cve.
Две критические CVE в PHP и GitLab: уязвимости выходят быстрее, чем их успевают закрыть
Во второй половине октября две критические уязвимости в PHP и GitLab заставили компании по всему миру срочно обновлять серверы, а часть государственных и коммерческих сайтов на время ушла в офлайн. Обе позволяют выполнить код на сервере без авторизации, и обе затрагивают версии, выпущенные больше десяти лет назад.PHP2Shell, или угроза 70% веб-приложений
Очередная супер-пупер уязвимость угрожает всему миру
21 октября были раскрыты две критические уязвимости PHP — CVE-2026-109618 и CVE-2026-109619, обе с CVSS 9.2. Их эксплуатация позволяет выполнять код без аутентификации с правами веб-сервера.
Две критические уязвимости в PHP (CVE-2026-109618 и CVE-2026-109619): что известно и как защититься
21 октября были раскрыты две критические уязвимости PHP — CVE-2026-109618 и CVE-2026-109619
29 439 возможных уязвимостей, 6 157 отчётов мейнтейнерам, 516 исправлений: Anthropic сканирует open source проекты
Из 6 157 отчётов, которые Anthropic передала мейнтейнерам открытых проектов, исправлено 516: это 8,4%, а не 516 из 29 000, как читается заголовок The New Stack.Заголовок The New Stack (далее TNS) звучит так: «Claude found 29,000 possible bugs in open source. Only 516 have been fixed.» Он складывает числа с разных этапов воронки, поэтому я открыл дашборд Anthropic и пересчитал доли. Цифры даны на 2 октября 2026 года, на дату снимка. Сразу оговорюсь: они описывают шесть месяцев работы Anthropic до запуска OSS Scanner (8 октября). К самому сканеру эта воронка не относится, она показывает процесс, из которого сканер вырос.
cKEV Index: успеть до полуночи
ИИ помогает быстрее искать уязвимости, разбирать исправления и готовить эксплойты. Окно технологических работ от этого длиннее не становится. У команды по-прежнему есть проверка совместимости, согласования и системы, которые должны работать. Атакующему достаточно выбрать одну подходящую ошибку.
Как приоритизировать новости об уязвимостях вместо балла CVSS
Задача – есть поток новостей об уязвимостях, из него надо отбирать те, что заслуживают внимания сегодня. Значит, нужно правило, по которому одна уязвимость важнее другой. Казалось, что правило давно есть и его достаточно применить в рамках новостей, используя формулу. Оказалось, что само это правило как раз сейчас переосмысливают, причём у всех регуляторов.Как именно эти правила меняются и что из этого следует для отбора важности новостей попробуем разобраться. Замеры сделаны на открытых данных CISA KEV, NVD, EPSS и БДУ ФСТЭК.
Скорость — главное, что ИИ изменил в кибератаках
Недавно мы публиковали перевод статьи The Cybersecurity Industry Is Entering Its Third Era. Мы обсудили её с нашей red team-командой и пришли к выводу, что это хороший обзор происходящих изменений, но в нём почти нет главного, что происходит прямо сейчас, пока LLM ещё даже не раскрылись на полную. Речь о скорости.
Почему Java-разработчики слишком доверяют рекомендациям ИИ
Представьте: в пятницу вечером руководитель уверенно сообщает, что переход со Spring Boot 3.5 на 4.0 будет простым и его можно закончить за выходные. Скорее всего, вы уточните, на чём основана такая оценка, и напомните о несовместимых изменениях.Теперь заменим руководителя на GitHub Copilot или другую большую языковую модель (LLM). Она предлагает рефакторинг метода, новую зависимость или готовый шаблон реализации. Ответ выглядит аккуратно и звучит уверенно. Модель не предупреждает, что может ошибаться. Возникает вопрос: проверяем ли мы такой код столь же строго, как заявление руководителя, или сразу принимаем его?По данным
