Разработчики GitLab выпустили патчи для очередной критической проблемы. Уязвимость получила идентификатор CVE-2026-110264 и максимальную оценку 10,0 балла по шкале CVSS. Баг позволяет удаленно выполнить произвольный код на сервере без аутентификации и затрагивает все self-managed версии GitLab начиная с версии 7.0, вышедшей в 2014 году.
Эксперты «Лаборатории Касперского» обнаружили новый UEFI-буткит BlackX, который использовался в атаках на дипломатические ведомства Таджикистана, Узбекистана и Туркменистана. Вредонос обходит защиту Secure Boot при помощи старой уязвимости Baton Drop, причем атака работает даже на полностью пропатченных системах под управлением Windows.
Специалисты Microsoft и PHP выпустили внеплановые обновления для исправления критической уязвимости CVE-2026-111497, недавно обнаруженной в декодере Brotli. Эту уязвимость уже успели окрестить Node2Shell, HTTPS2Shell, Broccoli2Shell и даже Brotlipocalypse, и ранее патчи уже вышли для Node.js, Bun, Python-пакетов, Envoy и Istio. Однако список ПО, затронутого этой проблемой, продолжает расти.
Специалисты компании F6 обнаружили новую кампанию по распространению Android-трояна ZloyRAT. Его дропперы выдают за бесплатный государственный VPN-сервис, радар для отслеживания БПЛА и приложение для автомобилистов, которое якобы показывает экипажи ДПС, камеры и наличие топлива на АЗС.
Исследователи из нидерландской компании Eye Security воспользовались уязвимым механизмом обновления в заброшенном форке Popcorn Time — Time4Popcorn — и удаленно отключили его более чем на 2 млн компьютеров. Специалисты объясняют, что в противном случае этот механизм могли бы использовать злоумышленники, превратив миллионы систем в ботнет.
Разработчики Node.js выпустили обновления для всех поддерживаемых веток (22.x, 24.x и 26.x), в которых устранили десять уязвимостей. Самая серьезная из этих проблем затрагивает встроенный декодер Brotli и, по оценке специалистов, может привести к удаленному выполнению кода. Эта уязвимость в Brotli уже получила названия Node2Shell, HTTPS2Shell и Brocolli2Shell и опасна не только для Node.js, но также для Bun, Python-пакетов, Envoy, Istio и другого ПО.
Представители LiteLLM сообщили, что проект пострадал от атаки на цепочку поставок: на прошлой неделе злоумышленники скомпрометировали инфраструктуру выпуска релизов и распространили вредоносную версию 1.107.0 в PyPI, Docker Hub и GHCR. Модифицированный пакет содержал инфостилер и бэкдор, которые похищали учетные данные жертв, а также позволяли удаленно выполнять код.
Организаторы SOC Forum 2026 опубликовали полную программу мероприятия, которое пройдет 27–28 октября 2026 года в московском кластере «Ломоносов». Главной темой в этом году станет искусственный интеллект — его применение в бизнесе, атаках и киберзащите. Первый день форума будет посвящен бизнесу и регулированию, а второй — технологиям и практике кибербезопасности.
Индийский удостоверяющий центр eMudhra решил полностью отказаться от своего бизнеса по выпуску SSL/TLS-сертификатов. Это решение было принято через несколько дней после скандала с критически слабыми приватными ключами компании, один из которых оказался обычным числом четыре.