Это некоторый текст внутри блока div.

Оглавление

TRT в вашем почтовом ящике

Получайте сводки по безопасности от команды Threat Research Team

Новые кампании, методы злоумышленников и рекомендации по обнаружению — прямо в вашем почтовом ящике.

фиды falco от sysdig

Falco Feeds расширяет возможности Falco, предоставляя компаниям, ориентированным на открытый исходный код, доступ к созданным экспертами правилам, которые постоянно обновляются по мере обнаружения новых угроз.

Злоумышленники определенно проверяли наши лучшие практики кибербезопасности во время Месяца осведомленности о кибербезопасности. В Японии один из облачных регионов был отключен. Продуктовые магазины по всему США и Европе были либо временно отключены, либо потеряли запасы продуктов. ИИ-агент объединил две уязвимости, чтобы взломать организацию, созданную для помощи другим в раскрытии уязвимостей. И, наконец, было выпущено более тысячи патчей уязвимостей за один день. Без шуток. Управление уязвимостями в октябре напоминало прогулку по горящему зданию.

В связи с этим давайте погрузимся в новости безопасности за этот месяц.

7 октября: Программа-вымогатель вывела из строя японскую облачную инфраструктуру

Японское дочернее предприятие SoftBank под названием IDC Frontier подтвердило атаку программы-вымогателя, начавшуюся 7 октября и затронувшую почти 500 компаний и местных органов власти.
Предположительно, клиенты видели сообщения о том, что 3,5 ПБ данных были зашифрованы за семь минут.
Группировка вымогателей утверждает, что удалила снимки (снапшоты).
Это произошло в дополнение к другим крупномасштабным атакам по всей стране в октябре, включая Burger King Japan, Nikkei и Capcom.
Концепция общей ответственности включает в себя ваши собственные резервные копии. Тестируйте их восстановление где-нибудь за пределами вашего провайдера.

11 октября: Хакери сожгли французские холодильники

Ночью с 11 на 12 октября хакеры принудительно перевели холодильники в сотнях продуктовых магазинов по всей Франции в режим постоянной разморозки.
В течение шести часов холодильное оборудование работало при температуре 50°C (122°F).
Датский производитель Danfoss заявил, что в магазинах использовалось устаревшее микропрограммное обеспечение или истек срок поддержки оборудования, из-за чего оно оказалось доступно из интернета.
Это привело к пожарам и потенциально к убыткам в десятки миллионов долларов из-за испорченных продуктов. Хотя инцидент был связан с воздействием операционного оборудования, это глобальный тревожный звонок, демонстрирующий физическое влияние атак на цепочку поставок.

20–21 октября: Шесть уязвимостей Linux появились одновременно

Инициатива Zero Day Initiative (ZDI) компании Trend Micro направила пять отчетов по ядру Linux команде безопасности ядра Linux и один отчет в список рассылки ConnMan, и все они были опубликованы в более широких публичных списках рассылки.
ZDI-CAN-33367 представляет собой локальное повышение привилегий в skb_zerocopy() с публичным доказательством концепции (PoC). Это еще один пробел в исправлении Dirty Frag (CVE-2026-43284) от мая.

21 октября: PHP2Shell

21 октября PHP выпустил два экстренных релиза для CVE-2026-109618 и CVE-2026-109619.
Неаутентифицированный злоумышленник может выполнять код с помощью одних лишь HTTP-запросов, и исследователи оценивают количество потенциально уязвимых доступных хостов в 1,3–1,9 миллиона.
Эксплуатация началась до появления патчей. Компания Amazon сообщила, что зафиксировала попытку 17 октября. Организациям необходимо немедленно установить патчи, перезапустить каждый рабочий процесс PHP и исходить из того, что произошел взлом, одновременно сканируя среды на предмет признаков несанкционированного доступа.

21 октября: Node2Shell

Node2Shell, также известная как HTTP2Shell, привлекла внимание организаций после того, как Node.js устранила уязвимость записи за пределами буфера (out-of-bounds write) в своем встроенном декодере Brotli 21 октября.
Первый публичный репозиторий GitHub, отслеживающий данный CVE, появился всего через несколько часов после исправления, а попытки эксплуатации были подтверждены в течение нескольких дней.
Этот декодер также поставляется в составе Bun, пакетов Python Brotli и некоторых конфигураций Envoy.

Дополнительные находки Sysdig TRT

ИИ-агент связал две уязвимости для эксплуатации программы раскрытия уязвимостей

2 октября Sysdig TRT опубликовала первый блог о взломе Голландского института раскрытия уязвимостей (DIVD), произошедшем 21 сентября.
Злоумышленник использовал две уязвимости в инструменте поддержки с открытым исходным кодом Zammad. Они были идентифицированы как CVE-2026-102489 (уязвимость удаленного выполнения кода) и CVE-2026-102490 (уязвимость локального повышения привилегий).
Изначально считавшиеся уязвимостями нулевого дня, представители Zammad заявили, что получили отчет о CVE-2026-102489 еще в августе, до взлома.

Обход защиты Pickle

27 октября Sysdig TRT опубликовала анализ использования объектов pickle для обхода защит загрузки моделей в машинном обучении.
Шесть документированных обходов CVE обошли PyTorch weights_only, Keras safe_mode и picklescan. Во всех случаях средство проверки и средство загрузки расходились во мнениях относительно того, чем является файл.
Загрузка файла pickle приводит к выполнению содержащегося в нем кода. Это архитектурный недостаток, а не баг, который можно исправить патчем, поэтому решение заключается в изменении формата. По возможности переходите на safetensors и используйте среду выполнения для отслеживания того, что происходит после загрузки pickle.

Также в новостях

Microsoft исправила рекордное количество уязвимостей — 1,411: Обнаружение уязвимостей быстро опережает способность команд безопасности устранять их. KrebsOnSecurity Сообщалось, что рекорд предыдущего месяца 972 patched flaws в 10 раз превышал «нормальную» нагрузку на патчи Microsoft, а октябрь просто затмил его. Рост обусловлен внутренним использованием платформ искусственного интеллекта для поиска уязвимостей в продуктах Microsoft. Командам безопасности необходимо уделять первоочередное внимание доступности и эксплуатации. В этом месяце была одна активно эксплуатируемая уязвимость нулевого дня (CVE-2026-96951), две публично раскрытые и 70 критических уязвимостей.
Нарушена работа продуктовых магазинов в США и Европе: Ahold Delhaize подтвердила инцидент кибербезопасности 12 октября после отключения систем 11 октября для его локализации. Среди пострадавших магазинов оказались Albert Heijn, Etos, Gall & Gall, Delhaize и Stop & Shop.
Угрозы со стороны государственных хакеров, использующих агентный ИИ: Связанная с Китаем группировка Storm-0940 использовала агентов для компрометации клиентов ConnectWise, according to Microsoft on October 21. Группа задействовала открытый фреймворк ARTEX для попыток входа в более чем 2 250 тенантов. В ряде случаев злоумышленники переходили от таргетинга к получению привилегированного доступа к облаку менее чем за три часа.

Заключительные мысли

Взгляните на тайминги этого месяца. Уязвимость PHP2Shell эксплуатировалась за четыре дня до выпуска патча. PoC для Node2Shell появился в публичном репозитории в течение нескольких часов. Группировка Storm-0940 перешла от таргетинга к получению привилегированного облачного доступа менее чем за три часа. Сначала пропатчьте то, что разумно, за разумное время. Но следите за тем, что происходит после того, как эксплойт становится известным. Злоумышленники не могут скрыть свое поведение.

И мы только что завершили Месяц осведомленности о кибербезопасности. Если вы хотите перевести дух и на мгновение отвлечься от уязвимостей, вот список простых вещей, которые вы должны делать ежедневно, чтобы избежать взлома.

Чтобы оставаться в курсе событий в промежутках между нашими ежемесячными обзорами, вы можете читать последние материалы Sysdig TRT в нашем блоге или подписаться на мои размышления в виде двухнедельной рассылки о безопасности в LinkedIn.