Новости: уязвимость

Исследователь безопасности обнаружил критическую уязвимость в Home Depot, которая раскрывала исходный код и облачные системы. Несмотря на попытки предупредить компанию, он был проигнорирован. Уязвимость устранена после вмешательства СМИ.

Производитель фотобудок Hama Film загружает фотографии и видео в интернет, но его серверные системы имеют уязвимость, позволяющую любому скачать клиентские снимки. Исследователь обнаружил проблему, но компания не отреагировала.

Уязвимость в платформах Gladinet CentreStack и Triofox позволяет злоумышленникам выполнять удаленное выполнение кода (RCE) из-за жестко закодированных криптографических ключей. Исследователи Huntress обнаружили, что злоумышленники могут использовать эту уязвимость для получения конфиденциальных данных, включая машинный ключ ASP.NET, что открывает путь к полному контролю над затронутыми серверами. Рекомендуется немедленно установить обновление безопасности.

Уязвимость React2Shell, позволяющая удаленно выполнять код, активно эксплуатируется. Эксперты Wiz фиксируют более 15 кластеров атак, от криптомайнеров до государственных группировок. Половина систем остаются неотлаженными, что дает злоумышленникам широкие возможности для вторжения.

Компания Ivanti выпустила обновление для своих систем EPM, устраняющее критическую уязвимость CVE-2025-10573 (CVSS 9,6), позволяющую без аутентификации получать доступ к сессиям администраторов. Злоумышленники могут использовать ее для контроля тысяч устройств. Обновление также закрывает другие уязвимости, позволяющие выполнять произвольный код и записывать файлы.

Новая уязвимость Battering RAM позволяет обойти защиту конфиденциальных вычислений Intel SGX и AMD SEV с помощью недорогого аппаратного устройства. Исследователи продемонстрировали, как атака на цепочку поставок может получить доступ к зашифрованной памяти и внедрить бэкдоры, ставя под сомнение безопасность облачных сред.

Google выпустила экстренное обновление для Chrome из-за уязвимости нулевого дня. Подробности и CVE пока не раскрываются. Обновите браузер до версии 143.0.7499.109/.110. Исправлены также уязвимости в Диспетчере паролей и Панели инструментов.

Исследователи watchTowr обнаружили уязвимость в .NET, позволяющую удаленное выполнение кода. Microsoft отказывается исправлять ошибку, считая ее проблемой разработчиков, а не уязвимостью. Уязвимость затрагивает множество корпоративных продуктов, но компания считает, что пользователи и разработчики должны сами проверять входные данные.

Траст Barts Health подтвердил утечку данных пациентов и сотрудников из-за уязвимости Oracle EBS. Группировка Clop угрожает публикацией украденной информации. Рассматривается возможность судебного запрета.

Сбой в работе Cloudflare из-за неудачного обновления межсетевого экрана повлиял на множество популярных сервисов, включая Shopify, Zoom и Amazon Web Services. Анализ причин инцидента и уроки для обеспечения безопасности.