Positive Technologies

Критическая уязвимость в GitLab 🦊

Не успели отгреметь новости об уязвимостях в PHP, как в тот же день GitLab сообщил о критической уязвимости CVE-2026-110264 (PT-2026-120800) с максимальной оценкой CVSS — 10 баллов из 10.

Разбираемся, чем она опасна, кто в зоне риска, и как от нее защищаться с помощью PT Application Firewall.

Что за уязвимость 🤔

GitLab — платформа, на которой компании хранят исходный код своих программ, управляют разработкой и автоматизируют выпуск обновлений.

Обнаруженная проблема связана с обработкой регулярных выражений — специальных шаблонов для поиска и обработки текста. При определенных условиях специально подготовленное выражение вызывает переполнение целого числа. В результате злоумышленник может выполнить произвольный код на сервере.

Один из сценариев атаки предполагает использование вредоносного файла в формате Org-mode, который GitLab обрабатывает через веб-интерфейс. Самое опасное, что для этого не нужно входить в систему, знать пароль или даже иметь учетную запись.

Уязвимость существовала 12 лет. Под угрозой все версии GitLab CE/EE, начиная с 7.0, выпущенной еще в 2014 году, если на них не установлены исправления. Речь о GitLab, который компании разворачивают на собственных серверах. Облачные GitLab и GitLab Dedicated уже защищены — их клиентам ничего делать не нужно.

Исследователь из Швеции, обнаруживший уязвимость, в одном из своих недавних постов написал:

«ИИ делает доступными многие исследования, которые раньше большинству из нас были не по силам. <..> Попробуйте погуглить название своего любимого продукта вместе с аббревиатурой RCE. Велика вероятность, что в 2026 году в нем обнаружили похожие уязвимости».

Запись была опубликована неделю назад, когда он сообщил о другой найденной уязвимости в GitLab.

Что это дает злоумышленнику 🥷

Взлом сервера GitLab может открыть доступ к исходному коду компании, закрытым репозиториям, токенам доступа, ключам и другим конфиденциальным данным. Многое зависит от того, как настроен сервер.

Особенно опасно то, что GitLab встроен в процесс разработки и выпуска программ. Получив контроль над сервером, злоумышленник может попытаться вмешаться в сборку приложений и внедрить в них вредоносный код. Или использовать сервер для атак на остальную инфраструктуру компании.

Кто в зоне риска 😱

В России это, например, банки, ИТ-компании, телеком-операторы, промышленные предприятия — в общем, все, кто самостоятельно разрабатывает ПО.

Больше всего рискуют серверы, доступные из интернета. Только в России их тысячи, и сколько из них уязвимы, оценить сложно. Но и внутренний сервер защищен лишь до тех пор, пока злоумышленник не проник в сеть компании.

По данным GitLab, атак пока не зафиксировано. Но в сети уже появился код, который выдают за эксплойт для этой уязвимости, так что ситуация может быстро измениться.

Как защититься 🔥

Главное — как можно скорее установить исправления. Список безопасных версий есть в бюллетене GitLab.

Пока обновление не установлено, снизить риски поможет PT Application Firewall. Мы подготовили дополнительные правила защиты.

PT AF Cloud — правило распространяется среди пользователей сервиса и уже доступно для самостоятельного включения.

PT Application Firewall PRO — правило и инструкции по его применению можно получить через техподдержку Positive Technologies.

Обратите внимание, что правило может повлиять на просмотр документов в формате Org-mode, поскольку именно через такие файлы возможна атака. И помните, что WAF помогает снизить риски отдельных сценариев атаки, но не заменяет обновление самого GitLab.

@Positive_Technologies

Обнаружены две критические уязвимости в PHP

Сегодня все, у кого WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal, WHMCS и вообще что угодно на PHP — как на этом кадре из фильма «Человек-паук 2».

Если вы вдруг еще не в курсе, речь про PHP2Shell — две критические уязвимости, которые позволяют взломать сервер без пароля (кстати, их помогла обнаружить модель GPT-5.6 Sol). Из-за них по всему миру отключают сайты, государственные ресурсы и даже онлайн-игры.

Уязвимости CVE-2026-109618 (PT-2026-118596) и CVE-2026-109619 (PT-2026-118597) получили оценку 9,2 из 10 по шкале CVSS 4.0. С их помощью злоумышленники могут удаленно запускать свой код на сервере без аутентификации.

Проблема затрагивает разные способы запуска PHP, в том числе PHP-FPM и Apache с mod_php. По данным Cloudflare, уже появились первые признаки атак, а в открытом доступе распространяется код для эксплуатации уязвимостей.

Главная рекомендация — как можно скорее обновить PHP. Исправления вышли в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

🔥 Для пользователей PT Application Firewall мы подготовили дополнительные меры защиты.

В PT AF Cloud защитное правило уже доступно для включения в личном кабинете.

Для PT Application Firewall PRO и PT Application Firewall 3 меры защиты и инструкции по их применению можно получить через техническую поддержку Positive Technologies.

Важно: эти меры не заменяют необходимость обновления PHP. Но и отключать сервера — тоже не нужно. PoC до сих пор выходят, и наша команда внимательно следит за ними, чтобы актуализировать правила защиты.

@Positive_Technologies

Как перестать бояться аудита больших доменных инфраструктур

Чем больше Active Directory, тем сложнее аудит: сканирование тянется часами, диски трещат по швам, а данные копятся быстрее, чем вы успеваете их анализировать.

На вебинаре 22 октября в 14:00 расскажем, как мы переработали подход к сбору и хранению данных Active Directory, чтобы объем хранимой информации для крупных инфраструктур был до 20 раз меньше, а нагрузка на железо при сканировании — ниже.

Чем планируем поделиться:

• Почему старый подход «тянул» из инфраструктуры все соки и как мы это исправили.

• Как обновления отразятся на MaxPatrol VM, MaxPatrol SIEM, MaxPatrol HCC и MaxPatrol Carbon.

• Как подготовить свои PDQL-запросы и автоматизации к новой модели данных, чтобы ничего не сломалось.

• Что такое новые стандарты контроля AD: проверки учеток пользователей и компьютеров, параметры доменной конфигурации, шаблоны сертификатов. Все то, что нужно для нормального харденинга.

• Куда движется поддержка ALD Pro и других служб каталогов.

Зовем аналитиков SOC, специалистов по управлению уязвимостями и админов Active Directory, а также команды, которые отвечают за харденинг и снижение рисков в домене.

Регистрируйтесь и подключайтесь к нам онлайн 🫲

@Positive_Technologies

Почти каждая компания пользуется «1С». Теперь PT Dephaze проверяет, можно ли его взломать 😱

Когда мы говорим «почти в каждой», мы не шутим. Решениями на базе «1С:Предприятия» пользуются больше 1,6 млн организаций, включая госучреждения, и свыше 11 000 крупных предприятий. Через «1С» проходит почти вся жизнь бизнеса: бухучет, закупки, контрагенты, финансы, поставки, персонал.

Что будет, если «1С» взломают

Злоумышленник, который получил доступ к «1С» снаружи или изнутри, заберет коммерческие документы, данные сотрудников и контрагентов, клиентские базы, финотчетность и внутреннюю переписку.

Он сможет завести фиктивные платежки или подменить документы, а если захватит сервер — продвинуться дальше по инфраструктуре и нарушить рабочие процессы. Поэтому так важно заранее найти слабые места системы и позаботиться о ее защите при помощи системы автопентеста.

И поэтому PT Dephaze теперь умеет проверять возможные способы компрометации «1С:Предприятия»

Во время автопентеста система сама находит сетевой доступ к приложению, проверяет, можно ли без аутентификации достать оттуда список пользователей, ищет учетки с пустыми паролями и пробует авторизоваться при помощи данных, добытых на прошлых этапах автопентеста.

Это дает возможность обнаружить и оперативно закрыть наиболее опасные проблемы в настройках конфигураций безопасности «1С». В будущем мы планируем углубить анализ систем вендора и развивать техники для оценки защищенности других критически важных для бизнеса приложений.

Но мы завезли еще новых фичей в продукт

И все — на основе вашей обратной связи: теперь доступен дополнительный контекст в цепочках атак (IP-адреса и учетные данные на разных этапах), более конкретные рекомендации, расширение области тестирования прямо во время пентеста и подсвечивание слабых мест парольной политики.

Если вы уже используете PT Dephaze, можно прямо сейчас проверить, в безопасности ли ваши данные, а если нет, вы знаете, куда идти 😉

#PTDephaze
@Positive_Technologies

Как наша песочница вычисляет «умные» вредоносы и совершенствует защиту при помощи ML

Атакующие не стоят на месте: они все лучше маскируют вредоносные файлы, чтобы те выглядели безопасно для средств защиты. Поэтому важно, чтобы такие файлы проходили проверку, а при малейших подозрениях попадали в песочницу — например, в нашу PT Sandbox.

На вебинаре уже завтра, 20 октября, в 14:00, расскажем, как новые возможности продукта помогают быстрее обнаруживать и разбирать угрозы, куда движутся его экспертиза и ML-технологии и как извлечь из него максимум пользы для расследования.

Что будет:

1️⃣ Разберем, что нового появилось в экспертизе PT Sandbox и как это помогает в анализе вредоносного ПО.

2️⃣ Представим ByteDog — новую ML-модель внутри песочницы — и объясним, как с ее помощью обнаруживать зловреды.

3️⃣ Расскажем, как подключить большие языковые модели к PT Sandbox и какие возможности это открывает для пользователей.

Будет интересно всем: от исследователей безопасности до аналитиков SOC. Регистрируйтесь и приходите.

#PTSandbox
@Positive_Technologies

PHDays Fest 2027 🌟

Юбилейный киберфестиваль пройдет с 20 по 22 мая в «Лужниках». И мы сделаем его великолепным.

В следующем году PHDays исполнится 15 лет. За это время изменился сам фестиваль, изменились технологии и то, насколько сильно они вошли в нашу жизнь.

Но одно осталось прежним: интерес к людям, которые хотят понять, как все устроено, и попробовать сделать по-своему.

Именно эта идея легла в основу концепции юбилейного PHDays Fest — «Технологии — отражение тебя».

В «Лужниках» вновь соберутся все, кому интересно, как устроен цифровой мир: от любопытных новичков до профессионалов индустрии.

Традиционно будет открытая зона для всех желающих, выступления экспертов со всего мира, деловые дискуссии и, конечно, легендарная кибербитва Standoff.

Что мы еще готовим к юбилею — расскажем, как только будем готовы (скоро).

А пока сохраняйте даты в календарях: с нетерпением ждем встречи и обещаем удивлять!

#PHDays
@Positive_Technologies

PT Application Firewall научился защищать ИИ-агентов и сервисы на основе LLM от кибератак

🤖 Сервисы на основе больших языковых моделей уже стали полноценными участниками бизнес-процессов. Они работают незаменимыми ассистентами и личными секретарями, неутомимыми аналитиками, внимательными сотрудниками техподдержки и отделов продаж, джунами, тестировщиками и даже киберзащитниками.

Но кто защитит самих виртуальных помощников, у многих из которых есть доступ к персональным данным, корпоративным документам и информационным системам? Встречайте нашего супергероя LLM Firewall — новый модуль в составе решения для защиты веба PT Application Firewall, смело встающий на киберзащиту ИИ-сервисов.
 
Как это работает

Представьте, что у вас есть ИИ-бот, который принимает у клиентов заказы или занимается их жалобами. И вот, злоумышленник, выдавая себя за клиента, отправляет ему хитрый запрос. Составлен он так, чтобы обойти установленные ограничения, и заставить бота выдать закрытую информацию или выполнить нежелательное действие.

Так работает один из любимых приемов киберпреступников — инъекция промптов (prompt injection), похожим образом бота могут взломать при помощи документов, которые обрабатывает LLM. Причем традиционные средства веб-защиты воспринимают это как обычное сообщение от пользователя, а не как атаку.

Модуль LLM Firewall встает между приложением и языковой моделью, внимательно проверяя входящие запросы и ответы. Ищет джейлбрейки, попытки вытащить системные инструкции или использовать возможности ИИ-агента в интересах атакующего. Находит — блокирует или фиксирует для разбора.

А еще — контролирует, какую информацию пользователи передают ИИ в своих запросах. При этом обращает внимание как на персональные данные, пароли, ключи доступа и другие секреты, так и на токсичный, запрещенный и потенциально опасный контент.

Двусторонняя проверка позволяет компаниям контролировать и входящую информацию, и исходящую, избегая репутационных рисков из-за некорректных ответов бота пользователям.

Кому пригодится такая защита

Можем честно сказать, что всем. Но в первую очередь организациям, много общающимся с пользователями через ИИ-сервисы или внедряющим их прямо сейчас. Например, банкам, ретейлерам, маркетплейсам, телеком-операторам и ИТ-компаниям. Здесь риски атак на LLM-модели выше, а компрометация чувствительных данных может привести к утечкам информации, финансовым потерям и сбоям в работе бизнеса.

«Мы прогнозируем рост числа атак, при которых злоумышленники будут пытаться манипулировать поведением ИИ-ассистентов, чтобы выполнять вредоносные действия в корпоративной сети от их имени. По мере расширения возможностей таких помощников растут и последствия их компрометации. Поэтому компаниям важно учитывать эти риски уже при внедрении ИИ в свои сервисы», — говорит Павел Пархомец, руководитель продукта PT AF Cloud.

Как подключить модуль

Хорошая новость: модуль уже интегрирован в PT AF Cloud и подключается к обмену данными через API, совместимый с OpenAI. Отдельная консоль не нужна. Скоро он будет и в on-premise версии PT AF PRO.

Так что вам останется только настроить политики и выбрать режим — мониторинга или блокировки, чтобы спать спокойно не переживать о безопасности своих ИИ-помощников.

#PTAFCloud
@Positive_Technologies

🤩 Каскад ИИ-моделей в MaxPatrol O2 помогает закрыть две трети инцидентов и обрабатывает их в 60 раз быстрее человека

У него нет задачи заменить настоящих аналитиков SOC, но наш продукт способен быстро и качественно делать за них рутинную работу: разбирать события ИБ и выносить вердикты по ним. Сейчас расскажем подробнее.

Как работает обычный SOC

Как диспетчерская, куда каждые сутки валится примерно 3000 алертов. При этом перелопатить вручную такой поток аналитики не успевают, ведь на каждый инцидент им надо потратить не меньше 15-20 минут. В итоге почти две трети (63%) так и остаются неразобранными. Самое неприятное — среди них вполне могут прятаться те, которые сообщают о начале кибератаки.

Как работает SOC с MaxPatrol O2

Как та же диспетчерская, но первичную обработку заявок в ней берет на себя каскад ИИ-моделей. При этом работают они по схеме аналитиков первой и второй линий.

Сначала ML-модели оценивают каждый инцидент и автоматически закрывают ложные срабатывания. Те, за которыми могут скрываться действия злоумышленников, передают ИИ-агенту. А он уже выдвигает гипотезу, проверяет ее по событиям из разных источников, выдает вердикт и формирует понятный и хорошо структурированный отчет для SOC.

Он содержит перечень событий ИБ, собранных агентом, а также похожие инциденты с вердиктами, по которым можно проверить его решение. Аналитик может проследить каждый факт в отчете до исходного события.

Обработка рядового инцидента (а таких примерно две трети) занимает 15-20 секунд, а в случаях посложнее, где человеку пришлось бы копаться в логах полдня, у ИИ уйдет на вердикт с подробными объяснениями не более 15 минут.

Технологии MaxPatrol O2 уже используются в PT X — нашем облачном решении для мониторинга и реагирования на киберугрозы. При этом точность сверхвысокая: вердикты MaxPatrol O2 более чем на 98% совпадают с вердиктами PT X, сверенными с решениями аналитиков.

Как это меняет подход к кибербезу

Кардинально — с реактивного на проактивный. Раньше первый ход делали злоумышленники, а защитники в ответ усиливали ИБ-продукты. Теперь же ИИ в MaxPatrol O2 не только реагирует на вредоносные действия быстрее, чем человек, но и строит гипотезы о поведении злоумышленников, давая SOC возможность действовать превентивно.

На пути к автопилоту

В планах команды разработки — добавить продукту автономности и сократить долю инцидентов, требующих ручной работы, с трети до 10% случаев.

Но уже сейчас он способен существенно разгрузить SOC и дать аналитикам возможность быстрее реагировать на инциденты и предупреждать их. Попробовать MaxPatrol O2 можно, оставив заявку на пилот на нашем сайте.

#MaxPatrolO2
@Positive_Technologies

Доверять нельзя контролировать: кибербез в эпоху ИИ

В 11:00 начнется главная дискуссия Positive Security Day.

Подключайтесь онлайн на сайте конференции 🎙️

ИИ становится частью бизнеса: агенты действуют от имени компаний, разработка ускоряется, а злоумышленники получают новые возможности для масштабных атак.

Как меняются риски и ответственность? Что нужно изменить в подходах к безопасности, чтобы сохранить контроль над ИИ и защитить бизнес в новой реальности?

Эти вопросы обсудят визионеры Positive Technologies.

#PSD2026
@Positive_Technologies

Как взлом одного контроллера может уничтожить оборудование, продукцию и бизнес

У нас был чемодан промышленных контроллеров от разных вендоров, PT ISIM и желание сделать суперстенд на PSD 2026. Не то чтобы нам нужно было доказывать, что мы круто умеем защищать промышленные системы, но раз уж начали демонстрировать работу продукта на практике, сложно остановиться.

В этот раз запустим на стенде настоящее мини-предприятие: смоделируем его инфраструктуру (про чемодан с контроллерами мы не шутили) и часть производственных и технологических процессов. А потом покажем, как кибератака выходит за пределы ИТ и к каким последствиям это может привести. Немного закулисья — на видео к посту.

Читали, наверное, о том, как во Франции холодильники в супермаркетах вместо того, чтобы охлаждать продукты, больше шести часов нагревали их до 50° C? Все потому, что злоумышленники получили доступ к управлению температурой холодильных систем Danfoss и переключили их с холода на жару. В итоге продукты испорчены, магазины — в убытках.

Вывод простой: одна из главных опасностей атак на технологический сегмент — физические последствия. На стенде покажем это сразу на двух сценариях. Причем в обоих случаях точкой входа станет незащищенная Wi-Fi-камера.

🔥 Первый — промышленный. Из-за взлома контроллера может не просто остановиться погрузка топлива, но и произойти авария, а то и крупный пожар.

🌡 Второй — технологический. Здесь контроллеры управляют системой охлаждения ЦОД. Если их работа нарушится, серверы могут перегреться, а это грозит повреждением оборудования, потерей данных и остановкой части производственных и бизнес-процессов.

Почти как с холодильниками, только последствия могут быть гораздо серьезнее.

Но наша цель — не напугать, а показать, чего можно избежать, если грамотно защищать промышленные системы. PT ISIM предупредит об атаке на контроллеры еще до того, как злоумышленники успеют их отключить или перенастроить.

Приходите на стенд уже завтра! Покажем, как продукт обнаруживает атаки, какие события фиксирует и как помогает расследовать попытки взлома.

Регистрация на Positive Security Day — на сайте.

#PTISIM
#PSD2026