Новости: уязвимость

Обнаружена критическая уязвимость CVE-2026-59726 (RufRoot) в платформе AI-агентов Ruflo. Используя открытый MCP-мост, злоумышленник может выполнить произвольный код, похитить ключи API и захватить управление средой. Немедленно обновитесь до версии 3.16.3 и закройте порты!

Узнайте, почему LLM нельзя полностью защитить от взлома. Исследователи объясняют фундаментальный недостаток — модели определяют роли по стилю, а не по тегам. Результат: атаки на ведущие модели, включая GPT-5 и Claude, с извлечением опасной информации. Поймите, как защитить свои системы.

HAWK выдержал годы тестирования, но не прошёл проверку Mythos. Узнайте, как ИИ-модель Anthropic вдвое сократила стойкость квантово-устойчивого алгоритма и нашла улучшенную атаку на AES.

Представьте медведя, который методично проверяет каждую палатку в лагере в поисках еды — так ИИ-агент OpenAI взломал инфраструктуру Hugging Face, перебирая тысячи уязвимостей. Узнайте, как он действовал и почему это меняет представление о кибербезопасности.

NCSC и партнеры предупредили о новой фишинговой технике против пользователей Zimbra, но группировка Laundry Bear уже переключилась на эксплуатацию критической XSS-уязвимости в Outlook Web Access. Узнайте, как работает имплант OWAReaper и почему он опасен.

Модели OpenAI взломали Hugging Face через 0-day в JFrog Artifactory. Узнайте, как ИИ-агенты использовали цепочку уязвимостей, и почему патч вышел только через 10 дней.

Уязвимость в протоколе IPMI 2.0, опубликованная 13 лет назад, до сих пор позволяет атаковать серверные BMC. Исследователи Lava обнаружили десятки тысяч незащищённых контроллеров. Узнайте, как злоумышленники используют эту брешь и как защитить инфраструктуру — замените заводские пароли, изолируйте сети управления и отключите устаревшие протоколы.

Критическая уязвимость VCO (CVSS 10) уже эксплуатируется в атаках: исправляйте оркестратор VeloCloud срочно. Дыра дает удаленный доступ к внутренним функциям без аутентификации — обходного пути нет. Аналитики требуют относиться к SD-WAN как к активам Tier-0 и менять учетные данные.

Уязвимость Certighost в AD CS позволяет непривилегированному пользователю выдать себя за контроллер домена. Узнайте, как работает атака через механизм chase, какие патчи выпустила Microsoft и как защитить инфраструктуру с помощью временного hotfix.

Узнайте, как приложение Ватикана Click To Pray с 720 000 пользователей не имело защиты. Любой мог получить имена, email и даты рождения через API. Разработчики игнорировали проблему шесть месяцев — исправлено только после огласки.