Форум информационной безопасности - Codeby.net
Статья CVE-2026-34621 Adobe Acrobat Reader: kill chain zero-day, IOC и detection playbook
CVE-2026-34621 эксплуатировалась в энергетике пять месяцев до патча: ноль байт memory corruption, чистый prototype pollution через Object.prototype.__defineGetter__(), sandbox escape Acrobat — DEP, ASLR и CFG мимо. CVSS 8.6, CISA KEV, EPSS-перцентиль 93%.Kill chain ITW-сэмпла (SHA-256: 54077a5b…): JSFuck-обфускация в Object 11, задержка 500 мс для sandbox evasion, app.beginPriv() + чтение ntdll.dll для fingerprinting ОС. C2 — через штатный RSS-механизм Acrobat, User-Agent идентичен легитимному Adobe Synchronizer. Payload зашифрован AES-CTR, ключи в переменных deer/reindeer.
Sandbox вернул пустышку — C2 фильтровал аналитику на серверной стороне. Кейс закрыт как FP.Статья AI пентест: как LLM и автономные сканеры меняют поиск уязвимостей в 2026 году
LLM-агент прогнал полный пентест Active Directory — пять хостов, четыре скомпрометированы, lateral movement пройден — за $28.50 в API-вызовах. Ручной скоуп того же масштаба стоит заказчику $15 000–$50 000.Pentest-AI (ptai) оркестрирует nmap, sqlmap, ffuf, BloodHound и Impacket через Model Context Protocol: LLM планирует kill chain, детерминированные пробы исполняют. XBOW доказал автономную эксплуатацию на реальных HackerOne bug bounty. Subwiz — fine-tuned модель subdomain enumeration — бьёт классические wordlist-подходы по покрытию.
GPT-4 показывает 87% успешной эксплуатации CVE в лабе — и лишь 13% в продакшне (CVE-Bench 2025).
Ежегодный пентест — статистическая формальность: AI-сканер атакует каждое exposed-приложение непрерывно.Статья Как ИБ-стратегия компании превращается в фикцию: разбор типичных провалов и как их находить на пентесте
BloodHound за 2 часа нашёл то, что 120-страничная ИБ-стратегия и ISO 27001 скрывали три года: svc_backup — Domain Admin, пароль Summer2021!, 1100 дней без ротации. SOC из пяти аналитиков не поднял ни одного алерта.Assumed breach, grey box, выданы credentials рядового пользователя. Граф AD — T1078 Valid Accounts плюс T1552 Unsecured Credentials — и никакого эксплойта. Параллельно: nmap -sV по внутренним подсетям (T1046), дамп LSASS через rundll32/comsvcs.dll (T1003.001 + T1218.011) — тишина. SIEM активен, логи идут, дашборды горят. Из 200+ правил корреляции работают 12, половина заглушена из-за alert fatigue.
Compliance закрывает аудитора, пентест — реальный kill chain. Это разные процессы.Статья Bad Epoll (CVE-2026-46242): разбор Linux LPE уязвимости — от патча ядра до эксплуатации
CVE-2026-46242 (Bad Epoll): use-after-free в fs/eventpoll.c даёт root с надёжностью 99/100 — и работает из Chrome renderer sandbox, минуя большинство kernel-защит.Jaeyoung Chung из Seoul National University вскрыл race condition шириной в шесть инструкций в epoll-подсистеме Linux 6.4+. Два потока конкурентно закрывают связанные epoll-дескрипторы — Thread A очищает f_ep под f_lock, Thread B видит NULL, пропускает eventpoll_release_file() и вызывает file_free(). Thread A продолжает hlist_del_rcu() по уже освобождённому kmalloc-192. CVSS 7.8, CWE-416, MITRE T1068.
SOC не увидит LPE в логах — epoll-гонка не генерирует syscall-аномалий, только kernel crash или тихий root.Статья Атаки на agentic AI пайплайны: как публичный GitHub issue захватывает workflow организации
Публичный GitHub issue захватывает CI/CD за секунды: LangChain-агент с repo-scope токеном сам закоммитил вредоносный код в main — branch protection не сработал, SAST молчал, мейнтейнер ничего не нажимал.Indirect prompt injection через тело issue передаёт инструкции агенту — Copilot, Gemini CLI, Claude Code — напрямую в промпт через `${{ github.event.issue.body }}`. MITRE T1552.001: агент вытягивает GITHUB_TOKEN и secrets из runner environment, публикует в заголовке issue. От создания issue до утечки — секунды.
SAST не видит prompt injection — модель получает attacker-controlled текст как данные, а не код.Статья OAuth уязвимости WeChat Mini-Programs: три вектора захвата аккаунта через мисконфигурацию OBA
MiniCAT вскрыл 1 834 мисконфигурации OBA в WeChat Mini-Programs: три вектора account takeover — Client-Side Identity Forgery, session_key утечка и openid-подстановка — подтверждены на 619 приложениях, включая медицинские сервисы с утечкой национальных ID.Проприетарный протокол WeChat OBA — не RFC 6749. Здесь нет redirect_uri, state или PKCE. Фронтенд вызывает wx.login(), получает одноразовый code, бэкенд обменивает его на openid и session_key через code2Session. Уязвимость — когда бэкенд сливает openid прямо в HTTP-ответ фронтенду, и атакующий через Burp Suite подставляет openid жертвы.
Стандартный OAuth-чеклист здесь бесполезен — attack surface смещена на бэкенд разработчика, а не Authorization Server.