Новости: уязвимость

Исследователь выявил серьезную уязвимость в системе экспозиции Carlsberg в Копенгагене: данные посетителей, включая имена и видео, доступны для взлома с помощью перебора кодов браслетов. Несмотря на уведомление, компания медленно реагировала, а проблема остается нерешенной.

Palo Alto Networks выпустила срочные патчи для платформы PAN-OS после обнаружения критической уязвимости CVE-2026-0227 (CVSS 7.7), способной вызвать отказ в обслуживании (DoS) и перевести межсетевой экран в режим обслуживания. Уязвимость затрагивает конфигурации NGFW и Prisma Access с активированным GlobalProtect.

Исследователи Wiz выявили критическую ошибку в сервисе AWS CodeBuild, которая могла привести к компрометации ключевых репозиториев GitHub. Уязвимость, вызванная неполным регулярным выражением, позволяла злоумышленникам получать доступ к конфиденциальным данным.

Обнаружена критическая уязвимость StackWarp в процессорах AMD с SEV-SNP, позволяющая взломать изоляцию гостевых ВМ через SMT. Исправление выпущено в июле, но для его полной реализации требуются обновления прошивки от OEM-производителей.

Уязвимость WhisperPair в Bluetooth-протоколе Fast Pair от Google позволяет хакерам удалённо взламывать наушники и другие аксессуары для прослушивания и слежения. Даже устройства Google уязвимы, и для исправления необходимы обновления прошивки.

Критическая уязвимость в AWS CodeBuild, обнаруженная Wiz, позволяла захватить репозитории AWS на GitHub, что грозило глобальным сбоем. Исследователи отмечают, что ошибка в фильтрах веб-перехватчиков не уникальна для AWS.

Критическая уязвимость внедрения команд в Fortinet FortiSIEM (CVE-2025-64155) позволяет удаленно получить root-доступ без аутентификации через службу phMonitor. Обнародован публичный эксплойт, что повышает риски. Рекомендуется немедленно установить патчи Fortinet и ограничить доступ к порту 7900.

Уязвимость в Microsoft Copilot позволяла хакерам из Varonis похищать личные данные из истории чатов даже после закрытия окна. Эксплойт Reprompt использовал косвенное внедрение команд через URL-параметры, обходя существующие средства защиты.

Уязвимость в самоуправляемом Git-сервисе Gogs, позволяющая удаленное выполнение кода, внесена в каталог CISA KEV из-за активной эксплуатации. Американские ведомства получили срочные предписания о блокировке или отказе от использования ПО, которое не имеет официального исправления.

Стало известно, что злоумышленники могут маскировать прокси-ссылки в Telegram для раскрытия IP-адреса пользователей. В ответ на эту уязвимость, которая позволяет скрыть реальный IP-адрес одним кликом, платформа планирует добавить предупреждение о кликах по таким ссылкам.