Кибербезопасность
По данным последних исследований IT, каждые четыре секунды в компьютерную сеть компании попадает вредоносная программа и каждые 32 минуты за пределы организации уходит ценная информация. Утерянные данные могут стать источником манипуляций, поэтому так важно выстроить максимально эффективную защиту. Обеспечить информационную безопасность можно сотнями способов, сочетая разные продукты – антивирусы, межсетевые экраны, SSL-сертификаты, разграничение правд доступа, системы защиты от DDoS-атак. Важнейшей стороной информационной безопасности становится определение угроз, а это невозможно без определения объектов защиты. Только поняв, что и от чего мы защищаем, можно выстроить грамотную оборону. Сейчас актуален переход к облачным решениям, которые дают возможность быстро развёртывать системы безопасности, отдавая их управление поставщикам облачных сервисов. В этом разделе собраны актуальные материалы об информационной безопасности от построения информационной защиты до её оптимизации.
Статья CVE-2026-43633: десериализация в HestiaCP — unauthenticated RCE через PHP/Node.js session mismatch
CVE-2026-43633 (CVSS 9.5, CWE-502): два curl-запроса — и root shell на HestiaCP 1.9.3 без единого пароля. PHP пишет X-Forwarded-For в сессионный файл, Node.js парсит его наивным split() — session mismatch даёт unauthenticated RCE на 20 000+ активных инстансов.PHP записывает user_combined_ip с length-prefixed сериализацией — вложенные разделители внутри значения безопасны. Node.js читает тот же sess_-файл через split('user|s:') и split('"'), не зная о границах PHP-формата. Заголовок X-Forwarded-For: user|s:4:"root" — и терминал стартует от root.
Сессия создаётся при GET /login/ без авторизации — Node.js проверяет лишь существование файла.
Ни PHP, ни Node.js по отдельности не уязвимы — дыра живёт исключительно на стыке двух парсеров одного файла.Статья CVE-2026-41070: обход аутентификации OpenVPN — как OIDC-плагин пропускает клиентов без SSO
CVE-2026-41070 (CVSS 10.0, CWE-287): openvpn-auth-oauth2 в experimental plugin mode пропускал клиентов без OIDC SSO — одна строка Go возвращала FUNC_SUCCESS при deny, и OpenVPN открывал туннель за три минуты без единого credential.На аудите финтеха стандартный openvpn CLI из Kali — без токена, без WebAuth, без IV_SSO=webauth — получил полные маршруты во внутреннюю сеть. Root cause в handle.go: ветка ClientAuthDeny писала "0" в auth_control_file, но возвращала OpenVPNPluginFuncSuccess. OpenVPN трактует status=0 как «аутентификация пройдена» и игнорирует файл — это задокументированное поведение. Патч коммита 36f69a6 заменил один return.
SOC видит живой VPN-туннель — IdP молчит. Атака проходит без единой записи в журнале аутентификации.Статья APT-группировки 2025-2026: полная карта кампаний, эволюция TTP и практический threat intelligence
Каждая третья российская инфраструктура уже содержит APT. Вопрос не «если», а «как долго они внутри».Медианное время обнаружения атакующего — 11 дней, и то лишь в компаниях с выстроенным мониторингом. Без внутреннего SOC счёт идёт на месяцы, иногда на годы. Кто-то прямо сейчас сидит в сети и собирает данные.
Эта hub-статья — полная карта направления APT: 27 прогосударственных группировок, атакующих Россию и СНГ в 2025 году, глобальный ландшафт кибершпионажа (Китай, Иран, КНДР, Россия-атрибутированные группы), 5 трендов эволюции TTP — от облачных C2 и AI-социнженерии до fileless-исполнения и атак на Signal. Плюс полный kill chain APT-кампании по MITRE ATT&CK, threat intelligence для Red Team и SOC, готовые Sigma-правила и чеклист threat hunting.
Практическая карта для SOC-аналитиков, threat hunter'ов и Red Team: против APT работают не IOC-фиды, а еженедельные hunt-гипотезы и детект по поведению, а не по хэшу.Статья CVE-2026-44643: Angular Expressions sandbox escape — RCE через вредоносные фильтры
CVE-2026-44643 — четвёртый RCE за пять лет в angular-expressions: sandbox escape через фильтровый путь парсера даёт доступ к process.env с credentials от PostgreSQL и S3 прямо из Word-шаблона.Уязвимость (CWE-95, Eval Injection) эксплуатирует разницу в обработке оператора | внутри парсера. Фильтровый путь не блокирует цепочку constructor.constructor — атакующий вызывает Function('return process')() и выходит из sandbox. Вектор входа — docxtemplater: пользователь загружает .docx-шаблон с вредоносным выражением, сервер компилирует его без санитизации.
Патч — обновление до angular-expressions@1.5.2. Найти уязвимую версию: grep -r "angular-expressions" package-lock.json.
Транзитивная зависимость через docxtemplater — npm audit молчит, если прямой пакет не помечен.Статья Новые APT-группы Россия 2025: Silent Lynx, Mythic Likho, SkyCloak — TTPs и detection
Silent Lynx, Mythic Likho и SkyCloak — три новых APT-кластера 2026 года бьют по российскому госсектору: LNK-дроппер, base64 PowerShell, GitHub dead drop (аккаунт GoBuster777) и .NET-имплант SilentSweeper по HTTPS за считанные минуты.Silent Lynx атакует дипломатов через RAR-приманки с двойным расширением .pdf.rar — темы подобраны под реальные саммиты. LNK запускает powershell.exe с base64-пейлоадом, стейджер тянет LAPLAS Implant или SilentSweeper с публичного GitHub. MITRE: T1566.001 → T1059.001 → T1102.001 → T1071.001.
Для детекта: корреляция powershell.exe + base64 + raw.githubusercontent.com в одном процессном дереве.
Группа допускает OPSEC-ошибки — грамматика в именах файлов и повторная инфраструктура детектируются hunting-правилами.Статья CTEM vs реактивный патчинг: от CVE-гонки к непрерывному управлению поверхностью атаки
IBM X-Force 2025: среднее время устранения CVE — 29 месяцев. CrowdStrike фиксирует lateral movement за 51 секунду. CVSS-сортировка 40 000 тикетов этот разрыв не закроет — физически не успеет.Реактивный VM-процесс ломается в трёх точках: CVSS измеряет severity, а не risk; 75% вторжений идут через валидные credentials без единого CVE-идентификатора; скоуп сканера покрывает лишь 17% реальных активов — теневые облака и orphaned DNS остаются за кадром.
CTEM переформулирует задачу: не «закрыть N тикетов», а «сократить validated attack paths к критичным бизнес-активам».
SOC закрывает critical CVE — атакующий заходит через OAuth-токен без CVE-идентификатора вообще.