0day Alert

ИИ помог раскрыть уязвимость в RouterOS

3 сентября MikroTik выпустила сразу несколько обновлений RouterOS, назвав их важными, но не раскрыв деталей. Это сразу привлекло внимание специалистов CERT Polska, которые начали сравнивать старую и новую версии прошивки.

Анализ показал, что уязвимость CVE-2026-86060 позволяла через специально сформированное имя пользователя обходить проверку привилегий. В связке со второй уязвимостью в SSH-сервере, получившей название MikroTrick, злоумышленники могли получать административный доступ без пароля и учётных данных.

Значительную часть технической работы выполняли ИИ-агенты на моделях GPT-5.5-cyber и GPT-5.6-sol, управляя виртуальными машинами и разбирая бинарные файлы. При этом каждый результат специалисты дополнительно проверяли вручную в изолированной лаборатории, прежде чем делать окончательные выводы.

#mikrotik #routeros #уязвимость #CERT

@ZerodayAlert

Серверам управления Check Point нужен срочный патч

Уязвимость CVE-2026-93616 с оценкой 9,8 по CVSS позволяет без учётной записи и пароля запускать произвольные скрипты на сервере управления Check Point. Причина кроется в веб-службе Check Point Management, где обход ограничений каталогов сочетается с загрузкой файлов.

Под удар попали Security Management Server, Multi-Domain Server, Log Server и SmartEvent в версиях от R81.10 до R82.20. Для каждой ветки уже вышли исправления, а до их установки доступ к TCP-порту 19009 рекомендуют оставить только доверенным адресам.

Первые попытки эксплуатации компания зафиксировала 23 июля, поэтому журналы на признаки компрометации стоит проверять начиная с этой даты. 22 сентября CISA внесло уязвимость в каталог KEV и обязало федеральные ведомства США устранить её до 25 сентября.

#Checkpoint #уязвимость #обновление #kev

@ZerodayAlert

Как AI изменил пентест и что теперь делать 🤖

Агент-хакер — уже не демо на конференции. Его выводят на bug bounty, турниры и в коммерческие проекты.
24 сентября в 19:00 мск директор по продуктам Standoff 365 Иван Булавин и CEO CyberED Егор Богомолов разберут, что AI поменял в наступательной безопасности и куда расти пентестеру.

👉 Зарегистрироваться на эфир

На эфире узнаешь:
🔻 как собрать агента, который находит уязвимости;
🔻 где агенты приносят деньги;
🔻 как попасть на Standoff 2027 без отбора;
🔻 как Standoff меняет турниры под AI;
🔻 какая база нужна, чтобы дойти до AI в пентесте.

Есть вопросы и сомнения по поводу роста в наступательной безопасности? Спроси у спикеров прямо в эфире.

Участие бесплатное, по регистрации.

👉 Зарегистрироваться
👉 Узнать больше об эфире

Defender включён, а защита уже устарела. BigDiskBuster делает сбой почти невидимым

BigDiskBuster показывает неприятный сценарий для Windows. Вредонос может не трогать сам Microsoft Defender, а просто мешать ему обновляться, сохраняя привычный статус работающего антивируса. Отдельного бюллетеня Microsoft и CVE по этой технике на 22 сентября нет.

Механика почти примитивная. В момент обновления инструмент забивает системный диск скрытым файлом, ломает установку свежих компонентов и затем возвращает место обратно. Пользователь видит свободный диск и включённую защиту, хотя Defender постепенно отстаёт от актуального состояния.

Проблема не в красном значке и не в выключенном антивирусе, а в ложном ощущении нормальной работы. Чем дольше не приходят свежие базы, тем слабее защита против новых угроз. Проверять стоит не только статус Defender, но и дату сигнатур, версию движка и историю неудачных обновлений.

#Windows #Defender #BigDiskBuster #защита

@ZerodayAlert

В клиенте ИИ-агента Muse для Mac обнаружена уязвимость нулевого дня

Специалист по безопасности macOS Патрик Уордл обнаружил zero-day в Mac-клиенте ИИ-агента Muse компании Meta*. Проблема скрывается в недокументированном параметре, который задаёт адрес сервера для голосового ввода и может быть изменён любой программой пользователя.

После подмены адреса атакующий перехватывает диктовку, внедряет собственные инструкции и извлекает токен аутентификации ABRA. С этим токеном вредоносная программа действует через уже авторизованного агента и получает доступ к истории чатов, файлам и облачной виртуальной машине.

Удалённо взломать чистый Mac через эту ошибку нельзя, поскольку атакующему сначала нужен запуск кода в учётной записи жертвы. Meta* уже выпустила экстренное исправление, поэтому пользователям стоит обновить приложение и проверить выданные ему разрешения.

#ИИ #Muse #macos #Meta

@ZerodayAlert

* Компания Meta и её продукты признаны экстремистскими, их деятельность запрещена на территории РФ.

Для цепочки Click2Shell в WordPress опубликован рабочий PoC

Цепочка Click2Shell начинается с CSRF и внедрения в jQuery-селектор на странице установки тем WordPress. Подготовленная строка заставляет штатный JavaScript нажать настоящую кнопку установки от имени авторизованного администратора.

Установленная тема остаётся неактивной, но Customizer при предварительном просмотре загружает её functions.php. В демонстрации pwn.ai использовала уязвимую тему Mobile Repair Zone 2.5.4, чей AJAX-обработчик позволял выполнить собственный PHP-код на сервере.

Атака требует, чтобы администратор был авторизован и открыл специальную ссылку, а случаев реальной эксплуатации пока не зафиксировано. WordPress исправил ошибку 17 сентября в версии 7.1.1 и перенёс патч в поддерживаемые старые ветки.

#wordpress #уязвимость #администратор #обновление

@ZerodayAlert

Ошибка возрастом 14 лет из ядра Linux попала в список активно эксплуатируемых

CISA внесло в каталог Known Exploited Vulnerabilities три уязвимости ядра Linux и потребовало от федеральных ведомств установить обновления до 22 сентября. Кроме того, агентство обязало проверять затронутые системы на следы уже состоявшегося взлома.

Самая старая ошибка, CVE-2025-39964, около 14 лет находилась в криптографическом интерфейсе AF_ALG и связана с гонкой при одновременной записи в сокет. На ней STAR Labs показала в Google kernelCTF повышение привилегий и выход из контейнера.

Две другие проблемы затрагивают реализацию SNAT в ebtables и приём данных в kernel TLS. Для уязвимости в kTLS уже есть публичный эксплойт, а Red Hat допускает её удалённую эксплуатацию.

#linux #ядро #уязвимость #обновление

@ZerodayAlert

16 моделей DJI получили общую уязвимость в Bluetooth

Уязвимость CVE-2026-78306 получила 8,5 балла из 10 по CVSS 4.0 и затрагивает 16 моделей DJI из линеек Neo, Flip, Air, Avata, Mavic и Mini. Для атаки не нужны учётная запись или действия владельца, достаточно находиться в радиусе Bluetooth.

Ошибка связана с обработкой команд фирменного протокола DUML, через который компоненты дрона обмениваются служебными данными. Доверенный UUID проверяется только при трёх операциях с Wi-Fi, поэтому остальные команды аппарат принимает от любого устройства поблизости.

Авторы PoC подтвердили смену SSID и пароля Wi-Fi, перезагрузку, выключение дрона и сброс настроек подсистем. Перехват полётного управления пока не продемонстрирован, а для защиты рекомендуется установить актуальную прошивку.

#дроны #уязвимость #bluetooth #прошивка

@ZerodayAlert

D-Link раскрыла уязвимость DIR-822A с максимальной оценкой 10 из 10

CVE-2026-86296 затрагивает D-Link DIR-822A с прошивкой A_101 и позволяет атаковать роутер из локальной сети без учётной записи и действий владельца. Для уязвимости уже опубликован демонстрационный код, а готового исправления пока нет.

Проблема связана с переполнением буфера стека в компоненте udhcpcd. Специально сформированный DHCP-пакет может повредить память, вызвать сбой сетевого сервиса и при успешной эксплуатации привести к выполнению произвольного кода.

Пока D-Link не выпустила новую прошивку, риск можно снизить за счёт ограничения доступа к роутеру. Стоит отключить ненужное удалённое управление и разрешить административный доступ только доверенным устройствам. После выхода исправления прошивку нужно брать с регионального сайта D-Link строго для своей аппаратной ревизии.

#DLink #DIR822A #CVE #DHCP

@ZerodayAlert

VeloCloud Orchestrator атакуют через брешь с максимальной оценкой CVSS

Arista подтвердила эксплуатацию CVE-2026-93952 в VeloCloud Orchestrator. Брешь позволяет удалённому злоумышленнику без учётной записи получить доступ к привилегированным функциям сервера управления SD-WAN. Уязвимость получила 10,0 балла по CVSS 3.1.

Проблема затрагивает установки, где Edge-устройства проходят аутентификацию по сертификатам. Для атаки нужен доступ к веб-интерфейсу VCO и публичная часть сертификата VeloCloud Edge, а пароль администратора или оператора не требуется. После взлома под угрозой оказываются данные, конфигурации и подключённые Edge-устройства.

Риск можно снизить, закрыв веб-интерфейс VCO от недоверенных сетей. Для веток 5.2 и 6.4 уже доступны исправленные версии, а для 6.1 и 7.0 придётся ждать новых сборок. Заодно стоит проверить индикаторы компрометации, журналы nginx, подозрительные файлы и соединения с указанными Arista IP-адресами.

#VeloCloud #Arista #SDWAN #CVE

@ZerodayAlert

Google закрыла Zero-Click в модеме Pixel, который уже использовали в реальных атаках

Google сообщила об ограниченной целевой эксплуатации CVE-2026-58704 в сотовом модеме Pixel. Уязвимость получила 8,0 балла по CVSS 3.1 и вошла в обновление безопасности от 5 сентября 2026 года.

Ошибка в проверке прав позволяет атакующему из соседней сети обойти защиту и повысить привилегии. Владельцу смартфона не нужно открывать ссылку, запускать файл или устанавливать приложение, хотя для эксплуатации злоумышленнику требуются начальные низкие привилегии.

Риск снизит только актуальная прошивка. В настройках Pixel стоит проверить уровень обновления безопасности. Дата должна быть 5 сентября 2026 года или новее.

#Pixel #Google #ZeroClick #уязвимость

@ZerodayAlert

Parallels Desktop позволяет обычному пользователю Mac получить root через свежую уязвимость

JFrog раскрыла уязвимость CVE-2026-90894 с оценкой 7,8 по CVSS 3.1. На Mac с Parallels Desktop локальный пользователь без административных прав может выполнить код от имени root. Для атаки не нужны запущенная виртуальная машина и подтверждение владельца.

Проблема связана со службой prl_disp_service, которая работает с правами root и неправильно формирует команду для tar. Подготовленное имя каталога позволяет подставить дополнительные аргументы и запустить указанную атакующим программу с uid 0. Исправленный механизм появился в Parallels Desktop 27, тогда как ветка 26.x по-прежнему использует старую схему.

Снизить риск проще всего переходом на Parallels Desktop 27.0.0 или новее. Владельцам Intel Mac такой путь пока недоступен, поскольку версия 27 больше не поддерживает процессоры Intel. На таких системах имеет смысл ограничить локальный доступ и отдельно контролировать компьютеры с установленной веткой 26.x.

#Parallels #macOS #CVE #root

@ZerodayAlert

Критическая уязвимость в VMware vCenter начала эксплуатироваться в реальных атаках

Уязвимость CVE-2026-59310 находится в Syslog-сервере vCenter и относится к классу обхода каталогов. Для эксплуатации злоумышленнику достаточно сетевого доступа, учётная запись и действия пользователя не требуются.

Broadcom выпустила исправление 29 июля, обновив ветки vCenter 9.1, 9.0 и 8.0. Обходного решения не существует, поэтому производитель изначально рекомендовал рассматривать обновление как экстренное.

Первые скомпрометированные системы QUIRSO зафиксировала уже 3 августа, спустя пять дней после публикации патча. К 7 августа было обнаружено 361 IP-адрес жертв в 47 странах, а закрепление в системе происходило через reverse_ssh.

#vcenter #vmware #уязвимость #вымогатели

@ZerodayAlert

CISA подтвердила активную эксплуатацию бреши в GitLab

Уязвимость CVE-2026-85706 находится в repository commits API GitLab и сочетает отсутствие обязательной аутентификации с ошибкой ограничения файловых путей. При определённых условиях обход пути позволяет читать произвольные файлы на сервере, включая конфигурацию, учётные данные и токены.

Уязвимы GitLab CE и EE версий с 18.7 до 19.1.7, с 19.2 до 19.2.5 и с 19.3 до 19.3.1 включительно. Проблему закрыли в версиях 19.1.8, 19.2.6 и 19.3.2.

CISA внесло уязвимость в каталог Known Exploited Vulnerabilities 11 сентября и классифицировало эксплуатацию как активную. Специалисты watchTowr зафиксировали реальные попытки поиска уязвимых серверов в интернете практически сразу после публикации исправлений.

#gitlab #cve #уязвимость #zeroday

@ZerodayAlert

Критическая уязвимость в Cisco Secure Email Gateway

Уязвимость CVE-2026-76461 находится в механизме разбора электронной почты в Cisco AsyncOS для Secure Email Gateway. Из-за недостаточной проверки входящих данных злоумышленник может внедрить SQL-команды прямо в письмо, которое проходит через шлюз.

Проблема получила оценку 9,8 балла из 10 по шкале CVSS и не требует ни учётной записи, ни действий пользователя. Уязвимости подвержены как физические, так и виртуальные устройства Secure Email Gateway независимо от их конфигурации.

Исправления вошли в версии AsyncOS 15.5.5-014, 16.0.4-302 и 16.5.0-780, при этом Cisco рекомендует переходить именно на последнюю. Временного способа устранить проблему без обновления системы не существует.

#cisco #asyncos #уязвимость #кибербезопасность

@ZerodayAlert

AI-пентест за один вечер: как эксперт собирает агента и взламывает полигон 🤖

Участники AI-челленджа неделю гоняли агентов по полигону Standoff Hackbase, заходили в тупики и перенастраивали их. Теперь эксперт покажет, что сработало, а что нет.

17 сентября в 19:30 мск багхантер Kekis пройдёт тот же полигон со своим агентом, разберёт удачные и провальные стратегии и объявит итоги челленджа.

Эфир пригодится и тем, кто не участвовал в челлендже. За один вечер ты получишь выводы, на которые участники потратили семь дней.

👉 Зарегистрироваться на разбор

На встрече увидишь:

🔻 как специалист и агент вместе решают живые задания;
🔻 какие шаги пентеста уже можно доверить агенту;
🔻 где без ручного контроля не обойтись;
🔻 какие ошибки в управлении агентом стоит обойти заранее;
🔻 с какой стратегией запускать агента в CTF, bug bounty и пентесте.

Kekis — опытный исследователь безопасности приложений, у него есть сертификаты WAPT, CPTS и CRTP. 
Участие бесплатное, по регистрации. Сразу после неё откроется запись первого вебинара, где агента собирают с нуля.

👉 Зарегистрироваться
👉 Узнать подробности эфира

Microsoft выпустила крупнейший в истории Patch Tuesday

Сентябрьский Patch Tuesday закрыл 966 уязвимостей, из которых 105 получили статус критических. Две уязвимости злоумышленники уже использовали в реальных атаках до выхода исправления.

Первый эксплуатируемый zero-day, CVE-2026-81963, находится в Windows Update Stack и позволяет локально повысить привилегии до SYSTEM. Второй, CVE-2026-85880, связан с переполнением буфера в механизме Windows ALPC.

Помимо Patch Tuesday, Microsoft закрыла ещё 204 уязвимости в Azure, Copilot Studio, Entra ID и других продуктах в начале сентября. В результате общее число исправлений за первые дни месяца превысило 1100.

#microsoft #patchtuesday #уязвимость #windows

@ZerodayAlert

N-able предупредила администраторов о новой уязвимости N-central

CVE-2026-86218 получила максимальную оценку 10,0 балла по CVSS 4.0. Уязвимость позволяет выполнить код до аутентификации и затрагивает все сборки N-central до версии 2026.3.1.14.

N-able выпустила исправление N-central 2026.3 HF4 и попросила администраторов проверить список пользователей на предмет неизвестных учётных записей. 8 сентября CISA добавила брешь в каталог активно эксплуатируемых и потребовала закрыть проблему в федеральных системах США до 11 сентября.

Huntress зафиксировала компрометацию полностью обновлённого сервера N-central 4 сентября, но связать взлом именно с этой уязвимостью не удалось. Ранее Microsoft связала атаки на N-central с кампанией Storm-1175, распространявшей шифровальщик StormEncryptor.

#nable #ncentral #уязвимость #zeroday

@ZerodayAlert

SAP закрыла критическую уязвимость OVERPASS в сентябрьском патче

CVE-2026-44756 получила название OVERPASS и максимальную оценку 10 баллов по CVSS. Проблема находится в коде SAP Kernel, отвечающем за обработку Extended Passport Protocol.

Ядро разбирает структуру EPP при открытии нового сеанса ещё до аутентификации пользователя. Доступ к уязвимому коду возможен через несколько путей: SAP Internet Communication Manager, SAP Web Dispatcher, соединения SAP GUI и Remote Function Call.

SAP закрыла уязвимость в рамках сентябрьского выпуска обновлений, опубликовав Security Note 3747649. По оценке Onapsis, более 10 тысяч уникальных IP-адресов с доступными из интернета веб-интерфейсами SAP потенциально затронуты проблемой.

#sap #уязвимость #cve #кибербезопасность

@ZerodayAlert

Пентест без чёрного ящика: как сделать ИИ-агента управляемым

ИИ-агенты уже умеют не просто отвечать на запросы, а самостоятельно строить цепочки действий, выбирать инструменты, запускать команды и корректировать план по ходу работы. Для пентеста это открывает большие возможности, но одновременно создаёт новую проблему: чем автономнее агент, тем сложнее понять, почему он сделал именно этот шаг и можно ли доверять результату.

В новой статье разбираем, как собрать ИИ-агента для пентеста и не превратить его в чёрный ящик. Как заранее задать scope и ограничения, подключать инструменты, вести журнал действий, определять точки подтверждения и сохранять данные, по которым можно восстановить весь путь агента. Отдельно рассматриваем негативные тесты, случаи, когда система должна остановиться, и роль специалиста там, где цена ошибки особенно высока.

Практическую часть подхода можно будет проверить с 10 по 17 сентября в ИИ-челлендже CyberED и Standoff Hackbase. Участники соберут и настроят собственных агентов, испытают их на учебном полигоне, а затем сравнят рабочие стратегии и ошибки на итоговом разборе.

#ИИ #пентест #кибербезопасность
@ZerodayAlert