Новости: Безопасность

Эксперты по кибербезопасности бьют тревогу: критическая уязвимость CVE-2025-37164 в HPE OneView позволяет удаленно выполнять код без аутентификации. Требуется немедленное применение патча, так как эксплойт может быть использован злоумышленниками. Уязвимость затрагивает все последние версии ПО.

Злоумышленники активно используют критическую уязвимость React2Shell (CVE-2025-55182) в React, Next.js, позволяющую выполнять произвольный код на серверах через один HTTP-запрос. Эксперты предупреждают о фундаментальном пробеле в безопасности фронтенда, сравнивая ситуацию с Log4j. Уязвимость используется для развертывания программ-вымогателей.

Директора по информационной безопасности (CISO) переосмысливают свою роль, стремясь перейти от реактивной обороны к проактивным инновациям. ИИ, человекоцентричный подход и устранение разрозненности в командах — ключевые элементы нового видения безопасности, направленного на поддержку бизнеса и создание устойчивой, адаптивной системы защиты.

Злоумышленники используют украденные учетные данные AWS для майнинга криптовалют, злоупотребляя сервисами EC2 и ECS. Кампания началась 2 ноября, и майнеры становились активными в течение 10 минут после получения доступа. Amazon рекомендует усилить меры безопасности для защиты от подобных атак.

Исследование показало, что встроенные браузеры в игровых консолях, телевизорах и других устройствах часто устаревают на несколько лет, содержат известные уязвимости и не получают своевременных обновлений безопасности. Это создает значительные риски для пользователей, включая фишинг и утечку данных. Регулирующие органы ЕС работают над решением этой проблемы.

Северная Корея установила новый рекорд по кражам криптовалюты в 2025 году, похитив более 2 миллиардов долларов. Атака на Bybit принесла значительную часть средств. Эксперты отмечают рост атак на личные кошельки и изменение тактики хакеров.

Киберпреступники нашли новый способ взлома WhatsApp — GhostPairing. Атака позволяет получить доступ к переписке в реальном времени, манипулируя функцией привязки устройств. Для этого достаточно, чтобы пользователь перешел по вредоносной ссылке. Уязвимость обходит сквозное шифрование.

Минюст США заявляет, что нелицензированная биржа E-Note служила для отмывания миллионов долларов, полученных от программ-вымогателей и других киберпреступлений. ФБР ликвидировало инфраструктуру сервиса и предъявило обвинения российскому оператору.

Исследование Checkmarx выявило уязвимость в механизмах безопасности Human-in-the-loop (HITL), используемых ИИ-агентами. Атака Lies-in-the-Loop (LITL) позволяет злоумышленникам подделывать диалоги подтверждения, обманывая пользователей и заставляя их запускать вредоносный код. Уязвимость эксплуатирует доверие к интерфейсу, превращая защиту в вектор атаки. Рекомендуются меры по усилению безопасности диалогов и валидации действий.

Поставщик NHS, DXS International, стал жертвой кибератаки. Инцидент затронул офисные серверы, но был оперативно локализован. В настоящее время проводится расследование для установления масштабов ущерба. Около 2000 врачебных практик, обслуживающих 17 млн пациентов, используют продукты компании.