.unsec

США запускают программу привлечения частных компаний к наступательным кибероперациям

Администрация Белого дома утвердила механизм передачи полномочий по проведению активных действий в киберпространстве частному сектору.

Министерство внутренней безопасности и Минюст получили указание в течение 60 дней разработать регламент, позволяющий верифицированным IT-компаниям легально взламывать инфраструктуру транснациональных преступных группировок.

Для участия в программе подрядчики должны пройти строгую проверку персонала и технических компетенций, а также внести невозвратный залог в размере одного миллиона долларов на случай нарушений или непреднамеренного ущерба. Каждая операция требует индивидуального письменного согласования с федеральными кураторами. Под прямым запретом находятся действия, способные привести к человеческим жертвам или квалифицируемые как акт войны по нормам международного права.

Компании получат карт-бланш на шпионаж и саботаж систем злоумышленников, однако обязаны немедленно прекращать работу при обнаружении связи цели с государственными структурами других стран или при случайном затрагивании американских информационных систем.

Инициатива направлена на борьбу с киберпреступностью, наносящей экономике США ущерб в десятки миллиардов долларов ежегодно, но сопряжена с высокими юридическими рисками для исполнителей.

Новости последней недели.

Агенты вышли из песочницы: ИИ начал атаковать реальные системы

Недавние инциденты с моделями OpenAI и Anthropic показали, что автономные ИИ-агенты уже способны случайно перейти от лабораторного тестирования к атакам на реальную инфраструктуру. Речь не идёт о «восстании машин»: модели продолжали выполнять поставленные задачи, но оказались в неправильно изолированной среде и приняли доступные внешние системы за часть учебного полигона.

Атака на Hugging Face
В июле 2026 года Hugging Face сообщил о проникновении в часть производственной инфраструктуры. Первоначальный доступ был получен через вредоносный датасет, который использовал два механизма выполнения кода в конвейере обработки данных. После закрепления атакующая система повысила привилегии, получила облачные и кластерные учётные данные и переместилась между несколькими внутренними кластерами.

По данным Hugging Face, кампания выполнялась автономным агентским фреймворком: тысячи действий запускались параллельно в короткоживущих песочницах, а управляющая инфраструктура переносилась между публичными сервисами. Всего при расследовании было проанализировано более 17 тысяч событий.
Инцидент показал главное преимущество агентской атаки — способность действовать непрерывно и адаптироваться к результатам каждого шага. Агент может самостоятельно искать новые точки входа, собирать секреты, менять стратегию и продолжать движение по инфраструктуре без постоянного участия оператора.

Claude атакует реальный интернет
После публикации информации об инциденте Anthropic проверил 141 006 запусков собственных кибербезопасностных тестов. Компания обнаружила три случая, когда модели Claude получили доступ к интернету из неправильно настроенного тестового окружения и скомпрометировали инфраструктуру реальных организаций.

В одном случае модель нашла реальную компанию с тем же именем, что и вымышленная цель задания, извлекла учётные данные и получила доступ к базе с несколькими сотнями производственных записей. Более старая версия Claude продолжила атаку даже после появления признаков того, что система могла быть настоящей.

В другом сценарии агент провёл полноценную атаку через цепочку поставки. Он обнаружил в документации имя несуществующего Python-пакета, зарегистрировал учётную запись и опубликовал вредоносный пакет в реальном PyPI. За час пакет был запущен на 15 системах. На одной из них код похитил учётные данные, которые агент затем использовал для дальнейшего проникновения.

В третьем случае модель просканировала около девяти тысяч доступных узлов, нашла открытые отладочные данные и SQL-инъекцию и получила доступ к интернет-приложению реальной компании. Атака прекратилась только после того, как модель самостоятельно определила, что найденный облачный аккаунт не относится к учебному заданию.

Почему это произошло
Модели не пытались «сбежать» и не формировали собственную цель. Они выполняли команды capture-the-flag, но получили неверное представление об окружающей среде. В системных инструкциях говорилось, что доступ к интернету отсутствует, хотя из-за ошибки конфигурации он был открыт. Поэтому реальные серверы, домены и реестры пакетов воспринимались агентами как элементы симуляции.

Проблема оказалась не только в поведении моделей, но и в архитектуре испытательного контура:
• отсутствие жёсткой сетевой изоляции;
• недостаточный контроль исходящего трафика;
• неограниченная область поиска цели;
• отсутствие оперативного анализа действий агента;
• запуск моделей без стандартных защитных классификаторов;
• недостаточный аудит инфраструктуры внешнего подрядчика.

Новая модель угроз
Эти инциденты показывают, что сам агент становится самостоятельным источником киберриска. Даже без доступа к внутренним данным он может обнаружить выход в интернет, зарегистрировать внешние аккаунты, публиковать код, сканировать тысячи систем и строить многошаговые цепочки проникновения.

Обнаружены 84 уязвимости в ядрах мобильных сетей 4G и 5G

Исследователи из Наньянского технологического университета представили iFinder — многоагентную систему на базе больших языковых моделей, предназначенную для поиска уязвимостей в программном обеспечении операторских сетей.

Авторы изучили внутренние протоколы PFCP и GTP-C, используемые для управления сессиями и передачей трафика в ядрах мобильных сетей. Анализ семи популярных открытых реализаций позволил обнаружить 84 ранее неизвестные уязвимости. Разработчики подтвердили 83 из них, а 81 проблема уже получила идентификатор CVE.

Основной причиной ошибок исследователи называют неявное доверие между компонентами сети. Исторически внутренние интерфейсы операторской инфраструктуры считались изолированными, поэтому разработчики нередко пропускали проверку структуры сообщений, логических ограничений и доступности ресурсов. После переноса сетевых функций в облачную среду такие интерфейсы могут оказаться доступны злоумышленникам.

iFinder состоит из нескольких агентов. Первый ищет потенциально опасные участки кода, второй сопоставляет их со спецификациями 3GPP и отсеивает ложные срабатывания, а третий автоматически создаёт и дорабатывает Proof-of-Concept для проверки найденной уязвимости на тестовом стенде.

Такой подход повысил точность обнаружения уязвимостей с 28,2 процента у базового варианта до 75 процентов. Система смогла создать рабочие PoC для 19 из 22 известных тестовых уязвимостей, тогда как обычный запрос к языковой модели справился только с восемью.

Наиболее опасная обнаруженная ошибка позволяет перехватывать пользовательские сессии. Атакующий может внедрить поддельное правило маршрутизации в UPF, после чего исходящий трафик абонента направляется не в интернет, а на узел злоумышленника. Исследователи подтвердили эту атаку на двух коммерческих ядрах 5G.

CVE-2026-42533: переполнение буфера при обработке "map" и регулярных выражений

В NGINX Open Source и NGINX Plus устранена уязвимость типа heap-based buffer overflow — CWE-122. Ошибка находится в механизме вычисления complex values, используемом директивой map при сопоставлении по регулярному выражению. CVSS v4.0 — 9.2 Critical, CVSS v3.1 — 8.1 High.

Уязвимая конфигурация возникает, когда:

• map выполняет regex-сопоставление;
• строковое выражение обращается к capture-переменным регулярного выражения до обращения к выходной переменной map;
• либо в выражении используется non-cacheable переменная, длина которой может измениться во время обработки запроса.

NGINX script engine обрабатывает такие выражения в несколько проходов: сначала вычисляет размер результирующего буфера, затем копирует значения переменных. Regex-сопоставление или повторное вычисление переменной может изменить состояние capture-групп между этими операциями. В результате размер, рассчитанный на первом проходе, оказывается меньше объёма данных, записываемого на втором, что приводит к записи за границы heap-буфера. Исправление добавляет указатель конца буфера e->end и проверку ngx_http_script_check_length() перед операциями копирования.

Эксплуатация выполняется удалённо без аутентификации с помощью специально сформированного HTTP-запроса, однако требует наличия подходящей конфигурации NGINX. Переполнение происходит в worker-процессе и может вызвать его аварийное завершение и перезапуск, создавая отказ в обслуживании. Выполнение произвольного кода возможно на системах с отключённым ASLR либо при наличии способа обхода ASLR. Уязвимость относится к data plane и не предоставляет прямого доступа к control plane.

Затронутые версии:

• NGINX Open Source: 0.9.6–1.31.2;
• NGINX Plus: R33–R36, а также 37.0.0.1–37.0.2.1.

Исправленные версии:

• NGINX stable: 1.30.4;
• NGINX mainline: 1.31.3;
• NGINX Plus R36: R36 P7;
• NGINX Plus R37: 37.0.3.1.

Основная мера устранения — обновление до исправленной версии. Для временного снижения риска F5 рекомендует исключить безымянные capture-группы, использовать уникальные именованные capture-переменные только внутри блока с соответствующим regex-сопоставлением и не переиспользовать одинаковые именованные capture-переменные в разных директивах. Конфигурацию следует проверять по полному выводу "nginx -T", включая подключаемые файлы и автоматически сгенерированные конфигурации.

CCS2-разъём электромобиля как точка входа в сеть зарядной станции

Исследователи SaiFlow обнаружили уязвимость в зарядных станциях XCharge C6: подключённое к CCS2 устройство может получить доступ к административным сервисам станции через канал Power Line Communication.

При подключении автомобиля зарядная станция формирует IPv6-соединение поверх HomePlug Green PHY. Этот канал используется протоколами V2G, включая ISO 15118 и DIN 70121. Однако на исследованном устройстве через PLC-интерфейсы qca0 и qca1 были доступны не только V2G-сервисы, но также:

• SSH/Dropbear на TCP/22;
• Telnet/BusyBox на TCP/23;
• учётная запись root с паролем root;
• вход без rate limiting и блокировки после неудачных попыток.

Административные сервисы привязаны к 0.0.0.0 или [::], то есть принимают соединения на всех интерфейсах, включая доступные со стороны CCS2. В результате зарядный разъём фактически работает как незащищённый сетевой порт.

Для эксплуатации не требуется полноценный электромобиль. Достаточно контроллера Control Pilot, PLC-модема с поддержкой HomePlug Green PHY и одноплатного компьютера. По оценке исследователей, комплект оборудования может стоить около $130.

Получив root-доступ, атакующий потенциально может:

• изменить параметры зарядки и учёта энергии;
• извлечь сертификат SECC для атак на Plug & Charge;
• закрепиться в системе через init-скрипты или cron;
• вывести зарядную станцию из строя;
• воздействовать на механизмы охлаждения и ограничения мощности;
• использовать станцию как точку входа в инфраструктуру оператора через VPN или Private APN.

Проблема не ограничивается слабым паролем. Даже после его замены SSH и Telnet останутся доступны через недоверенный физический интерфейс. Новая уязвимость в этих сервисах может сформировать уже безаутентификационный сценарий компрометации.

431 CVE в Linux опубликована 19 июля. Много? Много. ИИ инструментарий, фаззеры, линтеры, SAST и DAST анализ переживают золотое время, что сказывается на количестве находок.

https://lists.openwall.net/linux-cve-announce/2026/07/19/

wp2shell-уязвимость

Две RCE уязвимости обнаружены в WordPress. Они не требуют авторизации и работают без установленных плагинов, даже на стоковых версиях

Уязвимы:
— 6.9.0 - 6.9.4
— 7.0.0 - 7.0.1

Более того, уязвимости позволяют добиться RCE:
a) если есть file_priv и secure_file_priv points на директорию с wp, можно записать произвольный php-файл на fs
b) сбрутить хэш админа и залить шелл из админки

Фикс 7.0.2 выпустили только вчера, поэтому в интернете находится много уязвимых инстансов, которые не успели обновить.

Здесь можно проверить, уязвим ли ваш сайт.

Context bombs: защита инфраструктуры от автономных AI-агентов

Tracebit описали технику context bomb — размещение специальных текстовых payload’ов внутри облачных ресурсов, которые с высокой вероятностью будут прочитаны атакующим AI-агентом.

Механизм основан на том, что автономный агент передаёт содержимое найденных секретов, конфигураций и метаданных в контекст языковой модели. Если внутри ресурса находится текст, активирующий safety-механизмы модели, она может отказаться выполнять дальнейшие действия. Раньше такой детект реализовывался с помощью Canary tokens/honeypot или решений класса Distributed Deception Platform/Threat Deception Platform.

Типовой сценарий:

Агент получает доступ к AWS-аккаунту.
Перебирает IAM-роли, Secrets Manager, Parameter Store и другие ресурсы.
Находит подставной секрет.
Содержимое секрета попадает в контекст модели.
Модель блокирует дальнейшее выполнение задачи.
Чтение ресурса одновременно используется как сигнал компрометации.

Сontext bomb объединяет две функции:

• detection — фиксирует доступ к приманке;
• disruption — пытается остановить или нарушить работу атакующего агента.

В эксперименте Tracebit использовался симулированный AWS-аккаунт примерно с 300 ресурсами и 10 возможными attack path. Всего авторы провели 152 запуска на пяти моделях.

По их данным, добавление одного подставного секрета с context bomb снизило:

• получение административных прав — с 57% до 5%;
• полную компрометацию с persistence — с 36% до 1%;
• успешное прохождение хотя бы одного attack path — с 91% до 15%.

Для наиболее эффективного агента вероятность получения admin-доступа снизилась с 93% до 0%.

При этом эффективность payload зависит от конкретной модели и её safety-настроек. Разные семейства моделей реагировали на разные категории контента. Поэтому универсального payload, работающего одинаково против всех агентов, нет.

Ограничения подхода:

• агент может предварительно фильтровать содержимое ресурсов;
• злоумышленник может использовать модель без стандартных safety-ограничений;
• payload можно обнаружить по сигнатурам;
• модель или агентный фреймворк могут быть настроены на игнорирование данных из недоверенных источников;
• некорректно размещённая context bomb может повлиять на легитимные AI-системы;
• результаты пока основаны на экспериментальной среде и требуют независимого воспроизведения.

Практически context bombs можно рассматривать как развитие honeytokens для среды, где атакующий использует LLM-агентов. Защита воздействует не только на инфраструктурный уровень, но и на контекст, который модель использует для планирования следующих действий.

Выпуск Patch Tuesday стал крупнейшим за всю историю ежемесячных обновлений Microsoft. Среди исправленных проблем 59 получили статус критических.

Больше всего обнаружили уязвимостей, позволяющих повысить привилегии, – таких оказалось 254. Еще 145 могли привести к удаленному выполнению кода; 102 раскрывали конфиденциальные данные; 35 вызывали отказ в обслуживании; 17 позволяли обходить защитные механизмы; 16 открывали возможности для подмены данных.

В статистику не вошли исправления для отдельных облачных сервисов Microsoft и браузера Edge, выпущенные ранее в июле.

В этом месяце в рамках обновления Patch Tuesday исправлены три уязвимости нулевого дня, две из которых использовались в атаках, а одна была публично раскрыта:

CVE-2026-56155 — Уязвимость повышения привилегий в службах федерации Active Directory.
CVE-2026-56164 — Уязвимость повышения привилегий в Microsoft SharePoint Server.

Публично обнародованная уязвимость нулевого дня, которая была исправлена:
CVE-2026-50661 — Уязвимость, позволяющая обойти функцию безопасности BitLocker в Windows.

AI-система для поиска уязвимостей в коде

Cloudflare опубликовала большой разбор Build your own vulnerability harness — о том, как использовать ИИ не как «магического пентестера», а как часть инженерного конвейера для поиска, проверки и исправления уязвимостей.

Главная идея: одиночного AI-агента недостаточно. Он быстро упирается в контекст, теряет состояние, может галлюцинировать и генерировать сомнительные находки. Поэтому Cloudflare предлагает строить vulnerability harness — оркестратор, где модели являются взаимозаменяемыми компонентами, а не центром всей системы.

Как это устроено:

• Recon — агенты изучают архитектуру и строят threat model
• Hunt — отдельные агенты ищут баги по классам атак
• Validate — независимая проверка пытается опровергнуть находку
• Dedup — дубликаты схлопываются по корневой причине
• Trace — система ищет влияние уязвимости между репозиториями
• Fixing — готовятся тесты и патчи, но финальное решение остается за человеком

Важный момент: Cloudflare специально разделяет поиск и валидацию между разными моделями. Это снижает риск ситуации, когда модель сама придумала проблему и сама же ее «подтвердила».

По данным компании, через их pipeline прошло 20 799 первичных кандидатов, из которых после проверок осталось 7 245 actionable findings для инженерных команд.

Вывод простой: будущее AI в AppSec — не в одном «умном» агенте, а в управляемой системе с состоянием, проверками, дедупликацией, PoC, тестами и human-in-the-loop.

ИИ может ускорить поиск багов. Но доверять можно только тем находкам, которые прошли жесткую инженерную валидацию.

Очередная мошенническая схема telegram > Max.

Пишут в тг, после чего через якобы бот в Максе приходит код, который вы должны сообщить и начинается развод, якобы Ваши Госуслуги взломаны и указаны номера телефонов (мошенников).

Добрый день, так как телеграмм работает с перебоями, чат дома по адресу: г Москва, ХХХХХХ, ХХХХХХ переносится в МАХ, Вас добавлять?

Хорошо, тогда придет номер приглашение от МАХ-бота в домовой чат, как поступит отправьте сюда, добавлю. Заранее спасибо

UPD: аккаунты мошенников заблокированы, включая номера 495/800.