Новости: уязвимость

Обнаружена критическая уязвимость StackWarp в процессорах AMD с SEV-SNP, позволяющая взломать изоляцию гостевых ВМ через SMT. Исправление выпущено в июле, но для его полной реализации требуются обновления прошивки от OEM-производителей.

Уязвимость WhisperPair в Bluetooth-протоколе Fast Pair от Google позволяет хакерам удалённо взламывать наушники и другие аксессуары для прослушивания и слежения. Даже устройства Google уязвимы, и для исправления необходимы обновления прошивки.

Критическая уязвимость в AWS CodeBuild, обнаруженная Wiz, позволяла захватить репозитории AWS на GitHub, что грозило глобальным сбоем. Исследователи отмечают, что ошибка в фильтрах веб-перехватчиков не уникальна для AWS.

Критическая уязвимость внедрения команд в Fortinet FortiSIEM (CVE-2025-64155) позволяет удаленно получить root-доступ без аутентификации через службу phMonitor. Обнародован публичный эксплойт, что повышает риски. Рекомендуется немедленно установить патчи Fortinet и ограничить доступ к порту 7900.

Уязвимость в Microsoft Copilot позволяла хакерам из Varonis похищать личные данные из истории чатов даже после закрытия окна. Эксплойт Reprompt использовал косвенное внедрение команд через URL-параметры, обходя существующие средства защиты.

Уязвимость в самоуправляемом Git-сервисе Gogs, позволяющая удаленное выполнение кода, внесена в каталог CISA KEV из-за активной эксплуатации. Американские ведомства получили срочные предписания о блокировке или отказе от использования ПО, которое не имеет официального исправления.

Стало известно, что злоумышленники могут маскировать прокси-ссылки в Telegram для раскрытия IP-адреса пользователей. В ответ на эту уязвимость, которая позволяет скрыть реальный IP-адрес одним кликом, платформа планирует добавить предупреждение о кликах по таким ссылкам.

Компания Trend Micro выпустила срочное обновление для своего ПО Apex Central после обнаружения критических уязвимостей платформой Tenable. Самый серьезный дефект (9.8) позволяет удаленному атакующему без аутентификации выполнить код с наивысшими привилегиями.

Обнаружена критическая уязвимость в протоколе стейкинга Биткоина Babylon: ошибка в расширении BLS-голосования позволяет злоумышленникам опускать данные хеша блока, что грозит сбоями консенсуса и замедлением производства блоков на границах эпох.

Исследователи Cyera выявили критическую уязвимость (CVE-2026-21858, CVSS 10.0) в платформе автоматизации n8n, позволяющую удалённо выполнять произвольный код. Уязвимость затрагивает 100 000 серверов и может привести к полному контролю над средой, давая доступ к конфиденциальным данным и API-ключам. Разработчики выпустили патч.