Моя лента

UserGate Factor (uFactor) предупреждает о новой критической уязвимости в линейке корпоративных продуктов Atlassian Data Center. Специалисты компании уже добавили в свои решения uNGFW и uWAF сигнатуры для защиты от эксплуатации данного дефекта.

Уязвимость, получившая идентификатор CVE‑2026‑21589, связана с недостаточной проверкой путей в HTTP‑запросах. Её критичность оценена в 9,3 балла по шкале CVSS 4.0. Эксплуатация дефекта позволяет удалённому злоумышленнику без прохождения аутентификации читать отдельные файлы в корневом каталоге веб‑приложения. При этом в UserGate отметили, что уязвимость не позволяет просматривать содержимое каталогов или подбирать имена файлов — для успешной атаки хакеру необходимо заранее знать точное имя и путь к целевому документу.

«Суть уязвимости заключается в том, что злоумышленник может обойти стандартные механизмы безопасности и получить доступ к системным файлам сервера, не имея при этом никаких учётных данных. Под угрозой находятся компании, которые используют популярные системы управления проектами и базами знаний, такие как Jira и Confluence, в корпоративном сегменте. Если используемое в корпоративном сегменте ПО не обновлено, хакеры могут провести успешную атаку и в дальнейшем похитить конфиденциальные данные: пароли, ключи доступа к API и внутреннюю документацию. Всё это в перспективе создаёт высокую вероятность полноценного взлома всей инфраструктуры предприятия», — отметил архитектор информационной безопасности UserGate Factor Дмитрий Овчинников.

sync.Pool легко принять за простой способ снизить аллокации: бенчмарк показывает ускорение, код уезжает в прод — а там пул внезапно теряет нужные объекты и удерживает раздутые буферы. Разбираемся, как sync.Pool на самом деле взаимодействует с GC, почему синтетические тесты могут вводить в заблуждение и в каких условиях эта оптимизация действительно окупается.

OpenAI выложила в открытый репозиторий сотни математических результатов, полученных с помощью внутренней модели. Но доступность файлов ещё не означает, что доказательства проверены и готовы к использованию. Математики требуют прозрачного описания методов, корректных ссылок на предшествующие работы и понятных правил авторства.

Питч инвесторам прогоняют по десять дублей. Разговор с сооснователем о долях не репетируют никогда — и начинают его, когда договариваться уже поздно. Разбираем типовую историю: доли 50/50, один в проекте фултайм, второй на найме, и каждый считает себя обманутым.

Последние пару лет мы довольно странно используем большие языковые модели.

Из-за их умения делать всё мы пытаемся решить с их помощью всё — роутинг запросов, модерацию, оценку и многое другое. При этом такой сетап инженерно некрасивый: у нас есть модели, которые умеют вести диалог, хорошо программировать и писать статьи, но немалую часть времени инференса они тратят на ответы на достаточно простые вопросы с двумя-тремя вариантами ответов.

Это работает. Но выглядит как доставка упаковки сырников на завтрак на огромной фуре, а альтернатива — обучать отдельную модель под каждую задачу. В сентябре 2026 года вокруг этой проблемы сформировался отдельный класс моделей — Decision Models. 15 сентября TypeSafe показали Jev, а дальше модели принятия решений полетели со всех сторон.

Мне ооочень нравится этот класс моделей, и потому возник простой вопрос: а насколько хорошо это работает в реальной жизни и можно ли тащить это в прод?

Чтобы ответить на этот вопрос, я сконструировал бенчмарк для сравнения качества, скорости и стоимости принятия решений. Будем тестировать и облачные, и self-hosted модели: Perplexity Decider 27B, TypeSafe Jev, Fastino GLiDE и GLiNER2.5-Decide, Cloudflare Clef 27B, OpenAI GPT-6 Luna Decisions, Liquid d1, Kev-9B, Cloudflare Clef-flash 9B, FRIDA-Decisions (и FRIDA Embedder) и Laya Typed Decisions.

Погнали!

Три публикации могут пересказывать одно заявление, а одинаковые числа — описывать разные вещи. На примере российских материалов о деле «ХимПрома» разбираем, как сохранить происхождение сведений и заметить изменения при пересказе. Внутри — небольшой скрипт на Python, сравнение формулировок и проверки, которые помогают не превратить подборку ссылок в ложную уверенность.

Мы очень давно — более 10 лет — говорим о безопасности k8s. Это второй опенсорс‑проект в мире после Linux, а в РФ только «ванильным кубом» пользуются более 53% компаний (не считая коммерческие и облачные Managed K8s), десятки best practices и подходов, а инструментов только под Security больше 100. 

Казалось бы, всё должно быть хорошо. 

Однако с безопасностью k8s всё ещё плохо. К примеру, судя по отчёту Red Hat “State of Kubernetes Security 2024” в 2024, 46% компаний понесли убытки из‑за недостаточной безопасности Kubernetes, в 9 из 10 организаций произошел минимум один инцидент, связанный с безопасностью контейнеров или Kubernetes. 

Причина проста — инструменты сами по себе не дают требуемого уровня безопасности. Поставить сканер — не значит быть защищенным. Включить политики — не значит, что они работают. Написать требования — не значит, что их будут выполнять. 

Здесь нужен системный подход. Меня зовут Александр, я лид направления безопасности K8S и облаков в Альфа‑Банке. С нуля стартовал, построил и сейчас сопровождаю и развиваю ИБ K8S. Моя статья об этом — как выстроить безопасность K8S как систему (функцию) в компании и масштабировать её в окружении сотен кластеров. Обсудим, какие процессы работают, какую зону ответственности должна занимать команда и как её собрать. 

Сразу оговорюсь — моя статья не туториал о том, как настроить очередной инструмент или закрыть угрозу одним из десяти способов (что, безусловно, важно), она о процессах и будет интересна, в первую очередь, лидам.

Embark Studios выпустила Frozen Trail — апдейт, который сами разработчики называют самым крупным для ARC Raiders за всё время. Патч уже доступен на PC, PS5 и Xbox Series, а релиз сопроводили кинематографическим роликом.

Основное пополнение карты — перевал Пендола. На локации есть деревня, транспортный узел «Исход» и колоссальный панцирь погибшего Императора. Рейдеры отправятся туда за редкими технологиями и заодно попытаются восстановить картину того, что случилось с этим регионом.

Проверили свыше 7 200 ответов ИИ о вузе и обнаружили 284 расхождения с реальностью. Почему высокая видимость не гарантирует точность?

Google выпустила Nano Banana 2.1 и обещает улучшения «по всем фронтам»: качество, текст в кадре, консистентность персонажей при многократном редактировании, инфографика. Я прогнал три одинаковых промпта через Nano Banana 2 и 2.1 и посчитал результаты по чек-листу. Новая версия выиграла не там, где обещали.

Сразу оговорюсь про масштаб: это не бенчмарк. Три задачи, по одному прогону на модель, один оценщик. Такой прогон показывает, где искать разницу, а не измеряет её. Числа Google я привожу отдельно, и отдельно отмечаю: независимых замеров на 8 октября 2026 года нет, все издания о релизе ссылаются на одну таблицу разработчика.

Клиент оплатил доступ на сутки в 01:00, а первый ответ получил в 10:00. Если срок отсчитывается от оплаты, на переписку осталось 15 часов.

Разбираю, как определить объём консультации и SLA, согласовать старт с графиком эксперта и связать оплату через Telegram Stars с доступом. В статье — настройка переписки через готовый сервис и требования к своему бэкенду: повторные платёжные события, возвраты и вопросы на границе оплаченного срока.

Apple исключила мышки Magic Mouse и трекпады Magic Trackpad из списка совместимости с Mac на чипах Intel. При этом оба аксессуара продолжают работать со старыми компьютерами Apple.

Я сравнил девять самых популярных скиллов для Claude Code с пустышкой: нейтральным текстом той же длины, без единого совета, как работать. Агент 450 раз решал задачи из SWE-bench и Terminal-Bench со скиллом, с пустышкой и вообще без ничего.

superpowers, у которого почти 300 тысяч звёзд, от пустышки не отличился. Один скилл оказался хуже неё. И ни один из девяти не сделал работу дешевле, чем без скилла: часть денег уходит просто на то, что скилл лежит в контексте.

Ниже расскажу, какие два всё-таки сработали и как в день публикации я нашёл у себя ошибку, которая поменяла один из вердиктов.

ИТ-подрядчика обычно выбирают по презентации, а узнают по первому спорному инциденту. Тогда и выясняется, что часы SLA стояли, пока ждали запчасть, что у подрядчика нашлась сотня причин, почему простой не его вина, и что поддержка вообще досталась компании «прицепом» к контракту на внедрение. Почти все это можно узнать до подписи договора, если задать правильные вопросы.

Сразу оговорюсь: статья не техническая. Протоколов, конфигураций и сравнения инструментов здесь не будет. Она для собственников и директоров малого и среднего бизнеса, которым надо выбрать ИТ-подрядчика, не разбираясь в устройстве серверов. Разберем десять вопросов и то, что стоит услышать в ответах: про переход, SLA и штрафы, пакеты и классы систем, безопасность и форматы работы.

Всем привет. С вами Авдей Мартынович, руководитель подразделения по работе с СМБ в ALP ITSM. До ALP я был ИТ-директором региональной компании и сам нанимал подрядчиков, а последние семь лет работаю на стороне аутсорсинга. Так что на выбор подрядчика смотрю с обеих сторон стола.

Ниже — десять вопросов, которые я задавал бы аутсорсеру сам, на месте клиента. Не все вопросы будут удобными, и это правильно: по реакции подрядчик виден лучше, чем по презентации. Скопируйте список в заметки перед первой встречей.

Рядом с метрикой принято хранить версию модели и версию данных, но этого мало. Правило отбора объектов в оценку расходится двумя способами: список идентификаторов устаревает, а условие с порогом даёт разный ответ в разные дни без всяких правок. У меня список из 39 исключений за год совпал с реальностью на девять позиций из тридцати девяти, а состав выборки сменился сам собой за одни сутки. Разбираю, что именно записывать рядом с метрикой, почему хешировать надо фактический состав, а не текст правила, и чего такой отпечаток не решает.

Команда AppSec Research Positive Technologies обнаружила критически опасную уязвимость в FUXA — open-source-платформе для создания SCADA-, HMI- и других промышленных систем. Ошибка в механизме авторизации позволяла злоумышленнику с гостевым токеном получить функции, которые должны быть доступны только авторизованным пользователям: изменять и запускать сценарии автоматизации, обращаться к доступным приложению файлам и сети, а при определенной конфигурации — выполнять команды в операционной системе с правами процесса FUXA. Для промышленной среды это создавало риск вмешательства в работу приложения, изменения его конфигурации и воздействия на подключенные устройства.

Найти и проверить уязвимость помог собственный ИИ-инструмент, который самостоятельно прошел полный цикл проверки безопасности кода: построил модель угроз, нашел потенциальную уязвимость, проверил возможность ее эксплуатации и предложил исправления. То есть выполнил последовательность задач, которую обычно проходит AppSec-специалист при анализе защищенности приложения.

Selectel анонсировал обновление ИИ-платформы. Решение дополнят два новых продукта для инференса: Token Factory и Custom Inference.

Token Factory предоставляет доступ к популярным open source-моделям, которые развернуты в доверенных дата-центрах Selectel. Второе решение — Custom Inference — компания планирует выпустить до конца 2026 года. Сервис позволит клиентам выбирать из уже существующих или загружать собственные модели, в том числе дообученные и кастомные версии, и разворачивать их на инфраструктуре Selectel.

Selectel анонсировал набор решений для хранения, обработки и анализа больших данных. Их можно комбинировать и объединять с другими продуктами, чтобы построить платформу для работы с данными под свои задачи: от миграции и хранения до аналитической обработки и визуализации.