🥷 Хакеры заработали $1,3 млн на Pwn2Own Berlin 2026

На соревновании Pwn2Own Berlin 2026 участники продемонстрировали 37 уникальных уязвимостей нулевого дня и получили в сумме $1,3 млн призовых. Мероприятие, организованное Trend Micro Zero Day Initiative, традиционно собрало лучших исследователей безопасности со всего мира.

В этом году особое внимание привлекли атаки на операционные системы, веб-браузеры, гипервизоры и устройства IoT. Среди целей были VMware ESXi, Google Chrome, Microsoft Edge, Apple Safari, а также ряд промышленных контроллеров и роутеров. Самая крупная выплата составила $250 000 за полную цепочку эксплуатации гипервизора VMware.

По итогам соревнования все обнаруженные уязвимости были переданы вендорам для выпуска патчей. Trend Micro ZDI традиционно публикует детали эксплойтов только после выхода исправлений, чтобы минимизировать риски для пользователей.

#Business #cybersecurity #vulnerabilities

🏢 Google Cloud запускает AI Threat Defense — платформу для закрытия уязвимостей за минуты

Google Cloud представила платформу AI Threat Defense, предназначенную для автоматического поиска, оценки и устранения брешей в системах безопасности предприятий. Решение объединяет технологии, частично полученные через недавние приобретения компании.

Платформа нацелена на противодействие кибератакам, ускоренным с помощью ИИ. AI Threat Defense способна в автоматическом режиме выявлять уязвимости, оценивать их критичность и закрывать их в течение нескольких минут — процесс, который традиционно занимал часы или дни. Система интегрируется с существующей инфраструктурой безопасности Google Cloud и использует машинное обучение для приоритизации угроз.

Запуск происходит на фоне роста числа атак с применением генеративного ИИ, когда злоумышленники используют языковые модели для создания более сложных фишинговых схем и автоматизации взломов. Google позиционирует AI Threat Defense как ответ на этот новый класс угроз, позволяя компаниям сократить «окно уязвимости» до минимума.

#Ai #GoogleCloud #ThreatDefense #CyberSecurity #Vulnerabilities

🛡 Нулевые знания, нулевая защита: как ИИ убивает ответственное раскрытие уязвимостей

Искусственный интеллект породил нового опасного противника — «злоумышленника с нулевыми знаниями» (zero-knowledge threat actor). Это человек без глубоких технических навыков, но с достаточной мотивацией, который использует ИИ для генерации вредоносного кода, поиска уязвимостей и планирования атак. AI не изменил цели киберпреступников, но радикально ускорил их достижение и демократизировал инструменты взлома.

Согласно отчету Verizon DBIR 2026, эксплуатация уязвимостей стала основным вектором начального доступа — 31% инцидентов. AI-инструменты позволяют находить скрытые weaknesses быстрее, а zero-knowledge акторы — масштабировать атаки на малый бизнес, который служит входной точкой в цепочки поставок крупных корпораций. Традиционное окно ответственного раскрытия уязвимостей сжимается: злоумышленники находят и эксплуатируют баги быстрее, чем вендоры успевают выпустить патчи.

Эксперты призывают не недооценивать таких противников. Ключевые меры защиты: обучение сотрудников распознаванию AI-фишинга и регулярный red teaming AI-систем на устойчивость к jailbreak-атакам.

#AI #Cybersecurity #ZeroDay #Vulnerabilities

❓ Claude помог хакеру найти способ выпускать билеты на почти все музыкальные фестивали США

Исследователь безопасности Иэн Кэрролл использовал ИИ-модель Claude Opus 4.7 от Anthropic, чтобы обнаружить критическую уязвимость в системе Front Gate Tickets — дочерней компании Live Nation Entertainment, которая обслуживает билетные продажи для крупнейших фестивалей США, включая Lollapalooza, Bonnaroo и Austin City Limits. С помощью Claude Кэрролл получил суперадминистраторский доступ к внутренней API, что позволяло выпускать неограниченное количество билетов любой стоимости, включая VIP-пропуска за $4000.

Кэрролл, участник программы Anthropic Cyber Verification Program, отметил, что Claude самостоятельно сгенерировал ключевые элементы эксплойта, обойдя стандартные средства защиты. Он получил доступ к миллионам записей клиентов и мог создавать билеты для любых мероприятий без ограничений. Уязвимость была закрыта в течение 24 часов после отчета, и компания не обнаружила следов эксплуатации. Однако инцидент демонстрирует растущие возможности ИИ в поиске уязвимостей в реальных веб-системах.

#AI #Cybersecurity #Claude #Anthropic #Vulnerabilities

👨‍💻 Oracle закрыла более 1400 уязвимостей в квартальном обновлении безопасности

Oracle выпустила очередной набор критических патчей (Critical Patch Update), закрывающий рекордное число уязвимостей — 1476. Обновления затронули десятки продуктов, включая базы данных, middleware, приложения Oracle E-Business Suite, Fusion Middleware, MySQL, Java SE и системы Oracle Communications.

Наибольшее количество исправлений получили Oracle Communications (более 400 патчей), Oracle Financial Services и Oracle MySQL. Часть уязвимостей имеет критический рейтинг CVSS 9.8 и выше — они позволяют удалённо выполнить код без аутентификации. В частности, исправлены проблемы в Oracle WebLogic Server, Oracle Database Server и Oracle REST Data Services.

Хотя Oracle не сообщает об активной эксплуатации этих уязвимостей в реальных атаках, компания настоятельно рекомендует установить патчи в кратчайшие сроки. Квартальное обновление доступно для загрузки через портал поддержки Oracle.

#Safety #Oracle #Secuirty #Vulnerabilities #Patch #IT

⏰ Anthropic находит уязвимости быстрее, чем Microsoft их исправляет

Согласно внутренним документам и записям совещания, AI-модель Mythos от Anthropic (в рамках Project Glasswing) обнаруживает баги в продуктах Microsoft быстрее, чем компания может их патчить. Только за апрель 2026 года Mythos нашла 90 критических и 141 «важную» уязвимость в SharePoint — и темпы только растут.

Инженеры Microsoft находятся в «бешеной гонке», чтобы закрыть бреши до 31 мая — даты, когда, по оценкам, аналогичные инструменты появятся у злоумышленников. Слайд презентации показывает, что в первой половине мая было найдено ещё больше уязвимостей. Руководитель проекта призвал команды срочно разобрать апрельские баги.

Проблема усугубляется тем, что Mythos умеет цепочкой связывать несколько низко- и среднеопасных уязвимостей в одну критическую атаку. Эксперты предупреждают, что традиционная триаж-система Microsoft (сначала самые опасные) может недооценивать риски. Пять глаз (Five Eyes) уже выпустили совместное заявление о том, что окно возможностей для упреждающего патчинга закрывается.

#Safety #AI #Security #Anthropic #Microsoft #Vulnerabilities

🔍 ИИ находит множество уязвимостей, но почти ни одна из них не эксплуатируется

Компания VulnCheck подсчитала, как часто уязвимости, обнаруженные с помощью ИИ, реально используются в атаках. В первой половине 2026 года из 1061 такой проблемы подтверждённую эксплуатацию получили лишь 14 — это 1,3%, примерно как в среднем по всем уязвимостям.

У проекта Anthropic Project Glasswing — более 23 000 находок, из них 126 опубликованных записей и только одна подтверждённая атака. При этом время до первой эксплуатации сокращается: половина всех проблем атакуется в течение 80 дней после раскрытия, тогда как год назад было 120 дней. Около 200 уязвимостей использовали уже в первый месяц.

Эксперты отмечают: на долю CMS приходится треть всех атак, а сами ИИ-продукты становятся растущей поверхностью атаки. Огромный поток находок сам по себе мало говорит о реальном риске — защитникам нужно лучше приоритизировать угрозы.

#Safety #AI #Vulnerabilities #CyberSecurity

⚠️ Баг в демонстрации экрана Zoom позволял захватить чужое устройство

Исследователи нашли критическую уязвимость в Zoom: любой участник звонка мог получить контроль над чужим устройством через функцию шаринга экрана. Удивительно, но flaw обнаружила публичная AI-модель — ей потребовалось меньше 20 запросов, чтобы найти проблему.

Уязвимость была связана с тем, как Zoom обрабатывает сценарии совместного использования экрана. Злоумышленник мог подменить передаваемые данные и выполнить произвольный код на машине жертвы. По словам экспертов, для эксплуатации не требовалось специальных навыков — достаточно было стандартного клиента Zoom.

Компания уже выпустила исправление, и подтверждённых случаев реальных атак нет. Но сам факт того, что ИИ за полтора десятка prompt-ов нашёл то, на что у специалистов уходят недели, — тревожный сигнал для всей индустрии. Теперь исследователи ожидают волну подобных AI-находок в популярных приложениях.

#Safety #Zoom #Security #AI #Vulnerabilities

❓ Как ИИ меняет сроки реагирования на уязвимости

ИИ ускоряет поиск уязвимостей, но главной проблемой для защитников остаётся выяснить, где именно работает уязвимый код. В мае 2026 года Google Threat Intelligence Group впервые сообщила о случае, когда, по её оценке, атакующий использовал ИИ для разработки эксплойта zero-day: Python-скрипт обходил двухфакторную аутентификацию в популярном open-source инструменте администрирования при уже имеющихся учётных данных. Вывод сделан на основе структуры кода, подробных поясняющих комментариев и сфабрикованного score уязвимости.

Контекст тревожный: в 2025 году Google зафиксировала 90 zero-day, эксплуатировавшихся в дикой природе, против 78 годом ранее. Это рекорд, причём 48% пришлось на корпоративное ПО и appliances. После раскрытия уязвимости команды часто не могут быстро найти все затронутые образы — Log4Shell в 2021 году показала это в масштабе всей отрасли. Помогают SBOM, уменьшение образов и автоматические патчи: DeepMind CodeMender за полгода подготовил 72 исправления для open-source проектов, но каждое изменение проверял человек.

Вывод: поиск уязвимости перестаёт быть самым медленным этапом. Теперь задержки чаще возникают из-за плохой инвентаризации окружений. ИИ ускоряет анализ и для атакующих, и для защитников, поэтому точные списки зависимостей и минималистичные контейнеры становятся критически важными.

#AI #CyberSecurity #Vulnerabilities #OpenSource #DevSecOps

🛡 Сентябрьский патч Microsoft побил рекорд: 972 уязвимости, 112 из них критические

Microsoft выпустила крупнейший в истории компании набор исправлений: закрыто около 972 уязвимостей, из которых 112 имеют критический уровень опасности. Для сравнения: два месяца назад рекордом считались 570 дыр, а в августе их было около 620. Рост числа патчей — ответ индустрии на ожидаемую волну атак с использованием ИИ.

Показательно, что две недели назад OpenAI, Anthropic, AWS, Google, Microsoft и ещё более 100 компаний опубликовали открытое письмо, предупредив, что окно для закрытия уязвимостей стремительно сужается: ИИ-инструменты позволяют злоумышленникам находить и эксплуатировать бреши быстрее, чем раньше. Теперь вендоры пытаются компенсировать это беспрецедентным объёмом патчей.

Исследователь Zero Day Initiative Дастин Чайлдс называет такие всплески «новой нормой» и предупреждает: несмотря на рекордные выпуски исправлений, ущерб от AI-ассистированных атак в перспективе может оказаться серьёзным. Похожие рекорды по числу закрытых уязвимостей недавно публиковали и Google, и другие компании — отрасль готовится к цунами автоматизированных атак.

#Safety #Microsoft #Security #Patch #AI #Vulnerabilities

💵 Hackuity привлекла $19 млн на AI-платформу управления уязвимостями

Французская компания Hackuity закрыла раунд на $19 млн во главе с Forgepoint Capital. Общий объем привлеченных средств достиг $38 млн. Штаб-квартира - Лион.

Инвестиции пойдут на развитие платформы vulnerability operations и международную экспансию. Решение Hackuity агрегирует данные об уязвимостях из множества сканеров и источников, а алгоритмы на базе AI помогают расставлять приоритеты: какие дыры закрывать первыми с учетом реального риска для бизнеса, а не только формального CVSS-балла. Это снижает нагрузку на security-команды, которые тонут в тысячах алертов.

Рынок AI-инструментов для кибербезопасности продолжает расти: инвесторы активно финансируют стартапы, автоматизирующие рутинную работу SOC-аналитиков. Для разработчиков и DevOps это сигнал, что интеграция сканеров уязвимостей с AI-приоритизацией становится стандартом в пайплайнах безопасности.

#Business #Cybersecurity #AI #Vulnerabilities #Investments #Hackuity