по восточному времени из чрезмерной предосторожности и должны были возобновиться около 15:00 по восточному времени. Сообщения прессы со ссылкой на компанию по исследованию безопасности говорят, что поставщиком был сервис мониторинга производительности сайтов, чей скрипт работал на страницах Polymarket и использовался для продажи или перемещения активов вошедших в систему пользователей, и называют прослеженную сумму примерно от 2,2 до 2,7 млн долларов в зависимости от издания. В разборе инцидента на странице статуса от 30 октября Polymarket сообщила, что возвращает 3,9 млн долларов (около 2,7 млн в виде возмещения за опустошённые кошельки и позиции, закрытые во время атаки, и 1,2 млн за потери, связанные с остановкой торгов), что заявка или тикет не нужны, поскольку подходящие кошельки она определила по ончейн-данным и данным торгов, и что она удалила скрипт поставщика, остановила торги и сбросила все активные сеансы входа. По данным прессы, первоначальный вывод поставщика — он был скомпрометирован через своего регистратора доменов. Число пострадавших пользователей разбор не называет. Позиция этого сайта: раз Polymarket говорит, что заявка не нужна, пользователям следует считать любое сообщение с предложением «получить» или «забрать» возмещение возможным мошенничеством и пользоваться только официальным сайтом, а операторам сайтов — составить перечень всех сторонних скриптов на страницах, где пользователи вошли в систему.
Безопасное управление сторонними скриптами: инвентаризация, SRI, CSP и адреса отправки форм
Сторонний скрипт может читать страницу, на которой выполняется, включая ввод пользователя. Если поставщик взломан или файл подменён, пользователи пострадают, даже если ваш сервер не тронут. Порядок защиты: перечислить всё, что выполняется, убрать ненужное, добавить SRI к неизменным файлам или раздавать проверенную копию со своего сайта, ограничить источники и адресатов через CSP и регулярно проверять изменения. CSP form-action не наследует default-src, поэтому его задают явно.
Trezor сообщает о возможном аппаратном имплантате в Safe 5 от бывшего реселлера (не подтверждено): что делать владельцам
30 октября 2026 года Trezor опубликовал уведомление, в котором говорится, что 28 октября его команда безопасности получила сообщение об аппаратном имплантате в Trezor Safe 5 в рамках ответственного раскрытия уязвимостей. Устройство было куплено в августе 2026 года через онлайн-маркетплейс у компании, которая до октября 2026 года была официальным реселлером Trezor в Юго-Восточной Азии. В сообщении описана дополнительная печатная плата с сотовым модулем и антенной между основной платой и экраном, которая, как сказано, считывает то, что показывает экран, включая резервную копию кошелька (фразу восстановления), и отправляет это по мобильной сети. Trezor устройство не получил, поэтому это не проверено, и компания говорит, что о краже средств ничего не известно. Для устройств, купленных у этого реселлера с марта 2026 года, Trezor говорит: не настраивайте новое, а если уже пользуетесь, создайте на новом устройстве новый кошелёк с новой фразой восстановления и переведите средства. Наш вывод: это сообщение, а не подтверждённый факт, но шаги недороги по сравнению с риском, поэтому, если ваше устройство от этого реселлера, следуйте рекомендациям производителя.
Инцидент с ConnectWise Cloud Backup (прежде SkyKick): попытки входа с помощью ИИ в более чем 2 250 тенантов Microsoft 365 и что проверить администраторам
16 октября 2026 года ConnectWise опубликовала бюллетень о несанкционированном доступе к учетным данным приложений, связанных с Cloud Backup (прежде SkyKick) — сервисом резервного копирования Microsoft 365 для управляемых сервис-провайдеров (MSP). 17 октября компания отключила семь идентификаторов приложений, приостановила Cloud Backup, SaaS Security и Cloud Management, а 19 октября сбросила все учетные записи и учетные данные в затронутой среде. 21 октября Microsoft опубликовала исследование, в котором оценивает, что за компрометацией стояла группа, связанная с государством, и что затем она использовала открытый мультиагентный ИИ-фреймворк для тестов на проникновение, чтобы пытаться войти в более чем 2 250 тенантов. По словам Microsoft, большинство попыток не удалось, но привилегированный доступ к облаку был получен во многих организациях, в некоторых случаях менее чем за три часа. Отдельно одна охранная компания подтвердила несанкционированные входы в 162 тенантах по состоянию на 16 октября. ConnectWise говорит, что в существующих архивах резервных копий нет признаков компрометации, но это не устанавливает, были ли затронуты отдельные тенанты Microsoft 365. Вывод этого сайта: если вы или ваш MSP когда-либо устанавливали эти приложения, проверьте учетные данные приложений, роли каталога и согласия в своем тенанте и держите приложения отключенными, пока ConnectWise не скажет иное.
Утечка данных Frontline Education (поставщик школьного ПО): 3,09 млн человек по списку генпрокурора Индианы; затронуты номера социального страхования, Medicaid ID и студенческие ID — что делать сотрудникам и родителям
Frontline Education, американский поставщик ПО для управления школьными округами K-12, опубликовала уведомление об утечке данных (Notice of Data Breach) от 26 октября 2026 года. В нём сказано, что 14 августа 2026 года служба безопасности обнаружила уязвимость в стороннем программном продукте, которым компания пользуется, что эта уязвимость позволила получить несанкционированный доступ к части её среды начиная с этого дня и что последним днём несанкционированной активности было 15 августа. Затронутые данные относятся к двум продуктам, Frontline Central и School Health Management. Компания сообщает, что затронуты следующие элементы данных, причём какие именно, зависит от человека: номер социального страхования, дата рождения, номер водительского удостоверения, номер паспорта, другой государственный документ, удостоверяющий личность, Medicaid ID и студенческий ID. Frontline заявляет, что ей не известно о злоупотреблении данными, и предлагает взрослым в США два года кредитного мониторинга TransUnion, а несовершеннолетним кибермониторинг (на странице об инциденте — мониторинг даркнета, где он доступен). В списке генпрокурора Индианы об утечках данных (выпуск за ноябрь 2026 года) значится 3 085 266 человек в целом (66 157 жителей Индианы; дата уведомления — 26 октября, дата утечки — 14 августа), тогда как уведомления в пяти других штатах (MA, NH, SC, TX, VT) в сумме давали около 1,3 млн (1 298 917), по данным SecurityWeek. Число округов не опубликовано. Наша оценка: если вы работаете в американском школьном округе, использующем Frontline, или у вас там учится ребёнок, считайте, что уведомление относится к вам, поставьте бесплатную заморозку кредита и относитесь к любому звонку или письму, где называют ваш Medicaid ID или студенческий ID, как к непроверенным.
Несанкционированный доступ к поставщику системы бронирования JAL, JTA, ANA, Korean Air и Asiana (около 92 000 клиентов JAL/JTA и 37 800 клиентов ANA): номера бронирований, имена и не только, что делать путешественникам
Japan Airlines (JAL) и Japan Transocean Air (JTA) 28 октября 2026 года сообщили, что 23 октября поставщик их системы обслуживания пассажиров, зарубежная компания, уведомил их, что несанкционированный доступ к системам поставщика оставил следы просмотра части информации о бронированиях извне. Период — с 10 августа 2023 года по 23 сентября 2026 года. У около 90 000 человек затронуты номер бронирования, имя, дата посадки, маршрут и класс обслуживания; у около 2 000 человек также просмотрены адрес электронной почты, телефон, номер паспорта, гражданство, номер миль, номер билета, номер места и не только. Всего около 92 000 человек. 30 октября JAL и JTA обновили объявление и сообщили, что связались с этими клиентами по адресу электронной почты, указанному при бронировании. All Nippon Airways (ANA) 30 октября объявила, что есть следы просмотра части информации о бронированиях около 37 800 человек, бронировавших в тот же период (у около 1 700 из них — включая номера паспортов, миль и не только). В Южной Корее Korean Air и Asiana Airlines 23 октября объявили, что есть признаки утечки номеров бронирований части клиентов из системы бронирования той же компании; по их словам, причиной стал несанкционированный доступ с использованием учётных данных для входа, а произошло это предположительно между августом 2023 и сентябрём 2026 года (ни одна не опубликовала число). JAL, JTA и ANA говорят, что данные кредитных карт и пароли не затронуты. Вывод этого сайта: даже если в сообщении от имени авиакомпании верно указаны ваш номер бронирования, имя и рейс, не пользуйтесь его ссылками и номерами; проверяйте в официальном приложении или на сайте. Если могли быть затронуты номер паспорта или номер миль, смените пароль аккаунта с милями и проверьте историю списаний.
Утечка адресов электронной почты рассылки Piccoma (1 002 404 записи): утекли только адреса почты, и что делать пользователям
24 октября 2026 года Kakao piccoma Corp., которая управляет японским приложением манги Piccoma, сообщила, что к blastmail, системе доставки электронной почты RAKUS Lite Cloud Corporation, которую компания использовала для рассылки новостей, был несанкционированно получен доступ третьей стороной, и что 1 002 404 адреса электронной почты клиентов, получивших одну рассылку, утекли. Piccoma узнала об этом из сообщения сервиса доставки 24 октября. Утекли только адреса электронной почты, зарегистрированные для получения рассылки; компания говорит, что подтвердила: номера клиентов и даты последней покупки не входили в выборку. Пароли никогда не передавались blastmail и не могли утечь, а Piccoma не хранит имена и данные банковских карт. Приложение Piccoma, сайт и собственные системы компании не были затронуты, аккаунты, пароли и данные о покупках не пострадали. Утечка для рассылки Piccoma Novels пока не подтверждена. Компания приостановила рассылку, изменила настройки так, чтобы письма, отправленные из blastmail, не считались настоящими письмами Piccoma, и сообщила в Комиссию по защите персональных данных Японии. Компания говорит, что свяжется с пострадавшими клиентами индивидуально. Вывод этого сайта: получатели рассылки Piccoma не должны открывать ссылки в письмах или SMS, якобы отправленных от Piccoma или издателей, должны проверять информацию в приложении и никогда не вводить пароли или номера карт из письма.
Утечка на платформе предоплаченных карт Value Card (1,42 млн записей, 1,13 млн записей MOS Card): номера карт, PIN-коды и балансы утекли, что делать держателям карт
23 октября 2026 года PayCloud Holdings, компания, котирующаяся на фондовом рынке Growth Токийской фондовой биржи, объявила, что к серверам Value Card, собственной службы выпуска электронных денег (предоплаченных магазинных карт), которую её дочерняя компания Value Design Inc. предоставляет эмитентам карт, получил несанкционированный доступ посторонний, и что утекли 1 424 748 записей с идентификационными номерами, PIN-кодами и информацией о балансе (569 224 выпущенных ID и 855 524 невыпущенных ID, то есть ID, которые пользователь ещё не купил). Доступ подтверждён 19 октября, причиной стало использование третьим лицом уязвимости веб-сервера в части системной среды дочерней компании. Личные данные не затронуты; риск неправомерного использования выпущенных ID устранён, фактического ущерба от злоупотреблений не было. В тот же день MOS Food Services, Inc., которая управляет сетью MOS Burger и предоплаченной картой MOS Card, объявила, что несанкционированный доступ к системе Value Design, которой она поручила эксплуатацию и обслуживание серверов MOS Card, привёл к утечке 1 133 070 записей MOS Card (16-значный номер карты, 6-значный PIN-код и баланс; около 570 000 карт в обращении и около 560 000 карт, не находящихся в обращении), и что она принудительно сбросила PIN-коды, связанные с утекшими номерами карт. Имена, адреса, номера телефонов и данные кредитных карт не входили в утечку. Какие карты других эмитентов затронуты, не раскрыто. Вывод этого сайта: держатели MOS Card должны проверить историю операций на наличие списаний, которые они не узнают, обратиться на специальную горячую линию, если перестанут работать онлайн-проверка баланса и аналогичные функции, и никогда не сообщать PIN-код или номер карты никому, кто об этом просит.
Компрометация промежуточных CA eMudhra (emSign): что делать пользователям Python с pip, certifi и uv
17 октября 2026 года появилось сообщение о том, что закрытые ключи восьми промежуточных сертификатов индийского центра сертификации eMudhra (шесть для TLS) были сгенерированы настолько плохо, что любой мог их восстановить. eMudhra отозвала все восемь 18 октября, а Chrome и Firefox заблокировали их 17 октября через механизмы push-обновлений. 20 октября Mozilla приняла решение об экстренном исключении доверия к родительскому корневому сертификату emSign ECC Root CA - G3, а Chrome удалит его 27 октября (по тихоокеанскому времени). Браузеры защищены, но TLS-клиенты вне браузера могут доверять поддельным сертификатам, пока не обновится их собственная копия списка CA. В Python pip всегда загружает встроенную копию certifi, поэтому старый pip остаётся уязвимым даже после исправления системного хранилища. Проекты Python опубликовали уведомление 20 октября (обновлено до 22 октября), в котором просят пользователей обновиться как минимум до certifi 2026.10.19, pip 26.2.2, uv 0.13.4, sigstore 4.5.1, conda 26.9.4 и pixi 0.82.1 и пересобрать образы контейнеров без кеша слоёв. 21 октября они выпустили Python 3.15.1, 3.14.9 и 3.13.17 со встроенным pip 26.2.2. Выпуска 3.11 или 3.12 с более новым pip не будет. Это не ошибка выполнения кода в CPython: злоумышленник, находящийся на сетевом пути, может перенаправить соединения с PyPI, python.org и других сайтов на поддельный сервер. По состоянию на 24 октября эксплуатация не была объявлена. 22 октября eMudhra сообщила, что уходит с глобального рынка сертификатов SSL/TLS. Мнение этого сайта: обновите pip до 26.2.2 или новее и certifi до 2026.10.19 или новее во всех окружениях, пересоберите образы Docker без кеша и поднимите все закрепления certifi в lock-файлах.
Утечка данных у поставщика Iwai Cosmo Securities (4 975 клиентов): что утекло, непреднамеренные сделки и что делать клиентам
16 октября 2026 года Iwai Cosmo Securities Co., Ltd., японский брокер, сообщила через своевременное раскрытие информации материнской компании Iwai Cosmo Holdings, что к системе поставщика, который используется для эксплуатации и обслуживания онлайн-торговой системы, получило доступ третье лицо, и что утекли имена, адреса электронной почты и другие сведения (氏名、メールアドレス他 — имена, адреса электронной почты и прочие данные) 4 611 клиентов онлайн-торговли. Компания обнаружила доступ 14 октября. Во втором уведомлении от 20 октября компания сообщила, что повторная проверка журналов доступа и связи выявила ещё 364 человека, и общее число составило 4 975; по её словам, это не связано с каким-либо более поздним доступом. Утекшие данные не включают торговые PIN-коды, и, по словам компании, их нельзя использовать для входа в счета или совершения сделок. Во втором уведомлении также сообщено, что 14 октября подверглась атаке и система управления сделками, и на 7 счетах были поданы заявки, которых клиенты не намеревались подавать (5 из них исполнены). Сделки отменены, клиенты не несут расходов. Компания заявляет, что утекшие персональные данные не использовались для этих сделок. По её словам, место (слабое звено), через которое был получен доступ, выявлена и устранена, а поставщик добавил меры, в том числе ограничение доступа к функциям управления. Конкретный способ не раскрыт. Примечание этого сайта: не переходите по ссылкам и не звоните по номерам из сообщений, которые выдают себя за Iwai Cosmo; проверьте историю заявок и исполнения с помощью страницы входа, которую вы открыли сами, и при любых вопросах обращайтесь на официальную линию (0120-405-546).
В LiteLLM 1.107.0 оказался похититель учётных данных (октябрь 2026): затронутый релиз PyPI и образы Docker, что делать пользователям
21 октября 2026 года (UTC) BerriAI, компания-разработчик LiteLLM, сообщила, что её конвейер выпуска релизов был скомпрометирован и что был опубликован v1.107.0 с вредоносным ПО, которое похищает учётные данные и загружает инструменты удалённого выполнения кода. Затронуты litellm==1.107.0 на PyPI (с 11:39 до 13:23 UTC) и теги v1.107.0, latest, main-latest и main-stable на Docker Hub (с 11:46 до 14:20 UTC) и GHCR (с 11:46 UTC до снятия к 13:51 UTC, около двух часов). Официальный исходный тег v1.107.0 на GitHub не содержит вредоносных файлов; артефакты были собраны из похожего репозитория, контролируемого злоумышленником. Все более ранние версии вне этой компрометации, компания просит закрепить версию 1.106.2 или другую явную более раннюю версию. 24 октября (UTC) компания опубликовала 1.103.8, 1.104.6, 1.105.4 и 1.106.3; начиная с этих релизов образы Docker и Helm-чарты подписываются новым ключом cosign (прежний ключ их больше не проверяет). 23 октября компания опубликовала анализ первопричины и исправила своё первоначальное предположение о том, что токены были взяты из логов внутреннего развёртывания LiteLLM. Согласно анализу, файл конфигурации, ошибочно закоммиченный в публичный репозиторий 27 мая, содержал мастер-ключ внутренней платформы агентов; коммит перезаписали, но ключ не отозвали. 10 октября злоумышленник использовал этот ключ для вызова API платформы и получил токен GitHub CLI владельца организации GitHub, настроенный там. С его помощью злоумышленник вывел секреты CI и получил токены ещё двух мейнтейнеров, а 21 октября отключил защиту веток, изменил рабочий процесс выпуска и одобрил релиз. Вывод этого сайта: пересоберите любую среду, где 1.107.0 был установлен или запущен в течение окна, и замените все ключи, до которых она могла дотянуться, включая ключи провайдеров LLM, мастер-ключ прокси, пароль базы данных и облачные роли.
Rank Math PRO 3.0.123 распространялся с вредоносным кодом (октябрь 2026): кто затронут и что делать владельцам сайтов на WordPress
16 октября 2026 года (UTC) Rank Math сообщила, что Rank Math PRO v3.0.123, платная версия плагина для WordPress, содержала вредоносный код у ограниченного числа пользователей, которые скачали его в период с 20:02 UTC 15 октября по 07:12 UTC 16 октября. Вредоносный код мог скомпрометировать сайт, если плагин был активирован, и мог восстанавливать свою скрытую закладку при каждом посещении сайта. Компания удалила затронутые файлы и выпустила чистую версию v3.0.124. Бесплатная версия, распространяемая через WordPress.org, не затронута. Ни число затронутых пользователей, ни способ, которым вредоносный код попал в файлы, не раскрыты. По состоянию на 20 октября последнее изменение в уведомлении было внесено 19 октября: добавлена заметка о том, что бесплатная версия не затронута. Вывод этого сайта: считать скомпрометированным любой сайт, на котором была активирована копия 3.0.123, полученная в затронутый период, и либо восстановить его из резервной копии, сделанной до этого периода, либо удалить всю папку плагина и очистить сайт в порядке, который указывает компания. В любом случае смените все учетные данные, к которым сайт мог иметь доступ.
Возможная утечка адресов электронной почты JR East, VIEW Card и JR Kyushu (2026): что делать
9 октября 2026 года Восточно-Японская железнодорожная компания (JR East), ООО «VIEW Card» и Kyushu Railway Company (JR Kyushu) сообщили, что внешний сервис, который они используют для отправки писем участникам, пострадал от несанкционированного доступа у поставщика облачных услуг, и что они не могут исключить, что адреса электронной почты участников и другие данные были просмотрены или получены. Количество: максимум около 1,67 млн участников eki-net и около 390 000 участников Otona no Kyujitsu Club (JR East); около 4,03 млн адресов электронной почты пользователей VIEW's NET (VIEW Card); и максимум около 1,3 млн участников JR Kyushu Web (JR Kyushu). Для eki-net, VIEW's NET и участников JR Kyushu Web затронуты только адреса электронной почты; для участников Otona no Kyujitsu Club затронуты также номер участника, срок действия кредитной карты и дата рождения. Имена, адреса, номера телефонов и номера карт не затронуты. Поставщик облачных услуг заявил, что сбой, начавшийся рано утром 7 октября, был вызван атакой программы-вымогателя со стороны третьей стороны. В пятом отчёте от 14 октября поставщик сообщил, что не обнаружил следов просмотра или выноса данных из виртуальных серверов в затронутой зоне, и пришёл к выводу, что утечки данных наружу не было. 15 октября, получив эти выводы, JR Kyushu сообщила, что утечка адресов электронной почты участников JR Kyushu Web не подтверждена. На сайте eki-net JR East также указано, что 15 октября компания, предоставляющая службу рассылки, сообщила, что пришла к выводу об отсутствии утечки персональных данных участников eki-net (проверено 19 октября). По Otona no Kyujitsu Club и VIEW Card этот сайт по состоянию на 19 октября не нашёл продолжения (проверено на сайтах компаний). В седьмом отчёте от 27 октября поставщик облачных услуг сообщил, что расследование завершено, и назвал причиной уязвимость в программном обеспечении с открытым исходным кодом, используемом в системе аутентификации его портала управления для клиентов. Его вывод о том, что данные из виртуальных серверов наружу не утекли, не изменился. Мнение этого сайта: JR Kyushu заявила, что утечка не подтверждена, а eki-net сообщает, что ей сообщили об отсутствии утечки персональных данных участников eki-net. Тем не менее поддельные письма, использующие этот инцидент как предлог, всё ещё могут приходить. Не входите по ссылкам из писем; проверяйте через официальное приложение или закладку, которую вы сохранили сами.
Утечка у подрядчика Daiwa Securities (около 110 000 клиентов, 220 000 записей): что могло утечь и что делать клиентам
5 октября 2026 года Daiwa Securities Co. Ltd., одна из крупнейших брокерских компаний Японии, сообщила, что к серверу подрядчика, сервис которого компания использует для обработки онлайн-обращений клиентов, был получен несанкционированный доступ. Имена, адреса электронной почты, номера счетов и другие сведения о 110 000 клиентов, содержащиеся в записях обращений, могли утечь; с учётом обращений, по которым нельзя установить личность, затронуто около 220 000 записей. Доступ произошёл примерно с 20:33 2 октября до 08:01 3 октября, и несанкционированного доступа к собственным системам Daiwa не обнаружено. По словам компании, эти данные нельзя использовать для входа в аккаунты или совершения сделок, в том числе через онлайн-торговлю, а по состоянию на 5 октября мошеннических сделок и публикации или распространения данных не выявлено. 6 октября сторона подрядчика опубликовала собственное уведомление: данные обращений, хранившиеся в среде до пяти клиентских компаний на том же сервере, — до 713 126 записей, подсчитанных по обращениям, — могли быть похищены. Со ссылкой на того же подрядчика Citizen Watch (около 100 000 человек), Sompo Japan (около 60 000 записей, подсчитанных по обращениям) и ORIX Life Insurance (около 26 500 записей) также сообщили, что данные их клиентов могли утечь. Мнение этого сайта: ожидайте поддельных сообщений, которые знают ваш номер счёта и прошлые обращения. Никогда не входите в аккаунт по ссылкам из писем или SMS; заходите через закладку или официальное приложение и проверяйте там раздел сообщений и историю операций.
Цепочка компрометаций TanStack, Nx Console и GitHub (май 2026): что проверить разработчикам
11 мая 2026 года пайплайн публикации репозитория Router/Start проекта TanStack был использован, чтобы выпустить код для кражи учётных данных в 42 пакетах npm, 84 версиях. У участника Nx, установившего один из них, украли токен GitHub CLI, и 18 мая было опубликовано подменённое расширение Nx Console (v18.95.0). В тот же день GitHub сообщил, что устройство сотрудника было скомпрометировано через заражённое расширение VS Code и что внутренние репозитории GitHub были выведены наружу. Во всех трёх случаях атака шла через легитимные аккаунты и каналы распространения, поэтому защита в том, чтобы одного украденного токена публикации не хватало для выпуска новой версии, и в том, чтобы проверить, что настроенные меры защиты действительно срабатывают.
Компрометация цепочки поставок Trivy (март 2026): что делать, если Trivy работает у вас в CI
19 марта 2026 года вышла вредоносная версия v0.69.4 сканера уязвимостей с открытым кодом Trivy, который разрабатывает Aqua Security, а теги GitHub Actions trivy-action (76 из 77) и setup-trivy (все 7) были перенаправлены на вредоносные коммиты. По словам Aqua, вредоносный код собирал секреты с раннеров CI и отправлял их наружу; причиной стали учётные данные, полученные при взломе, начавшемся в конце февраля: атакующий смог и дальше ими пользоваться, потому что ротацию 1 марта провели не одновременно. Взгляд этого сайта: урок не только в том, чтобы закреплять actions по ID коммита (SHA), а не по тегу. Action, закреплённый по SHA, всё равно может вызывать другой компонент по тегу, и через это проходит вредоносная версия. Утёкшие учётные данные нужно заменять все сразу, иначе атакующий продолжит ими пользоваться. Запускайте сканеры в заданиях, у которых нет секретов для развёртывания.
Массовая утечка MOVEit (2023) — как zero-day SQL-инъекция достигла 2700+ организаций и как защититься
Входом стала zero-day SQL-инъекция (CVE-2023-34362) в выходящем в интернет MOVEit Transfer. Был установлен веб-шелл (LEMURLOOT), и данные массово украдены из базовой БД, затронув 2700+ организаций и ~93,3 млн человек. Большинство жертв задеты косвенно, потому что MOVEit использовал поставщик. В вашей среде: быстрый патчинг KEV, минимизация открытости, минимальные привилегии и сегментация web↔БД, инвентаризация поставщиков и минимизация данных.
Установка и использование osv-scanner: автоматический поиск CVE в ваших зависимостях
osv-scanner сканирует lock-файлы и контейнеры, выявляя CVE в ваших зависимостях, бесплатно. Здесь разобраны установка, запуск и интеграция в CI, плюс когда применять его vs npm/pnpm audit vs Dependabot. Взгляд этого сайта: какой инструмент подходит, зависит от вашей конфигурации. Используйте osv-scanner для проектов с несколькими экосистемами или без GitHub, и встроенный pnpm audit для одного npm-дерева.
Самохостинг Git vs GitHub: что на самом деле безопаснее?
Самохостинг Git не делает вас «безопаснее» — он перемещает риск. Класс случайной публичной выставленности исчезает, но патчинг сервера, резервные копии и обнаружение секретов в pre-commit переходят на вас. Правильный выбор, если вы продолжаете выполнять эту работу; хуже GitHub, если её забрасываете. Взгляд этого сайта: самохостинг работает только в связке с компенсирующими мерами.
Утечка Codecov (2021) — когда инструмент CI был изменён и утекли секреты
Доверенный инструмент CI (Bash Uploader на curl|bash) был изменён на стороне поставщика. Поскольку ваш собственный код не трогали, это оставалось незамеченным ~2 месяца, пока утекали секреты CI; поймала это проверка контрольной суммы. В вашем CI: проверяйте загружаемые артефакты, минимальные привилегии секретов, ротация, мониторинг исходящего трафика.
Бэкдор XZ Utils (CVE-2024-3094) — атака на цепочку поставок со стороны доверенного со-мейнтейнера
Доверенный мейнтейнер внедрил бэкдор в xz — это атака на цепочку поставок. Один инженер заметил, что вход стал медленным, и нашёл бэкдор прямо перед стабильными релизами. Целью был не код, а люди и доверие. Минимизируйте зависимости, закрепляйте версии, собирайте воспроизводимо, разбирайтесь в аномалиях и поддерживайте мейнтейнеров.