Тег
253 материала · RSS
Специалисты CrowdStrike рассказали о серии атак на финансовые организации в Южной Корее, в рамках которых злоумышленник применял опенсорсный ИИ-инструмент ARTEX и агентов Claude Code. В результате произошли утечки персональных данных…
Разработчики F-Droid выпустили версию 2.0 — крупнейшее обновление официального клиента альтернативного магазина Android-приложений за последние десять лет. Приложение полностью переработали, обновили интерфейс, поиск и категории, а установку софта заметно упростили.
Исследователи из компании Manifold Security обнаружили, что домен third-party[.]com, который годами используется в документации и коде как условный адрес стороннего сервиса, теперь показывает пользователям Windows вредоносную страницу с ClickFix-атакой. Проблема…
Разработчики Arch Linux временно запретили передачу «осиротевших» (orphaned) пакетов в Arch User Repository (AUR) новым мейнтейнерам. Решение было принято после захвата злоумышленниками нескольких пакетов, через которые хакеры в итоге распространили…
Создатель Linux Линус Торвальдс (Linus Torvalds) заявил, что разработчикам, которые выступают категорически против использования ИИ, придется смириться, уйти или создать собственный форк ядра. По его словам, Linux не станет очередным…
Инженеры GitHub представили npm 12, в котором серьезно переработали безопасность механизма установки зависимостей. Lifecycle-скрипты, зависимости из Git-репозиториев и зависимости, устанавливаемые по удаленным URL, теперь требуют явного разрешения разработчика.
Разработчики OpenMandriva Linux заявили о попытке внутреннего саботажа, произошедшей после конфликта между участниками проекта. Бывший контрибьютор с административными правами удалил репозитории с GitHub и опубликовал в тестовой ветке пустой пакет,…
В конце прошлой недели исследователи обнаружили новую волну атак малвари семейства Shai-Hulud, Miasma и Hades. Все началось с того, что злоумышленники взломали npm-аккаунт мейнтейнера LeoPlatform, после чего опубликовали вредоносные версии…
ИБ-специалисты обнаружили уязвимость в Squid, популярном кеширующем прокси-сервере с открытым исходным кодом. Проблема присутствовала в коде с 1997 года и позволяла похищать незашифрованные HTTP-запросы других пользователей, включая заголовки авторизации, сессионные…
Экосистема Arch Linux пострадала от масштабной атаки, которая затронула сотни пакетов в репозитории AUR. Злоумышленники перехватили управление заброшенными проектами, сохранили их названия и историю изменений, а затем изменили PKGBUILD-файлы таким…
Исходный код малвари Miasma, от атак которой в последнее время страдают опенсорсные экосистемы, ненадолго появился на GitHub. По данным исследователей из компании SafeDep, код вредоноса был опубликован через скомпрометированные аккаунты…
Разработчик опенсорсного Java-проекта jqwik оказался в центре скандала после того, как встроил в новую версию своего продукта скрытый промпт-инжект, нацеленный на ИИ-инструменты. В релизе 1.10.0, опубликованном на прошлой неделе, нашли…
В опенсорсном Git-сервисе Gogs обнаружили критическую уязвимость, которая позволяет выполнить произвольный код на сервере. Проблема пока не получила идентификатор CVE, однако исследователи Rapid7 оценили ее в 9,4 балла по шкале…
Исследователи из компаний StepSecurity, Aikido Security и Socket сообщили о необычной атаке на цепочку поставок, затронувшей популярные пакеты локализации Laravel Lang. На этот раз злоумышленники не публиковали вредоносные релизы и…
Исследователи из SafeDep и OX Security предупредили о масштабной кампании Megalodon, в рамках которой злоумышленники внедряли вредоносные коммиты в GitHub-репозитории. Всего за шесть часов атакующие успели отправить 5718 коммитов в…
GitHub усиливает защиту npm после многочисленных атак на цепочки поставок. Теперь публикацию пакетов можно подтверждать посредством двухфакторной аутентификации, и разработчикам доступны отдельные флаги для управления нестандартными источниками установки.
Один из создателей Flipper Zero Павел Жовнер впервые подробно представил Flipper One — новый проект Flipper Devices, над которым команда работает уже несколько лет. Речь идет не о следующем поколении…
RubyGems — основной пакетный менеджер экосистемы Ruby — временно закрыл регистрацию новых аккаунтов после масштабной атаки на репозиторий. По словам представителей проекта и исследователей, злоумышленники массово создавали аккаунты и публиковали…
Популярный пакет elementary-data из Python Package Index (PyPI) оказался скомпрометирован: злоумышленник опубликовал вредоносный релиз 0.23.3, который похищал секреты разработчиков и файлы криптокошельков. Из-за особенностей пайплайна вредонос попал не только в…
Компания Microsoft пытается сгладить последствия от недавних массовых блокировок аккаунтов разработчиков и вводит ускоренную процедуру для восстановления в Windows Hardware Program.
Компания Microsoft заблокировала аккаунты разработчиков ряда популярных опенсорсных проектов, включая авторов WireGuard, VeraCrypt, Windscribe и MemTest86. Все они без предупреждения лишились возможности подписывать драйверы и публиковать обновления для Windows.
Мейнтейнер проекта Axios Джейсон Сааймен (Jason Saayman) опубликовал детальный отчет о произошедшем на прошлой неделе взломе, а специалисты компании Socket выяснили, что атака была частью масштабной скоординированной кампании, направленной на…
Популярный HTTP-клиент Axios пострадал от атаки на цепочку поставок. Злоумышленники скомпрометировали npm-аккаунт основного мейнтейнера проекта и опубликовали вредоносные версии пакета, которые устанавливали на машины разработчиков троян удаленного доступа (RAT) для…
Группировка TeamPCP, стоящая за недавними атаками на цепочку поставок Trivy, LiteLLM и Checkmarx, скомпрометировала Python-пакет Telnyx — официальный SDK для интеграции VoIP, мессенджинга и IoT-сервисов. 27 марта 2026 года злоумышленники…
Кампания группировки TeamPCP, начавшаяся со взлома сканера уязвимостей Trivy, продолжает разрастаться. По данным специалистов Mandiant, уже более 1000 облачных сред заражены инфостилером, а сами хакеры, судя по всему, объединились с…
Шесть крупных компаний — Anthropic, AWS, GitHub, Google, Microsoft и OpenAI — совместно выделили 12,5 млн долларов США на проект, который призван помочь мейнтейнерам опенсорсных проектов справиться со шквалом сгенерированных…
Хакеры внедрили инфостилер в популярный сканер уязвимостей Trivy, подменив почти все теги GitHub Actions и опубликовав вредоносный релиз. Малварь похищала секреты из CI/CD-пайплайнов и с машин разработчиков, шифровала данные и…
Специалисты из Team Cymru обнаружили, что опенсорсная ИИ-платформа CyberStrikeAI используется злоумышленниками для проведения автоматизированных атак. Инструмент применялся в рамках недавней вредоносной кампании, в ходе которой были скомпрометированы сотни файрволов Fortinet…
Разработчики Eclipse Foundation, которые поддерживают Open VSX, объявили, что намерены проверять расширения Microsoft Visual Studio Code на безопасность еще до их публикации в репозитории. Эта мера должна снизить риски компрометации…
Опенсорсный ИИ-помощник Moltbot (ранее Clawdbot) набрал больше 93 000 звезд на GitHub меньше чем за месяц, став одним из самых быстрорастущих ИИ-проектов в 2026 году. Но за резким взлетом популярности…
Основатель и ведущий разработчик Curl Даниэль Стенберг (Daniel Stenberg) объявил о закрытии программы bug bounty проекта на платформе HackerOne. Причиной стал неконтролируемый поток низкокачественных отчетов об уязвимостях, значительная часть которых…
Платформа для автоматизации рабочих процессов n8n столкнулась с серьезными проблемами: за последние недели исследователи обнаружили сразу четыре критические уязвимости, две из которых получили максимальную оценку 10 баллов по шкале CVSS.
Уязвимость нулевого дня в популярном сервисе для самостоятельного хостинга Git-репозиториев Gogs позволяет злоумышленникам удаленно выполнять произвольный код, что привело к взлому сотен серверов по всему миру.
С уходом из России ряда крупных вендоров, включая Splunk, возникает вопрос: можно ли опираться на опенсорсные решения для сбора и анализа логов? В этой статье мы ознакомимся с одним из лучших вариантов — Graylog. Кратко рассмотрим возможности этой…
В React обнаружили серьезную уязвимость CVE-2025-55182, получившую 10 баллов из 10 возможных по шкале CVSS. Она позволяет удаленно выполнить код на сервере без аутентификации. Проблема получила имя React2Shell и вызвала…
Червь Shai-Hulud вышел за пределы экосистемы npm и был обнаружен в Maven. Специалисты компании Socket заметили зараженный пакет в Maven Central, который содержит те же вредоносные компоненты, что использовались во…
Самораспространяющаяся малварь Shai-Hulud вернулась в npm, скомпрометировав более 25 000 разработчиков всего за три дня. Сотни зараженных версий популярных пакетов (включая Zapier, ENS Domains, PostHog, Postman и AsyncAPI) были размещены…
В npm обнаружили еще одного самораспространяющегося червя IndonesianFoods, который каждые семь секунд порождает новые пакеты. По данным специалистов Sonatype, малварь уже создала более 100 000 пакетов, и их количество продолжает…
Исследователи из компании Veracode обнаружили вредоносный npm-пакет acitons/artifact, который маскировался под легитимный actions/artifact и был нацелен на репозитории самого GitHub. Однако позже выяснилось, что специалисты заметили не реальную атаку, а…
Вымогательская группировка Akira заявила о краже 23 ГБ данных у Apache OpenOffice, включая личную информацию сотрудников и финансовые документы. Однако представители Apache Software Foundation заявляют, что хакеры лгут, так как…
