Новости: уязвимости

Библиотека Curl отменила выплаты по программе bug bounty из-за наплыва отчётов, сгенерированных искусственным интеллектом. Администрация проекта заявила, что обработка «мусора от ИИ» истощает ресурсы, что стало следствием ускорения поиска уязвимостей за счёт ИИ-инструментов.

Новое исследование Pentera Labs выявило критическую уязвимость: тестовые и демонстрационные среды кибербезопасности, оставленные без должной конфигурации, становятся точками входа для хакеров. Обнаружены случаи эксплуатации таких сред у ведущих компаний, что привело к доступу к облачным данным и секретам.

Ведущий разработчик проекта cURL Даниэль Стенберг объявил о закрытии программы вознаграждений за найденные уязвимости с января 2026 года. Причина — наплыв недобросовестных отчётов, сгенерированных инструментами ИИ, которые перегружали команду.

Анализ показывает, что стандартная Система оценки общих уязвимостей (CVSS) не отражает реальный операционный риск. Серьёзность уязвимостей, таких как Log4Shell, определяется не только техническими баллами, но и контекстом их распространения через доверенные системы и зависимости. Вводится концепция унифицированной модели связей (ULM) для оценки риска на основе смежности, наследования и доверия.

Узнайте, почему регулярная оценка киберрисков критически важна для современной компании. Статья раскрывает преимущества таких аудитов — от выявления уязвимостей и приоритизации мер до соблюдения комплаенса и снижения финансовых потерь от утечек данных.

Куратор проекта cURL Даниэль Стенберг сворачивает программу вознаграждений за баги из-за наплыва отчетов, сгенерированных ИИ. Он надеется, что это снизит поток «мусора», но продолжит публично высмеивать некачественные материалы.

Критические уязвимости в популярном фреймворке для разработки ИИ Chainlit позволяют злоумышленникам читать произвольные файлы и данные из баз данных серверов. Неустраненные недостатки могут привести к утечке ключей API и токенов, облегчая горизонтальное перемещение в инфраструктуре. Уязвимости исправлены в версии 2.9.4.

Инициатива GCVE запустила db.gcve.eu — бесплатную европейскую базу данных ИТ-уязвимостей. Платформа агрегирует данные из множества источников, используя децентрализованную модель GNA, чтобы укрепить цифровую суверенность и упростить отслеживание угроз кибербезопасности.

Обнаружены критические уязвимости в популярных Python-библиотеках NeMo, Uni2TS и FlexTok, используемых в моделях машинного обучения на Hugging Face. Исследователи Unit 42 установили, что злоумышленники могут внедрять вредоносный код через метаданные, который активируется при загрузке файла, что ведет к удаленному выполнению кода (RCE). Разработчики уже выпустили исправления.

Обзор эволюции фаззинга: от традиционных методов до применения генеративного ИИ для поиска уязвимостей в ПО. Рассматриваются преимущества ИИ в создании сложных тестов, угрозы со стороны злоумышленников, использующих ИИ для атак, и методы защиты чат-ботов от инъекций промптов.