Новости: уязвимость

Анализ Брукингского института: несмотря на высокую подверженность ИИ у юристов и разработчиков, 26,5 млн работников хорошо адаптируются. Однако 6,1 млн (86% из которых — женщины) в административных ролях рискуют из-за низкой адаптивности. Стоматологи и пожарные в безопасности.

Эксперты по кибербезопасности зафиксировали волну атак на межсетевые экраны FortiGate через скомпрометированные учетные записи SSO. Злоумышленники обходят защиту и изменяют настройки, несмотря на недавние патчи, эксплуатируя возможное упущение в исправлении CVE-2025-59718.

Cisco выпустила критические патчи для уязвимости удаленного выполнения кода (CVE-2026-20045) в продуктах унифицированных коммуникаций. CISA добавила уязвимость в каталог KEV, подтвердив её активную эксплуатацию. Эксплойт позволяет получить доступ к системе и повысить привилегии до root без участия пользователя.

Cisco устранила критическую уязвимость нулевого дня (CVE-2026-20045) в оборудовании унифицированных коммуникаций, позволяющую удаленно выполнять произвольный код. CISA внесла изъян в список активно используемых, и неисправленные системы могут быть полностью захвачены.

Эксперты требуют немедленного обновления GitLab из-за критической уязвимости обхода двухфакторной аутентификации (2FA), позволяющей злоумышленникам получить доступ к репозиториям. В рамках патчей также исправлены три уязвимости высокого и две среднего уровня.

Oracle выпустила первое крупное обновление безопасности года, содержащее 337 исправлений, включая 27 критических. Специалисты по безопасности должны приоритизировать работу, учитывая отсутствие известных эксплойтов “нулевого дня”. Обзор затрагивает сложности с “раздуванием CVE” и уязвимости в стороннем коде.

Обнаружена новая уязвимость в Google Gemini: хакеры могут использовать приглашения в календарь для внедрения вредоносных инструкций, что подчёркивает риски безопасности при интеграции генеративного ИИ в корпоративные рабочие процессы. Эксперты призывают к Zero Trust и ограничению привилегий ИИ.

Cisco наконец выпустила патч для устранения критической уязвимости нулевого дня (CVE-2025-20393) в шлюзах безопасности электронной почты Secure Email Gateway и Secure Email and Web Manager. Уязвимость, эксплуатировавшаяся с ноября, позволяла удалённо получить права root, если была активирована функция Spam Quarantine, доступная из интернета.

Check Point зафиксировала более 40 тысяч атак на уязвимость HPE OneView за несколько часов, связывая их с ботнетом RondoDox. Наиболее уязвимыми оказались правительственные организации по всему миру.

Критическая уязвимость с максимальным баллом CVSS 10.0 обнаружена в плагине Modular DS для WordPress, позволяющая неаутентифицированному злоумышленнику получить полный административный доступ. Исследователи подтвердили активную эксплуатацию ошибки CVE-2026-23550 в версиях до 2.5.1. Выпущено обновление 2.5.2.