GIS о кибербезопасности

💸 Ловушка открытых данных: почему бесплатные сливы опаснее продажи баз

За квартал хакеры заявили о шести утечках, среди которых 2ГИС, Wildberries и SplitVPN. При этом три лота опубликовал один и тот же продавец за сутки.

По мнению аналитика угроз команды ARKTIS компании «Газинформсервис» Заремы Шихметовой, три объявления, выложенные за одни сутки, являются фейком и «вбросом».

Эксперт подчеркивает: реальную опасность представляют именно бесплатные сливы в открытом доступе, поскольку такими данными может воспользоваться кто угодно. Так, в результате утечки SplitVPN были слиты токены и ID устройств, которые могут послужить материалом для захвата учетных записей.

☄️ Подробности анализа квартального ландшафта угроз и другие кейсы читайте в большом разборе по ссылке

#gis_новости #GSOC
@gis_cybersec

⚡️ Выявлены две критические уязвимости в интерпретаторе PHP — CVE- 2026-109618 и CVE- 2026-109619 (проект PHP2Shell). Обе имеют рейтинг CVSS 9.2 и позволяют злоумышленнику удалённо выполнять код без аутентификации.

Исправления вышли 21 октября, однако первые попытки атак Amazon зафиксировал на своих ловушках ещё 17 числа.
 
🔵 По словам эксперта по информационной безопасности компании «Газинформсервис» Арсения Мальгинова, уязвимость находится в ядре интерпретатора, поэтому потенциально уязвим любой сервер, который обрабатывает веб-запросы на PHP: PHP-FPM, Apache с mod_php, php-cgi.

«После обновления стоит проверить по журналам, не появилось ли новых .php-файлов и подозрительных процессов, запущенных от имени веб-сервера. Ветки 8.1 и более ранние исправлений не получат, а PHP часто может находиться там, где о нём вообще забыли, например на веб-интерфейсе мониторинга, сервис-деске или старом внутреннем портале», — отметил он.

🔍 Найти такие серверы можно через Efros DefOps: модуль ICC собирает перечень пакетов на Linux-хостах, поэтому версии PHP видны по всему парку, а моделирование векторов атак с помощью модуля VC на карте сети покажет, какие из уязвимых серверов доступны извне с учётом правил межсетевых экранов и маршрутизации.

Также эксперт рекомендует оперативно обновить PHP до актуальной версии, а после патчинга проверить журналы веб-серверов на признаки компрометации.

#gis_полезности #efros_defops
@gis_cybersec

🤝 «Газинформсервис» и «ГИГАНТ» подтвердили совместимость решений для защиты рабочих мест до запуска ОС 

Компании подтвердили совместимость рабочей станции ГИГАНТ ГКС-777 со средством доверенной загрузки SafeNode System Loader. Для бизнеса и государственных организаций это возможность выстраивать защиту рабочих мест начиная с момента включения компьютера, ещё до запуска операционной системы.

🔵 SafeNode System Loader встраивается в микропрограмму UEFI BIOS и обеспечивает защиту от несанкционированного доступа на этапе загрузки компьютера до старта операционной системы. Продукт поддерживает двухфакторную аутентификацию пользователей до загрузки ОС, контроль целостности UEFI и заданных файлов, блокировку запуска нештатной операционной системы, в том числе с внешних носителей.

«Попытка запустить компьютер с внешнего носителя не должна становиться способом обхода правил доступа к корпоративным данным. Поэтому важно проверять пользователя и целостность заданных компонентов ещё до старта операционной системы, а загрузку нештатной ОС — блокировать. Подтверждённая совместимость SafeNode System Loader с ГКС-777 дает заказчикам проверенное сочетание оборудования и средства защиты для проектов обновления рабочих мест. При использовании „Блокхост-Сеть 4“ развертыванием и настройками можно управлять централизованно. Это позволяет включать доверенную загрузку в стандарт оснащения рабочих мест и применять единые настройки защиты при дальнейшем расширении парка компьютеров», — подчеркнул Константин Хитрово, менеджер по продукту SafeNode System Loader компании «Газинформсервис».

⏺Рабочая станция ГИГАНТ ГКС-777 включена в реестр российской промышленной продукции Минпромторга России, а SafeNode System Loader входит в Единый реестр российского программного обеспечения.

🔗 Подробнее про совместимость можно узнать на сайте

🗣 Компания «Газинформсервис» примет участие в SOC Forum 2026.

Генеральная тема 2026 года — искусственный интеллект как инструмент в руках атакующих и защитников.

В рамках деловой программы в дискуссии «ИИ атакует вас первым. Почему бы этому ИИ не быть вашим?» примет участие Александр Михайлов, руководитель GSOC компании «Газинформсервис».

Сессия посвящена проверке киберустойчивости бизнеса с помощью ИИ, моделирующего действия атакующего.

«Дискуссия обещает быть увлекательной — мы коснёмся практической стороны применения ИИ не только в контексте защиты, но и в контексте нападения в интересах выстраивания защиты. Многое из того, что мы обсудим — методики, конкретные модели, советы — слушатели смогут внедрить в работу за считаные дни», — отметил руководитель GSOC.

📌 На стенде компании будут представлены ключевые разработки в области кибербезопасности:
• Security Operations ML Assistant (SOMA) — ML-ассистент для аналитиков SOC,
• GSOC — центр мониторинга и реагирования на инциденты ИБ,
• платформа защиты ИТ-инфраструктуры Efros DefOps
• киберполигон «Киберарена», позволяющий моделировать атаки на инфраструктуры предприятий.

☄️ Также на стенде будет представлен новый продукт линейки Efros — система поведенческого анализа трафика (NBA), органично дополняющая существующие продукты, в первую очередь NAC.

«Мы понимаем перспективы технологий ИИ как в атаке, так и в защите, но не всегда с точки зрения бизнеса уместно строить и защищать инфраструктуру для ИИ. В ряде случаев более "легкие" решения показывают не меньшую, а то и большую эффективность, особенно если они находятся на границе — сочетают статистические методы и оптимизированные под предметную область ИБ алгоритмы. Приглашаем посетить наш стенд и воочию убедиться в этом», — подчеркнул директор по продуктам компании «Газинформсервис» Сергей Никитин.

📍Форум пройдет 27–28 октября в московском кластере «Ломоносов». Приглашаем посетить стенд компании на втором этаже

#GSOC #gis_участвует #efros_defops
@gis_cybersec

❗️Уязвимостей стало на 79% больше, а окно для патчинга сжалось до 1 дня.

Команды компании "Газинформсервис" ARKTIS и GSOC выпустили отчёт по ландшафту угроз за III квартал 2026 года. Главные выводы: эксплоиты выходят моментально, а злоумышленники смещают фокус на периметр и ИИ.

Ханипоты Arktis зафиксировали 17,9 млн атак (рост на 540% по сравнению со II кварталом). Россия поднялась с шестого на третье место по числу атак (2 млн атак, 11%).

🔴Ключевые цифры квартала:
— В NVD опубликовано 36 971 CVE (+79% ко II кварталу).
— У 32% новых уязвимостей с известной датой PoC эксплоит появляется в день публикации или раньше.
— CVSS больше не панацея: из 192 критических уязвимостей в каталог KEV попали лишь 17%.

🔴Главный тренд: AI/ML — новая поверхность атаки
Этот блок заслуживает отдельного внимания. В выборке из 5 популярных AI/ML-продуктов (LangFlow, n8n, Open WebUI, LiteLLM, Ollama) выявлено 204 уязвимости.
— 56% из них имеют высокую или критическую оценку.
— Уязвимости шлюзов (например, LiteLLM) ведут к утечке ключей провайдеров.
— Ошибки оркестраторов (n8n) могут дать злоумышленникам доступ к внутренним сервисам.


🔗 Полная версия отчета – на нашем сайте. Помимо обзора угроз, в нем есть еще и практические рекомендации.

🔴 «Газинформсервис» и Security Vision проведут вебинар о сертифицированной среде на базе СУБД Jatoba

Спикеры:
- Арсений Мальгинов (менеджер по продвижению продукта «Газинформсервис»)
- Илья Силантьев (эксперт Security Vision)
разберут архитектурные преимущества связки, особенности применения в регулируемых инфраструктурах и подходы к обеспечению отказоустойчивости.

В программе вебинара:
1. Нормативные требования (в т.ч. Указ Президента РФ № 250 от 01.05.2022 г.).
2. Возможности Security Vision (no-code/low-code).
3. Гибкость архитектуры и 3rd-party компоненты.
4. Защита данных внутри ИБ-системы механизмами «Ятобы».
5. Работа в регулируемых инфраструктурах (ГИС, ИСПДн, КИИ).
6. Отказоустойчивость и доступность.
7. Эксплуатация и развитие решения.


⏰ Уже завтра - 21 октября, в 11:00

Регистрация открыта.

🗣 В середине октября компания F5 Networks обнародовала набор исправлений для веб-сервера с открытым кодом NGINX, который она развивает. В нем исправлено 11 уязвимостей, из которых 3 являются критическими – они получили оценку в 9.2 балла по CVSS версии 4. Поисковая система Netlas.io обнаружила на территории России наличие более 4,2 млн уязвимых установок данного решения.

🖥 NGINX — это высокопроизводительное ПО с открытым исходным кодом, которое чаще всего используют как веб‑сервер, обратный прокси, балансировщик нагрузки и HTTP‑кэш. Часто он является компонентом сложного веб-приложения – именно он доступен из открытой сети интернет и занимается обработкой и маршрутизацией поступающих веб-запросов. Уязвимость в нем приводит к нарушению защиты всего веб-приложения.

Сам по себе NGINX очень широко используется в России, – заявил TAdviser Владислав Шелепов, аналитик угроз GSOC «Газинформсервис». – Он встречается на подавляющем большинстве сайтов, размещенных на российских серверах. При этом NGINX часто работает не только как веб-сервер, но и как обратный прокси перед корпоративными приложениями.

3️⃣ критические уязвимости обнаружены в одном компоненте продукта – NGINX worker:
• CVE-2026-15176 – относится к классу переполнения буфера (CWE-122);
• CVE-2026-93479 – также является переполнением буфера, однако для ее эксплуатации необходимы немного другие условия;
• CVE-2026-97205 – относится к классу использования после освобождения (CWE-416).

Эти уязвимости можно использовать для манипуляции памятью, однако при условии выключенной защиты от таких манипуляции с помощью рандомизации адресного пространства (ASLR). Либо злоумышленнику придется разрабатывать специальную технику для обхода подобной защиты. Это усложняет разработку универсального эксплойта для массовой атаки с проникновением в систему, однако для организации DDoS-атак эти уязвимости вполне подходят и так.

Пользователям версий R37, в которых обнаружен обсуждаемый дефект, лучше всего обновиться до безопасных версий продукта 37.1.0.1 и 37.0.5.1, в которых обнаруженная уязвимость устранена. В более ранних версиях – R36 и младше – этой ошибки нет совсем.

🎙 По словам Владислава Шелепова, обнаруженные уязвимости позволяют удаленному злоумышленнику без авторизации вызвать сбой рабочего процесса NGINX, что может привести к недоступности веб-сервиса. При определенных условиях возможно и выполнение произвольного кода, но для этого защита ASLR должна быть отключена либо обойдена атакующими.

🎙 Эксперт отметил, что, по условиям эксплуатации, сама версия еще не гарантирует успешную атаку. Например, для CVE-2026-97205 требуется определенное сочетание асинхронного ввода-вывода и обработки серверного дополнения SSI. У двух других уязвимостей тоже есть условия, связанные с конфигурацией NGINX. Поэтому ожидается, что прежде всего будут попытки найти серверы, где совпадают необходимые условия эксплуатации.

Полная версия материала на портале