21 октября были раскрыты две критические уязвимости PHP — CVE-2026-109618 и CVE-2026-109619, обе с CVSS 9.2. Их эксплуатация позволяет выполнять код без аутентификации с правами веб-сервера.
Уязвимым можно считать PHP с версии 5.4. Что интересно, уязвимости были найдены с помощью нейросетей (Gemini 4 Argon + GPT-5.6 Sol), а размер патча составляет больше 10 тысяч строк кода.
Аналитики SOC — неважно, работают ли они в большой команде или в маленькой — регулярно говорят мне, что видят все срабатывания корреляционных правил, но не успевают в них ра не значит, что они плохо работают. SOC в крупной организации фиксирует более 10 000 срабатываний в день, и физически невозможно для каждого из них вручную поднять контекст, свериться с базой знаний и принять решких условиях нерасследованными остаются почти две трети срабатываний, в большинстве своем — те, которым присвоены невысокие уровни значимости. Это позволяет злоумышленнику «замаскироваться под фон». Когда мы в Positive Technologies моделировали поведение инсайдера в корпоративной инфраструктуре, традиционная система, построенная на сигнатурах и корреляционных правилах, выдала лишь три алерта с уровнями значимости medium и low.
Чтобы в подобных ситуациях не упускать важные события и корректно присваивать им уровни риска, в MaxPatrol SIEM встроен модуль поведенческого анализа MaxPatrol BAD. Но сам факт того, что событие не затерялось в потоке, ещё не снимает с аналитика необходимость разобраться в нём. Вот в этой точке — между «система что-то нашла» и «специалист понял, что перед ним» — и лежит разрыв, который мы решили закрывать с помощью ИИ.
Вы нашли open redirect, отправили отчет и получили в ответ: «Информационный, выплата не положена». Знакомая ситуация? С ней сталкивался каждый, кто пробовал себя в багбаунти.
О своих находках и о том, как выжать из них максимум, в подкасте рассказал Мухамед Дахер aka m0m0x01d — багхантер и один из топовых исследователей Standoff Bug Bounty. А мы перевели его выступление и делимся им с вами.
Внутри — четыре реальных кейса от Мухамеда. Каждая история — пример того, как незначительную уязвимость можно раскрутить до критического импакта: захвата аккаунта, доступа к панели администратора или утечки.
Недавно нам на глаза попался APK-файл с интригующим и внушающим доверие названием «Антивирус ФСБ.apk».
Установив его, мы обнаружили, что при запуске пользователя встречает интерфейс известной программы для управления звонками на Android — Right Dialer от разработчика Goodwy.
Вероятнее всего, выбор злоумышленников пал именно на это приложение, так как оно запрашивает большое количество разрешений: работа с контактами, выполнение звонков, доступ к камере и так далее.
Передовые технологии и новые цифровые инструменты трансформируют все сферы современной жизни — и киберпреступная среда не остается в стороне от этих изменений. В исследовании мы проанализировали, как ключевые технологические тренды, включая развитие искусственного интеллекта и блокчейн-инфраструктуры, влияют на методы, инструменты и тактики злоумышленников.
В исследовании представлены ключевые тренды в активности злоумышленников, сформировавшиеся по итогам первой половины 2026 года. Исследование основано на мониторинге открытых и закрытых источников: анализе приватных Telegram-каналов, профильных аккаунтов в X (Twitter), специализированных хакерских форумов, а также на изучении утечек исходного кода и данных, ставших доступными в рассматриваемый период.
Наверняка вы замечали, что одни багхантеры находят уязвимости одну за другой, а многим это дается с бо́льшим (или даже больши́м) трудом. Хусейн Дахер, известный под ником hussein98d, считает, что дело не в технических навыках. Все решает рекон.
Хусейн Дахер — основатель и CEO компании Web Immunify, родом из Ливана. В багбаунти он больше десяти лет: за это время он нашел и зарепортил более тысячи уязвимостей на разных платформах. Хусейн также входит в топ исследователей на площадке Standoff Bug Bounty.
Один из самых громких результатов — первое место в программе Fidelity National Information Services меньше чем за полгода. Сам Хусейн объясняет это не удачей, а умением находить активы, до которых не добираются другие. С ним можно связаться на webimmunify.com и daherhussein.com.
В этой статье мы расскажем четыре реальные истории из его практики, когда Хусейну удавалось находить уязвимости там, где, казалось бы, уже все исследовано вдоль и поперек. В одной из них «мертвый» IP-адрес, который все обходили стороной, оказался приложением с захватом аккаунта в один клик. В другой старая сборка Android-приложения отдала ключи ко всей инфраструктуре компании. А еще был домен, который находился только через одну поисковую систему, и открыл доступ к базе данных. Чтобы подробнее разобрать каждый кейс, заглядывайте под кат!
Привет, Хабр! Меня зовут Даниил Лопаткин, я ML-инженер в группе машинного обучения Positive Technologies. Расскажу, как в PT Cloud Application Firewall работает обнаружение аномалий в профиле трафика и зачем мы его сделали.
Межсетевой экран уровня веб-приложений (WAF) записывает каждое срабатывание правила защиты. У крупного клиента за сутки набираются десятки и сотни тысяч таких событий. Большая часть из них — привычный фон: боты, сканеры, перебор типовых путей, превышения лимита запросов. Следит за ними обычно небольшая команда центра мониторинга безопасности (SOC), и отвечает она сразу за много приложений. Просматривать события безопасности каждого вручную она не успевает. Начало целенаправленного сканирования или эксплуатация недавно опубликованной уязвимости теряются среди остальных событий, и их замечают с опозданием.
Привет, Хабр! Меня зовут Антон Кутепов, я руковожу центром промышленной экспертизы Positive Technologies. Мы исследуем угрозы для технологических сетей, промышленные протоколы и оборудование, разрабатываем правила обнаружения атак и закладываем эту экспертизу в PT ISIM.
Подробные разборы инцидентов на действующих предприятиях появляются редко. Публикация такой истории может раскрыть архитектуру и конфигурацию систем, которые в промышленности живут годами. Поэтому сегодня разберем учебный сценарий, воспроизведенный на Standoff – онлайн-полигоне с реальными компонентами АСУ ТП. Это не цифровая копия действующего производства со всей его эксплуатационной историей, блокировками и последствиями, но логика перемещения атакующего и работа источников телеметрии вполне характерны для промышленной инфраструктуры.
Каждый актив в инфраструктуре проходит свой жизненный цикл: он появляется, функционирует, а со временем выводится из эксплуатации. Новые активы часто создаются как копии существующих, но со временем обрастают уникальными особенностями. Из-за постоянных изменений в инфраструктуре возникают аномалии данных: дубликаты, «склейки» и цифровые призраки — активы, которых уже нет, но они продолжают числиться в системе.
Чтобы справиться с этой проблемой, нужно решить три нетривиальные задачи: сопоставить данные из разных источников с конкретным активом, корректно обработать изменения между предыдущим и новым состоянием, отследить жизненный путь актива и зафиксировать момент его исчезновения.
В июне 2026 года в московском Кибердоме прошла юбилейная международная кибербитва Standoff 17. Красные команды – белые хакеры из разных стран – отрабатывали сценарии кибератак и проверяли на прочность инфраструктуру виртуального Государства F. Синие обнаруживали и расследовали инциденты и пресекали действия атакующих. Все происходило в условиях, максимально приближенных к реальным. В этом году впервые в истории Standoff командам защиты было доступно решение класса Distributed Deception Platform – первая отечественная система киберобмана Xello Deception.
Система создает в инфраструктуре ложный слой из приманок и ловушек. Взаимодействие с такими объектами указывает на компрометацию сети. Ловушки представляют собой серверы, эмулирующие ресурсы ИТ-инфраструктуры компании: сервисы, базы данных, операционные системы. Приманки — это ложные данные на конечных устройствах пользователей: учетные записи, сохраненные пароли в памяти ОС или браузерах и другие артефакты.
Недавно наши коллеги из Центра промышленной экспертизы Positive Technologies обнаружили на MalwareBazaar один любопытный Windows-образец.
Наше внимание привлекло сообщение от аккаунта, с которого залили данный сэмпл.
В тексте сообщения пользователь с ником jeans описывает вредоносную программу, обнаруженную на компьютере с Windows в промышленной среде (на предприятии с оборудованием Siemens). По его словам, предположительно новый вредонос нацелен на промышленные системы управления (ICS). Он пытается манипулировать данными ПЛК по протоколам S7Comm и Modbus TCP, а также маскируется и закрепляется в Windows.
Привет, Хабр! Меня зовут Илья Андр и я работаю в команде PT Maze. В статье расскажу, как любопытство помогло мне найти и помочь закрыть CVE-2026-43783. Демон, который Finder использует для «починки» прав на iCloud-файлы, оказался готов починить права на что угодно - включая системные директории. В этой статье разберем, как устроен DesktopServicesHelper изнутри и почему одного XPC-запроса хватило для получения root. Но для того чтобы разобраться, как именно такое стало возможно, сперва немного теории по внутренностям macOS.
Участие в битве Standoff я бы сравнил с игрой в Counter-Strike 2 или Dota 2. В CS сильный игрок не гарантирует победы, если команда не знает карты, не умеет разыгрывать позиции, не обменивается информацией и не понимает, когда нужно наступать, а когда лучше спрятаться. В Dota топовый игрок не вытянет матч, если у команды нет распределения ролей, контроля карты, таймингов, хорошего обзора, понимания силы пика и общего плана на игру. Безусловно, индивидуальный скил каждого игрока играет большую роль, но на нем одном далеко не уедешь.
В кибербитве действует та же логика. Команда может состоять из десяти сильных специалистов, но уступить более сыгранным товарищам. Если группа не слажена, не понимает механики сражения, не имеет необходимой инфраструктуры и компетенций, то рассчитывать на достойный результат не стоит. Вот как выглядит формула успеха в кибербитве:
техника × тактика × сыгранность × выносливость × дисциплина = результат
Если хотя бы один из множителей стремится к нулю, общий результат снижается.
Привет, Хабр! Меня зовут Радда Юрьева, я ведущий специалист отдела исследований AppSec (безопасность приложений) в Positive Technologies. В мае этого года на встрече OWASP Russia мы с моим руководителем Владимиром Кочетковым рассказали о графовых подходах к анализу кода с участием ИИ-агентов.
К осени 2026 года индустрия окончательно осознала: одних ИИ-агентов на языковых моделях недостаточно для проверки безопасности кода. В этой статье мы хотим поделиться расширенным пересказом нашего доклада. Вы узнаете, как графы могут помочь закрыть большинство «болей» современных LLM и какую роль в этой связке играет языковая модель, а какую формальные методы.
Хотите понять, как графы и языковые модели дополняют друг друга в реальном аудите безопасности? Заглядывайте под кат!
До нас ни одно российское публичное облако не поддерживало зеркалирование трафика виртуальных машин. Это означало одно: NTA/NDR-системы, в частности, PT Network Attack Discovery (PT NAD) от Positive Technologies в отечественных облаках нормально не разворачивались. Не потому что продукт этого не поддерживает. Просто облако не могло дать ему главное – копию сетевого трафика с интерфейсов ВМ.
Мы решили эту проблему. Реализовали зеркалирование трафика в overlay-сети на базе OVN, отправили патч в апстрим – и он был принят. Теперь это часть основной кодовой базы проекта.
Привет, Хабр! Меня зовут Влад Одинцов, я Product Owner сетевых сервисов K2 Cloud. В этой статье подробно расскажу, как устроено облачное зеркалирование под капотом, почему без фильтров трафика сложно жить и что показало нагрузочное тестирование, которое мы проводили совместно с Positive Technologies.
Хабр, привет!
На связи Александр Леонов, ведущий эксперт центра безопасности Positive Technologies (PT ESC) и дежурный по самым опасным уязвимостям месяца. Мы с командой аналитиков Positive Technologies регулярно смотрим на поток информации об уязвимостях из самых разных источников: бюллетени безопасности вендоров, соцсети, блоги, телеграм‑каналы, репозитории кода, базы уязвимостей и эксплойтов. Из этого многообразия мы стараемся выделять самое важное — трендовые уязвимости, которые уже используются в реальных атаках или с высокой вероятностью будут эксплуатироваться в ближайшее время.
С прошлого дайджеста мы добавили в общий список еще шесть трендовых уязвимостей.
Привет, Хабр! Меня зовут Андрей Кузнецов, последние 2 года вместе с командой развиваем ML в кибербезе. Наше сообщество FalsePositive занимается разбором научных статей и последних разработок в ML. А теперь мы запускаем BlueSec, открытые соревнования, в которых ИИ-агенты расследуют ИБ-инциденты. Агент получает первую улику, сам собирает картину атаки и выносит вердикт. Платформа оценивает, насколько точно и с минимальным количеством тулколлов он это сделал. Если вы работаете с LLM и агентами, то это возможность проверить свои и агентские скиллы в задачах на стыке ML и кибербеза, области, которая, думаю, переживает даже больше изменений, чем разработка.
Соревнования идут онлайн из любой точки земного шара с 25.09 по 10.10, финал в Москве и в Питере оффлайн+онлайн, регистрация на сайте.
Под катом расскажу: зачем мы сделали именно такие соревнования, как устроены задачи и оценка, с чего начать, если вы никогда не писали агентов или никогда не расследовали инциденты.
Во время исследования контроллеров Realtek я столкнулся с таким любопытным способом защиты прошивки от реверс-инжиниринга, как XOM (eXecution Only Memory). Эта технология разработана ARM уже около 10 лет назад. Опираясь на свой опыт, назвать ее очень популярной не могу. Однако, в Realtek решили использовать XOM в ряде своих контроллеров, которые попали к нам на исследование.
Если коротко, XOM – это аппаратно-программная технология, формирующая execute-only область памяти. Суть XOM состоит в аппаратной фильтрации транзакций на шине AXI (AHB). Если транзакция в защищаемую область запрашивает исполнение инструкции - доступ разрешен, если чтение/запись данных – доступ запрещен. Таким образом, прочитать или перезаписать прошивку в XOM просто так не получится.
Данная статья описывает подход к восстановлению спрятанной в XOM прошивки, основанный на анализе изменений состояния памяти и регистров процессора, возникающих вследствие выполнения инструкций процессора.
Привет, Хабр! Я Алена Караваева, в Positive Technologies возглавляю направление защиты конечных устройств от целевых атак. Мое главное детище это — MaxPatrol EDR, который входит в MaxPatrol Endpoint Security, комплексное решение для защиты конечных точек, рабочих станций и серверов.
Моя работа во многом похожа на работу других «продактов»: стратегия, роадмап, бэклог, запросы клиентов, споры с разработкой, технический долг, приоритизация и вечный вопрос «а что мы точно успеем занести в следующий релиз?». Но есть одна существенная разница. Создавая средство защиты, лично я не мыслю категориями «фичи» и «релиз», а четко понимаю, что любое мое решение в роадмапе (стратегическое, функциональное или архитектурное) влияет на жизнеспособность компаний — либо внесет вклад в усиление их брони, либо станет причиной бреши, через которую их могут взломать хакеры. За неправильной настройкой может стоять остановленный бизнес-процесс. За пропущенной угрозой — скомпрометированная инфраструктура. За неудачным обновлением — рабочие станции, на которых внезапно перестало работать то, без чего компания не может нормально функционировать.
Поэтому я давно перестала смотреть на роадмап только как на список фич. Для меня это, скорее, карта того, как мы усиливаем киберустойчивость клиента и какой риск берем на себя, когда принимаем каждое продуктовое решение. Поэтому мой главный вызов в работе — внутренний: гарантировать с помощью MaxPatrol Endpoint Security такой уровень киберустойчивости любой компании, чтобы, как говорится, ночью спать спокойно.
Если интересна моя история и подходы к бэклогу, а также всевозможные разрабские байки, факапы и кладбище фич — добро пожаловать под кат!
Журналы событий Windows в формате EVTX являются одним из ключевых источников телеметрии при реагировании на инциденты. Они содержат свидетельства действий злоумышленника на хосте и нередко оказываются единственным подтверждением произошедшего. Например, при компрометации учетной записи, горизонтальном перемещении или закреплении.
Поэтому атакующие часто стремятся уничтожить их: очищают через wevtutil cl, шифруют или вайпят диски. Современные вымогатели все чаще шифруют целые образы виртуальных машин (VDI, VMDK, VHDX). В таких случаях файловая система тома может быть полностью недоступна или повреждена настолько, что штатные средства не могут ее смонтировать: например, если разрушена MFT или потеряна таблица разделов.
В подобной ситуации можно попытаться реконструировать файловую систему вручную: выполнить поиск потерянных разделов и восстановить удаленные файлы. Однако часть записей событий при этом может быть потеряна, и сам EVTX-файл нередко оказывается сильно поврежденным, а на такую работу уходит много времени. Здесь и вступает в дело карвинг — побайтовый поиск сигнатур формата EVTX непосредственно в сыром образе (диска, тома, дампа памяти, файла подкачки, снимка VSS) с восстановлением того, что физически сохранилось, в обход файловой системы.
