Разборы

Forrester оценивает расходы крупных организаций на инфраструктуру сброса паролей и поддержку пользователей в миллион+ долларов ежегодно. Опрос Enterprise...

На внешнем пентесте клиент заявил, что origin "полностью закрыт Cloudflare". Через 40 минут у меня был реальный IP - он торчал в SPF-записи, которую не...

47% - ровно столько AI-патчей полностью устранили уязвимость без регрессий. Это данные 1Password по шести high-impact CVE. Хуже подбрасывания монетки...

$4,99 млн - средняя стоимость утечки данных в мире по IBM Cost of a Data Breach Report 2026. На эту цифру ссылается текущая редакция OWASP WSTG. Атаки с...

На пентесте IAM-инфраструктуры SaaS-провайдера я потратил два часа на recon и fingerprinting стека - а account takeover занял 90 секунд. Один POST к...

Понедельник, 9:40 утра. Внутренний пентест для финансовой организации, первый час работы. Запускаю password spraying через CrackMapExec с коротким словарём...

Chess.com в 2023 году подтвердила: данные профилей утекли не через SQLi и не через компрометацию инфраструктуры. Атакующий тупо перебирал публичный...

На последнем аудите логистического центра за одну смену пришлось закрыть три задачи: найти источник помех на 433 МГц, проверить корпоративный Wi-Fi на...

В апреле 2026 года три группы одновременно представили на IEEE S&P рабочие эксплойты: Rowhammer-атака через GDDR6-память видеокарты NVIDIA даёт полноценный...

Почему доступы в CI/CD требуют отдельного контроля Что считается привилегией в пайплайне Как избыточные права превращаются в риск Разделение прав по этапам...

Понедельник, 9:15 утра. В Wazuh прилетает алерт: серия неаутентифицированных POST-запросов на /api/graphql с нестандартной директивой @gl_introduced на...

Последние два года я встраиваю сканирование публичных репозиториев в recon-фазу каждого внешнего пентеста. TruffleHog запускается раньше Nmap - и это не...

Дисклеймер: Flipper One на момент публикации не является выпущенным продуктом. Все технические характеристики, цены и сроки основаны на публикациях...

В мае 2025-го AMD выпустила бюллетень AMD-SB-8018 и подтвердила то, что многие в hardware security считали маловероятным: серии FPGA Artix 7 и Kintex 7...

За последние восемь месяцев я провёл security-ревью двенадцати репозиториев, где 60-80% кода написано через Cursor, Claude Code и GitHub Copilot. В семи из...

В январе 2026-го пользователь Reddit r/pcmasterrace описал ситуацию, которую любой SOC-аналитик назовёт "классика с плохим финалом". Парень следовал...

26 августа 2025 года postinstall-payload в npm-пакете Nx - сборочной системе с 6 миллионами установок в неделю - сделал нечто, чего раньше в supply chain...

Три года назад я писал эндпоинты на Django REST Framework и не задумывался, что request.data['user_id'] без проверки авторизации - готовая BOLA-уязвимость...

Разработчики RTF LABS STUDIO продолжают серию исследований антибот-систем. На этот раз под прицел попал Microsoft с его реализацией PerimeterX (HUMAN...

При профилировании латентности банков DDR4 на FPGA-стенде с контроллером LiteDRAM я получил разброс времени отклика одного и того же физического адреса при...

Четверг, 14:30. Пентест веб-приложения для заказчика из healthcare-сектора США. В зависимостях Spring Boot - транзитивная библиотека четвёртого уровня...

По данным BlackFog (цитируется в обзоре Vectra AI за 2024 год), 93% атак с развёртыванием ransomware включали предварительную эксфильтрацию данных -...

На пентесте Azure-инфраструктуры финтех-клиента в начале 2026 года я нашёл SSRF в кастомном API-прокси за 40 минут: параметр source_url в...

Пятнадцать коммерческих тактильных сенсоров от восьми производителей - направленная EMI-инъекция поражает каждый из них со стопроцентным результатом. Без...

На физическом пентесте офиса финтех-компании я клонировал бейдж EM-Marin через карман куртки сотрудника у турникета - Flipper Zero считал метку за 8 секунд...

При аудите зависимостей fintech-сервиса я наткнулся на пакет, мейнтейнер которого привязал npm-аккаунт к email на домене со статусом pendingDelete в whois...

CVSS 10.0, один неаутентифицированный GET-запрос, приватный EC-ключ подписи JWT прямо в теле ответа. CVE-2026-40965 в Cloud Foundry UAA - из тех багов...

Статья построена как гипотетический учебный сценарий patch diffing прошивки тормозного ECU на архитектуре S12X. За основу взяты реальные уязвимости...

В 2025 году атакующие компрометировали GitHub-репозитории через инъекцию в workflow-файлы, POST-запросами отправляя credentials на внешние эндпоинты. Ноль...

Понедельник, 9:15 утра. CloudTrail показывает 47 вызовов sts:GetCallerIdentity от IAM-ключа, который по документам принадлежит сервисному аккаунту Jenkins...