xaker
Уязвимость в Ghost CMS привела к взлому 700 сайтов и распространению ClickFix-атак

Злоумышленники эксплуатируют критическую уязвимость в Ghost CMS для заражения сайтов вредоносными JavaScript-загрузчиками и последующих атак типа ClickFix. Исследователи из QiAnXin XLab предупреждают, что компрометация уже затронула более 700 сайтов, включая университетские порталы, медиа, SaaS-компании, финтех-сервисы и ИБ-ресурсы.

  • четверг, 28 мая 2026 г. в 00:00:14
xaker
Крипта с нуля. Выясняем, как работает майнинг

Для подписчиковВ этой статье мы разберем, как именно блокчейн приходит к консенсусу, что такое proof of work и есть ли у него альтернативы. Выясним, зачем вообще нужен майнинг, почему сложность добычи блоков постоянно меняется и по какой причине атака 51% — это не путь к легким деньгам, а скорее очень дорогой способ устроить себе финансовую катастрофу.

  • четверг, 28 мая 2026 г. в 00:00:13
xaker
Microsoft устранила RCE-уязвимость в SharePoint

Инженеры Microsoft выпустили внеплановые патчи для RCE-уязвимости в SharePoint Server (CVE-2026-45659). Проблема получила 8,8 балла по шкале CVSS и затрагивает SharePoint Server Subscription Edition, SharePoint Server 2019 и SharePoint Enterprise Server 2016. Для ее эксплуатации достаточно учетной записи с минимальными правами.

  • четверг, 28 мая 2026 г. в 00:00:11
xaker
С 1 июня годовая подписка на «Хакер» подорожает

Мы не меняли стоимость подписки несколько лет и старались держать цену, несмотря на происходящее вокруг: рост расходов, инфляцию, подорожание сервисов и инфраструктуры. К сожалению, дальше оставлять все как есть стало невозможно. Сейчас годовая подписка на «Хакер» стоит 4500 рублей, но с начала июня цена вырастет до 5000 рублей. Поэтому предупреждаем заранее: если ты собирался оформить подписку или продлить текущую — сейчас самое время сделать это по старой цене.

  • четверг, 28 мая 2026 г. в 00:00:11
golang
Когда Reality не хватает: добавляем Hysteria2 + Salamander в iOS-мессенджер, и как всегда грабли по…

Эту статью я готовил с прошлой недели, и пока готовил, ТСПУ выкатил новые правила фильтрации, целящиеся именно в Reality-handshake, о котором тут речь. То есть статья стала актуальнее, чем когда я её начинал.В прошлой статье я рассказывал, как мы встроили VLESS + Reality прямо в наше iOS-приложение через sing-box, чтобы обход блокировок был не задачей пользователя, а деталью реализации. Если коротко: TLS-рукопожатие проксируется на посторонний крупный сайт, активный пробинг упирается в этот сай…

  • четверг, 28 мая 2026 г. в 00:00:09
golang
Слишком много открытых файлов: лимит Linux, который валит прод в 3 часа ночи

Ваш сервис спокойно живёт неделями: графики ровные, алерты молчат, релизы проходят без сюрпризов. А потом в три часа ночи под нагрузкой всё начинает разваливаться с ошибкой: too many open filesНа Go это может выглядеть так:http: Accept error: accept tcp 0.0.0.0:8080: accept4: too many open files; retrying in 5msНа Java — так:java.io.IOException: Too many open files       at sun.nio.ch.FileDispatcherImpl.init0(Native Method)На Python — так:OSError: [Errno 24] Too many open filesНазвания разные, …

  • четверг, 28 мая 2026 г. в 00:00:07
golang
io_uring без розовых очков: 5 граблей, которые сожгли мне неделю, и где он реально быстрее epoll

Прод. Сервис на Go, 80k RPS, p99 latency 12 мс. Читаю Phoronix, новость: "io_uring быстрее epoll в 2-4 раза". Решаю переписать сетевую часть. Через неделю - откат в master. p99 не упал, а вырос до 18 мс, CPU подскочил на 15%, под нагрузкой иногда залипает на 200-400 мс. Эта статья - не про "io_uring - будущее async I/O", а про то, что в этом будущем реально работает в 2026 году, что нет, и где меня обманули бенчмарки.TL;DR как естьio_uring не убил epoll и не убьёт. Для классичес…

  • четверг, 28 мая 2026 г. в 00:00:07
javascript
Архитектура безопасности во frontend-приложениях: Server Actions и защита данных в эпоху Next.js

Новая парадигма требует новых подходовМир frontend-разработки за последние несколько лет изменился коренным образом. Если еще пять лет назад стандартом де-факто были одностраничные приложения (SPA), где вся логика выполнялась в браузере, а сервер был просто REST API, то сегодня мы наблюдаем массовый переход к гибридным архитектурам. Next.js с его Server Components и Server Actions стал не просто популярным фреймворком, а промышленным стандартом для enterprise-приложений.Этот переход принес с со…

  • четверг, 28 мая 2026 г. в 00:00:05
javascript
Как вредоносный код переписал мой Git-коммит и заразил десятки проектов и несколько рабочих машин

Эта история началась с обычного git push.Я работал над проектом, не буду называть его, потому что статья не про конкретную компанию или проект и не про поиск виноватых. Она про то, как вредоносное ПО может попасть в привычный рабочий процесс разработчика, замаскироваться под нормальные Git-изменения и постепенно заражать другие проекты и машины.Я хочу рассказать это на реальном примере, потому что такие истории обычно кажутся чем-то далеким: «ну это где-то в крупных компаниях», «ну это у тех, к…

  • четверг, 28 мая 2026 г. в 00:00:04