По данным Anchore, число атак на цепочки поставок ПО выросло на 540% за 2019-2022 и удвоилось ещё раз к 2024-му. При этом, согласно Cycode, от 70 до 90%...
За последний год я провёл больше тридцати threat modeling сессий с продуктовыми командами - от финтех-стартапов до enterprise-платформ. Каждая третья сессия...
Управление информационной безопасностью для начинающих: с чего начать Управление ИБ строится на фундаменте технических и организационных навыков - без них...
242 миллиона рублей - столько суммарно выплатила исследователям платформа Standoff Bug Bounty за три года (данные Positive Technologies, май 2025). Активных...
На Bugcrowd хантер с более чем 130 репортами уровня P1 получил выплаты за три дубликата - не потому что нашёл уязвимость первым, а потому что качество его...
На пентесте инфраструктуры финансовой компании я наткнулся на StorageZones Controller, торчащий наружу без патча с июня 2023 года - CVSS 9.8, RCE без...
На корпоративном аудите для финтех-компании мне нужно было собрать полный OSINT-профиль за два часа: поддомены, email-адреса сотрудников, связи...
В публичный доступ попала вторая утечка BreachForums - SQL-дамп на 323 988 записей (Bleeping Computer оценивает общее число затронутых аккаунтов в ~339...
После разбора CVE-2021-22204 (argument injection в ExifTool через метаданные изображений) я проверяю каждый конвертер файлов, который встречаю на пентесте...
Файл на 50 КБ в формате AVI, загруженный в медиатеку Jellyfin 10.11.9, запускает reverse shell от имени сервисного пользователя. Без аутентификации. Без...
13 мая 2026 года исследователь под псевдонимом Nightmare-Eclipse выложил на GitHub рабочий эксплойт MiniPlasma. Штука поднимает обычного пользователя до NT...
Два года я администрировал Windows-инфраструктуру на 800 хостов: GPO, WSUS, Exchange, файловые шары с квотами. В один из дежурных вечеров Event Viewer...
За последнее десятилетие в контейнерных рантаймах и тулкитах накопилось порядка 27 CVE, связанных с path traversal (цифра из исследования Bulkhead...
В системе есть подмножество защищённых файлов, которые нельзя скопировать для анализа с рабочей машины. Они открываются\создаются функцией ядра...
Четыре критических LPE за две недели мая 2026-го. Все - в page cache ядра Linux. Все - без race condition, без kernel panic, с вероятностью успеха близкой к...
В августе 2025 года ФБР через IC3 выкатило предупреждение: кибероперативы российской ФСБ из подразделения Center 16 стянули конфигурационные файлы с тысяч...
CVSS 6.5 MEDIUM, перцентиль EPSS 0.41 - ниже медианы, эксплуатации в дикой природе не зафиксировано. На бумаге CVE-2026-23863 выглядит рядовой уязвимостью...
На физическом пентесте корпоративный ThinkPad с BitLocker и TPM 2.0 лежал в переговорной - сотрудник ушёл на обед, ноутбук в sleep mode. Баллончик с...
Тринадцать CVE с оценкой от 9.0 до 10.0 за первую половину 2026 года - в одной библиотеке, которую мейнтейнер пометил deprecated ещё в 2023-м. По данным The...
Динамический анализ 44 273 WeChat и 2 721 Baidu Mini-Programs выявил 1 834 случая кривой реализации OAuth-подобной авторизации - 619 приложений содержали...
Март 2026 года. Разработчик гуглит "install Gemini CLI", кликает первый результат, копирует PowerShell-команду из "инструкции" на geminicli[.]co[.]com...
Материал предназначен только для обучения и легальной проверки собственных систем: учебных виртуальных машин, CTF-лабораторий, тестовых стендов и...
Семь критических CVE в одном пакете - Cisco Talos опубликовали их 4 мая 2026 года, и все затрагивают камеры распознавания номеров GeoVision LPC2011/LPC2211...
На стенде с Traefik v3.6.12 за Nginx-прокси один запрос с заголовком X-Forwarded-Prefix: / заставил ForwardAuth middleware вернуть 200 вместо 401 - доступ к...
На одном из проектов по оценке защищённости для логистической компании с 1200 сотрудниками мы запустили фишинговую кампанию через GoPhish - письмо от имени...
На Habr Career для ИБ-архитекторов указан диапазон 297 000 - 465 000 рублей в месяц, на hh.ru открыто более 230 профильных вакансий только по Москве...
Координированная модуляция нагрузки 1 000 GPU в локальной энергосети мощностью 1 МВт с 90% DER - и total harmonic distortion тока улетает до 46.8%, а...
11 мая 2026 года кто-то за несколько минут прогнал через легитимный CI/CD-пайплайн TanStack десятки вредоносных версий npm-пакетов - каждая с валидной...
Claroty Team82 выложила разбор двух CVE в EnOcean SmartServer IoT - шлюзе, через который крутятся HVAC, освещение, СКУД и электроснабжение в бизнес-центрах...
Три года назад я впервые проводил техническое интервью на позицию junior-пентестера. Из двадцати кандидатов ни один не смог объяснить, как работает TCP...
