Исследователи из компании Manifold Security обнаружили, что домен third-party[.]com, который годами используется в документации и коде как условный адрес стороннего сервиса, теперь показывает пользователям Windows вредоносную страницу с ClickFix-атакой. Проблема заключается в том, что ссылки на этот домен встречаются более чем в 1700 публичных репозиториях, включая документацию Chromium, Sanity и Vercel, специфик
Чтобы разобраться в веб-пентесте, недостаточно просто прочитать, как устроены XSS, SQL-инъекции или SSRF. Важно понимать, на каком этапе атаки используются разные техники, уметь находить подходящую точку входа и самому пройти весь путь от разведки до эксплуатации уязвимости. Для этого «Хакер» и лаборатория «Хаксет» создали практический курс «Пентест WEB». В нем нет преподавателя, занят
СМИ сообщают, что ФБР уведомило сотрудников о краже их персональных данных в результате недавней кибератаки. Утечка затронула имена, домашние адреса, должности, номера социального страхования (SSN), а также медицинскую информацию.
Представители криптобиржи Bitget раскрыли новые детали недавней кибератаки, в результате которой злоумышленники похитили активы на сумму 387,5 млн долларов США. По данным компании, атакующие проникли во внутреннюю инфраструктуру биржи через 0-day-уязвимость в стороннем ИБ-продукте и получили учетные данные с высокими привилегиями.
Представители OpenAI раскрыли еще один инцидент, связанный с ИИ-агентами компании: в 53 случаях они загрузили предоставленные пользователями изображения на сторонние сервисы для хостинга картинок. В компании подчеркнули, что подавляющее большинство пользователей эта проблема не затронула.
Для подписчиковВпервые за десять лет найден путь прямого взлома WordPress без плагинов. Владельцы сайтов трясутся, команда WP строчит патчи, хакеры ищут новые векторы атаки. А мы спокойно и дотошно разбираемся, как работает ужасный wp2shell.
Разработчики F-Droid выпустили версию 2.0 — крупнейшее обновление официального клиента альтернативного магазина Android-приложений за последние десять лет. Приложение полностью переработали, обновили интерфейс, поиск и категории, а установку софта заметно упростили.
В Intel приостановили работу программы bug bounty, в рамках которой исследователи могли получить до 100 000 долларов США за найденную уязвимость. Теперь на платформе Intigriti работает программа ответственного раскрытия уязвимостей, не предусматривающая денежных вознаграждений. Причины произошедших изменений в компании пока не объяснили.
Представители сети ресторанов «Додо Пицца» сообщили о кибератаке на свою ИТ-систему и предупредили о возможной утечке персональных данных клиентов. Ответственность за атаку взяла на себя группировка DataSuckers, которая утверждает, что получила доступ ко всем базам компании и скачала несколько терабайт информации.
Иногда бывает нужно сделать так, чтобы браузер не только не отслеживался, но и передавал сайту ложные данные при попытке фингерпринтинга. Сегодня мы изучим браузер Vision, разработчики которого сделали именно это. Давай посмотрим, что у них получилось!
Стало известно, что во время внутреннего тестирования ИИ-агент OpenAI обошел защиту австралийского государственного портала Medicare и получил доступ к непубличным файлам. При этом портал неоднократно блокировал запросы агента, однако тот продолжал искать обходные пути. По словам премьер-министра Австралии Энтони Альбанезе (Anthony Albanese), агент фактически «не принял отказ» и продолжил и
Исследователи из ИБ-стартапа Gambit обнаружили вредоносную кампанию, нацеленную на интернет-магазины. По словам специалистов, неизвестный злоумышленник практически полностью автоматизировал свои атаки с помощью ИИ-агентов. Так, с июля 2026 года хакер успел атаковать сотни целей, похитить данные более 600 000 банковских карт и внедрить веб-скиммеры как минимум на 119 сайтов.
Для подписчиковЕсли sudo разрешает запускать Python-скрипт от root, опасность может скрываться не в самом скрипте, а в том, какие каталоги он подключает. В этой статье посмотрим, как writable-директория с плагинами дает повышение привилегий.
Разработчики Microsoft остановили распространение обновления KB5002907 для Microsoft 365 после жалоб пользователей. Дело в том, что обновление деактивировало бессрочные лицензии Office 2016 и Office 2019, а в некоторых случаях вообще удаляло офисный пакет с компьютера.
Специалисты «Лаборатории Касперского» рассказали о необычной вымогательской атаке на производственное предприятие на Ближнем Востоке. Хакеры похитили данные, заблокировали компьютеры организации и потребовали выкуп, но при этом не шифровали файлы и не запускали малварь на Windows-машинах.
Редакция «Хакера» уже начала работу над четвертым ежеквартальным выпуском 2026 года, и пришло время открывать прием предварительных заказов! В новом номере тебя будут ждать 240 полос с лучшими материалами за последние месяцы: от реверса и анализа уязвимостей до сетевой разведки и разработки собственных инструментов.
ФГУП «Главный радиочастотный центр» (ГРЧЦ), подведомственный Роскомнадзору, направил операторам связи рекомендации проверить роутеры MikroTik в своих сетях и у абонентов. Причиной стали шесть свежих уязвимостей в RouterOS, которые уже используются в реальных атаках.
Сейчас в магазине «Хакера» доступны три бумажных спецвыпуска. Самый свежий среди них — спецвыпуск #4 с лучшими статьями за 2021–2022 годы: от практики пентеста до изучения необычного железа. Тиражи журналов ограничены, и допечаток мы не планируем. Первый и второй спецвыпуски уже распроданы полностью, поэтому каждый из оставшихся номеров — часть ограниченной бумажной серии, собрать
Независимый ИБ-исследователь Расмус Мооратс (Rasmus Moorats) обнаружил две неисправленные уязвимости в ПО OnePlus, которые позволяют обычному приложению получить полный root-доступ к устройству. Подчеркивается, что для атаки приложению не понадобятся никакие специальные разрешения, а пользователь не увидит дополнительных запросов или предупреждений.
Известный ИБ-исследователь и специалист по безопасности macOS Патрик Уордл (Patrick Wardle) обнаружил 0-day-уязвимость в macOS-версии ИИ-ассистента Meta Muse (деятельность компании Meta признана экстремистской и запрещена в РФ). Уязвимость позволяет локальному процессу подменить адрес сервера, на который Muse отправляет данные голосового ввода. В результате атакующий может перенаправить трфик на св