Информационная безопасность *

HTML-фреймы из 1999 года, PHP, не получавший обновлений 15 лет, и localhost в публичном DNS — это не музей веб-технологий, а продакшен-среда российских банков в 2026 году. Мы проверили десятки региональных финучреждений и нашли не просто устаревший код, а системный кризис управляемости IT. В этой статье — разбор самых ярких «артефактов», анализ рисков и практический путь, как с этим работать, не ломая бизнес.

В 2026 году VPN — это не про скачал конфиг и забыл, а про позиционную войну. Если ты не крутишь настройки сам, их «скрутит» регулятор на узле связи

Недавно моё утро началось с такого вот прекрасного e-mail от Hetzner:

Уважаемый, м-р Джей Сандерс,

У нас есть свидетельства того, что с вашего сервера была произведена атака. Пожалуйста, примите необходимые меры для решения проблемы и избежания подобного в будущем.

Также просим вас прислать краткое пояснение с описанием того, как такое могло произойти, и что вы собираетесь в этом отношении предпринять. Если последующие шаги не будут успешно выполнены, ваш сервер может быть заблокирован в любой момент после 2025-12-17 12:46:15 +0100.

К письму прилагалось подтверждение того, что с моего сервера было выполнено сканирование некоего IP-диапазона в Таиланде. Отлично. Никакого вам «Здравствуйте», а лишь заявление о злоупотреблении и угроза отключить всю инфраструктуру через 4 часа.

Сегодня медицина невозможна без цифровых систем, которые хранят наши данные и обеспечивают работу больниц.

В этой статье я предлагаю обсудить вопрос кибербезопасности в сфере здравоохранения.

3 декабря 2025 года критическая уязвимость в серверных компонентах React (React Server Components, RSC) потрясла сообщество веб-разработчиков. Была обнаружена уязвимость React2Shell/React4Shell (CVE-2025-55182) с оценкой CVSS 10.0, что является максимальным баллом для уязвимостей. Ошибка позволяет удаленно выполнять код (Remote Code Execution, RCE) на любом сервере, работающем с RSC. В течение нескольких часов после обнаружения уязвимости китайские государственные группы и криптомайнинговые компании начали взламывать уязвимые серверы.

В этой статье подробно разбирается, что и почему произошло, а также как незначительное, на первый взгляд, проектное решение в протоколе React Flight превратилось в одну из самых серьезных уязвимостей React в 2025 году.

Мы также обсудим, как защитить себя и как эта уязвимость подчеркивает важнейшие принципы безопасности.

Есть два типа операций в SS7, друг мой: безобидные... и те, что держат револьвер...

... Это, конечно, утрирование. Однако, как и герои спагетти-вестернов, операции в SS7 предстают перед нами в полном своем разнообразии и глубине, и иногда их сложно распарсить, а главное - обработать безопасно для абонента. Неверная обработка операций (команд) в SS7 (они же PDUs), несет за собой серьезные риски и потенциально может привести к угрозам уровня уязвимостей нулевого дня, открывая широкий спектр возможных атак.

Времена сейчас тяжелые, я как пользователь iPhone, давно чувствую себя неполноценным пользователем смартфона в нашей юрисдикции. А с недавнего времени возглавил команду линуксоидов и потянуло меня на всё линуксовое. Решил, так скажем, стать пингвином. Все началось с того, что выкинул свой макбук, которым пользовался с 2015 года, купил хороший ThinkPad на Ryzen 7 и накатил туда Linux Mint 22.2 и, знаете что, радости моей нет предела, я прям кайфую и пропитываюсь духом опенсорса. Все таки, когда клиентам показываешь преимущества миграции на линукс с мака, есть нотка недоверия к таким ребятам. И для пущей линуксовости, уже второй месяц подумываю пересесть на линуксфон, а еще все это недоверие к корпоратам, подогревает мой интерес. В общем если с тем, как накатить Минт на ноут в целом сложностей нет, то с линуксфоном, не все так просто… погнали разбираться

Хабр, привет!

Еще один год позади. Вот на днях подвели итоги года на Хабре, объявили старт очередного Технотекста и мы с вами (окей, многие из нас) бросились писать или искать уже написанное. Хорошие, настоящие, живые и осмысленные тексты. Искать нужные читателю слова. Традиционно на финал года хотим привлечь внимание и к нашему позитивному блогу. Вспомнить, какие статьи писали наши коллеги. А кто будет особенно внимательным – получит подарок 🎁 Первые три, ответившие правильно на все вопросы, если быть точными.

Все ответы ищите в статьях наших экспертов ;) Удачи!

Итоги квеста подведём 12.01.2026 года.

Квест создан 100% естественным интеллектом. Честно, мы попробовали сделать с помощью ИИ – не то!

С наступающими!

Как выглядел уходящий год в мире кибербезопасности? Взлом автопроизводителя повлиял на экономику целой страны. ИИ-браузеры оказались дырявее решета. Самораспространяющиеся черви скомпрометировали десятки тысяч разработчиков. 2025-й был богат на интересные события, и мы, как всегда, отобрали для тебя самое важное, странное и эпичное из того, что происходило последние двенадцать месяцев. Только самые яркие события, и ни одной скучной истории. Погнали!

Привет, Хабр!

На дворе конец 2025 года. Если вы разработчик, дата-сайентист или просто энтузиаст технологий в РФ, то ваше утро начинается не с кофе, а с проверки того, какой еще сервис решил, что вы ему больше не нравитесь.

Ситуация уникальна тем, что мы находимся под перекрестным огнем. С одной стороны — гео-блокировки со стороны самих сервисов (OpenAI, Anthropic, Google, Microsoft), которые закрывают доступ для пользователей из России. OpenAI показывает "Access Denied", Claude вежливо сообщает, что он "не доступен в вашем регионе", а Google Gemini делает вид, что вас не существует.

С другой стороны — нестабильность самих каналов связи. Привычные VPN-протоколы периодически "штормит", соединения отваливаются, а скорость падает до модемных времен из-за особенностей фильтрации трафика на магистралях.

Казалось бы, выход есть — старый добрый VPN. Но сегодня это решение с кучей "но". Даже если вы нашли протокол, который не блокируется, остается проблема маршрутизации. Гонять весь трафик через Амстердам, чтобы просто спросить у ChatGPT, как отцентровать div — это как стрелять из пушки по воробьям. Банковские приложения начинают паниковать, отечественные стриминговые сервисы грузятся с задержкой, а пинг в играх вызывает желание разбить клавиатуру. К тому же, постоянное переключение тумблера утомляет, а забытый включенный клиент быстро высаживает батарею.

Нам нужно что-то более элегантное. Хирургическое. Нам нужен Split Tunneling, но не на уровне приложения VPN, а на уровне всей сети. Чтобы openai.com шел через "заграницу", а gosuslugi.ru — напрямую.

Сегодня мы пройдем путь от "я просто хочу, чтобы оно работало" до создания собственного комбайна для маршрутизации трафика. Мы разберем существующие решения, поймем, почему они нам не подходят, и соберем свой собственный шлюз на базе Nginx (или Angie) и DNS-сервера, который будет делать магию прозрачно для всех ваших устройств.

Всем привет! Закрываем год подборкой главных CVE декабря. Звездой месяца, несомненно, стала React2Shell — единственный плюс, что её исправили в начале декабря, а не на праздники, как MongoBleed.

Кроме того, в Fortinet закрыли уязвимость на обход аутентификации, а в продуктах Apple в WebKit, который помимо прочего использует Google Chrome на iOS, исправили CVE на use-after-free. В компонентах Apache Tika нашли CVE под произвольный код, а в Gogs остаётся неисправленным нулевой день также под RCE, эксплойт которого активно идёт уже давно. Обо всём этом и других ключевых уязвимостях последнего месяца уходящего года читайте под катом!

Каждый год сотрудники Министерства обороны США проходят обязательное обучение по кибербезопасности. На практике это обычно просто еще одна скучная формальность: пролистал, нажал «далее», получил галочку - и пошел дальше работать.

Но если не спешить и внимательно посмотреть на то, что именно предлагает это обучение, оказываешься в довольно странном месте. Перед тобой вдруг появляется полноценная… игра. Очень специфическая игра. Со странным сценарием и запоминающимися персонажами. Давайте разбираться

В конце года принято подводить итоги и делать предсказания. Давайте совместим оба ритуала и посмотрим, насколько лучше эксперты СайберОК могли бы контролировать поверхность атак, если бы слепо верили в магию EPSS. Спойлер: контролировали бы не очень.

Недавно мы в Selectel запустили систему аудит-логов. Она предназначена для централизованного сбора и анализа событий, возникающих при работе сервисов Selectel. А также — обеспечивает единый доступ к операционным и административным действиям, фиксирует различные события с ресурсами аккаунта и помогает отслеживать потенциально подозрительные активности.

Важным фактором для удобства расследований и анализа является формат самих аудит-логов. Он должен быть структурированным и единообразным вне зависимости от части системы, где происходит события. При этом — достаточно информативным, чтобы можно было установить обстоятельства события.

При должном подходе аудит-логи — не просто набор технических сообщений, а инструмент, который помогает как предотвращаь проблемы, так и эффективно расследовать их при необходимости. Но чтобы начать анализировать события, которые происходят в системе, нужно сначала эти события получить и передать анализатору — SIEM-системе. Этому и будет посвящена данная статья.

В последние десятилетия вопрос построения эффективных систем информационной безопасности (ИБ) все чаще поднимается как в госорганизациях, так и коммерческих компаниях. Причем не только крупных, но и средних. Сегодня рынок кибербезопасности предлагает очень широкий выбор: от комплексных платформ, содержащих множество функций до узкоспециализированных продуктов, решающих конкретные задачи. Кроме того, не стоит забывать о решениях на базе open source. На фоне этого многообразия заказчикам зачастую трудно собрать оптимальный набор инструментов, который обеспечит надежную защиту инфраструктуры.

Компания «Анлим», центр компетенций по информационной безопасности, в статье делится рейтингом пяти наиболее эффективных средств для защиты данных. О каждом классе, вошедшем в стартовый набор для построения системы ИБ, опираясь на многолетний опыт, подробнее расскажет Вячеслав Пронюшкин, первый заместитель технического директора.

Чат‑боты, ассистенты и браузерные агенты прочно и надолго встроились в привычные нам процессы, а за этот год их развитие заметно ускорилось. При этом изменилась и поверхность атак, и уязвимым местом теперь может оказаться ваш промпт. Man‑in‑the‑Prompt – это атака, которая незаметно внедряет чужие инструкции в запрос и меняет поведение модели.

В этой статье я хочу рассказать, как такие атаки реализуются и какие шаги помогут вам от них защититься.

Сегодня TLS используется повсеместно для безопасной передачи данных, и практически любой веб‑сайт работает по протоколу HTTPS. Но, кроме шифрования трафика, TLS позволяет реализовать аутентификацию клиентов по сертификату (mTLS). В этой статье мы настроим этот механизм на примере веб‑сервера Angie.

Куда нажать? Если коротко — сначала скачать из магазина приложений незнакомую программу, а при запуске разрешить принимать СМС. Если подробнее, то вот моя история. У ребенка забокировали Roblox. В наши дни каждый ребёнок знает, чтобы разблокировать нужно установить VPN. Ну а что — в наши то дни, все хотят VPN. Ребёнок открывает Google Play и говорит в микрофон «ВПН» — угдайте сколько всего нашлось. При запуске говорят «Что бы активировать VPN введите код из СМС». Ну ребёнок и ввёл. Это его ещё не спрашивали «Разрешить приложению принимать СМС», думаю ребёнок бы выбрал бы «разрешить» ведь его Roblox «запретили», в таком случае и код вводить непотребовалось бы. Вот собственно и всё. Приложение можно удалять, оно уже не нужно (VPN с него всё равно не работает), а с нашего телефона начали оплачиватся чьи‑то покупки в AppStore. Месяцем ранее оператор сотовой связи сказал «у вас кончились деньги, не хотите в долг до 10 тыс.?», ну или на их языке это «лимит на отрицательный баланс». Сейчас уже ни кто не может вспомнить как это подключилось, но лимит был как на связь так и на мобильные платежи MTC Pay. Когда набежал долг в 2.5 тыс. рублей испуганный ребёнок пришёл к маме. В тех. поддержке МТС сказали «погасите долг, тогда лимит можно отключить». Погасили, отключили. Но через несколько часов списания продолжились, набежала ещё 1 тыс. рублей. Оказывается чтобы отключить усугу нужно много времени (до суток). В тех. поддержке со второго раза установили «самую, самую железную блокировку на списания», а для отключения услуги пришлось долг опять погасить — по другому услугу не отключить. За возвртом денег нас послали в тех. поддержку Apple, это они забрали ваши деньги, а мы вам только в долг дали (кстати, если долг более 1 тыс. за него могут и проценты набежать). По выходным Apple не работает, дождались будних дней и рабочих часов. Среди жалоб «у нас Android, почему вы с нас берёте деньги» мы были далеко не единственные. Ответ получили такой: мы вас поняли, все проверим но деньги вернём только 50 на 50, надо всё тщательно проверить, если найдём что это случилось по ошибке.

Всем привет! Подводим итоги месяца дайджестом ключевых ИБ-новостей. Декабрь удался на славу: его открыла React2Shell, встряхнувшая сеть, а закрывает MongoBleed, подпортившая многим праздничный сезон.

Декабрь принёс и другие горячие новости: у Spotify случился незапланированный децентрализованный бэкап, а у подрядчика PornHub утекла история просмотров премиальных юзеров. “Лаборатория Касперского” делает оптимистичные выводы о конце киберпреступной вольницы в Telegram, китайские умельцы выпустили опенсорсную модель для геолокации, а расшаренные чаты с ИИ-моделями используют в качестве вектора атаки. Об этом и других интересных новостях последнего месяца года читайте под катом!

Свежая публикация экспертов «Лаборатории Касперского» анализирует новую тактику распространения троянской программы Webrat. В начале года эта же программа распространялась под видом читов для популярных игр, таких как Rust и Counter-Strike, а также для платформы Roblox. Судя по всему, организаторы атаки решили расширить аудиторию потенциальных жертв и применили достаточно необычный (хотя и неуникальный) метод: троян распространяется через репозитории на GitHub под видом эксплойтов для «популярных» уязвимостей.

Какие именно уязвимости считают популярными кибермошенники — достаточно любопытная информация. В статье «Лаборатории Касперского» упоминаются три проблемы с достаточно высоким рейтингом опасности по шкале CVSS v3. Это CVE-2025-59295 (8,8 балла из 10 возможных) — свежая, закрытая в октябре 2025 года, уязвимость в браузере Internet Explorer, эксплуатация которой может приводить к выполнению произвольного кода в результате посещения вредоносной страницы. Проблема CVE-2025-10294 (9,8 балла) затрагивает расширение OwnID Passwordless Login для платформы WordPress и позволяет обойти систему аутентификации. Наконец, уязвимость CVE-2025-59230 (7,8 балла) в компоненте Windows под названием Remote Access Connection Manager открывает возможность локального повышения привилегий.