Хакер | Этичный хакинг с Михаилом Тарасовым

Интернет полыхает миллионами пейлоадов

Если ты думал, что старый добрый PHP мирно доживает свой век, то искусственный интеллект только что перевернул эту песочницу вверх дном. Свежая связка критических RCE-багов PHP2Shell (CVE-2026-109618 и CVE-2026-109619 с CVSS 9.2), вытащенная на свет нейросетью GPT-5.6 Sol, заставила потеть сисадминов по всей планете. Глава Cloudflare Мэттью Принс подтвердил: счет попыток эксплуатации перевалил за миллионы, а сканеры в сети устроили настоящую ковровую бомбардировку. 💣🔥

Точка входа и архитектурный факап
Дыра зарыта прямо в ядре управления памятью интерпретатора PHP, затрагивая ветки от 5.4 вплоть до 8.5. Модель Sol нащупала логику повреждения памяти, которая позволяет удаленному неаутентифицированному атакующему перезаписать критические структуры процесса и перехватить поток выполнения.

Что сразу бросилось в глаза нашей братии:

- Полное отсутствие необходимости в авторизации для триггера уязвимости.
- Масштаб поражения охватывает до 70% веб-серверов в мире.
- Детект в wild начался за дни до релиза официальных заплаток.

Вектор атаки и механика эксплойта
Боевой вектор строится на манипуляции некорректными адресами памяти через специально сформированный HTTP-запрос. Когда веб-сервер кормит сырые байты парсеру PHP, поврежденный буфер открывает дорогу к исполнению шеллкода прямо в контексте демона веб-сервера www-data.

Автоматизированные ботнеты перешли от фаззинга к заливке веб-шеллов за считанные минуты после анонса. Cloudflare успел накинуть временные экраны за часы до паблика, но миллионы эндпоинтов смотрят наружу напрямую без проксирующих прослоек. 🔍💻

Мнение специалиста о новой эре
Как специалист по информационной безопасности, констатирую факт: правила игры в поиске уязвимостей необратимо изменились. 🛡️ Когда языковые модели вроде GPT-5.6 Sol начинают стабильно выкапывать низкоуровневые баги памяти тринадцатилетней выдержки, классический аудит кода человеком становится архаизмом.

Безопасность держится не на вере в вендоров, а на непрерывном контроле поверхности атак. Если инфраструктура вашего бизнеса висит на легаси-версиях без виртуального патчинга и строгой изоляции процессов, захват сервера - это лишь вопрос тайминга следующего запроса атакующего.

Срочный чек-лист для выживания

Забирайте базовый план экстренной защиты инфраструктуры: ⚙️🚨

- Накатить экстренные патчи PHP до сборок 8.2.35+, 8.3.26+, 8.4.15+ или 8.5.1+.
- Активировать сигнатуры PHP2Shell на уровне межсетевых экранов WAF.
- Срезать привилегии пула php-fpm и загнать процессы в изолированные контейнеры.
- Мониторить аномальные бинарные дампы и появление неизвестных скриптов в веб-директориях.

Уязвимость в Signal оставляла микрофон и камеру активными после завершения разговора

Красная кнопка отбоя это фикция

Нажал сброс звонка, выдохнул и спокойно обсуждаешь конфиденциальные дела вслух? 🤫 Свежая уязвимость CVE-2026-113380 в библиотеке RingRTC с критическим рейтингом 9.3 по CVSS превратила даже параноидальный Signal в шпионский жучок. Ты думаешь, что сессия оборвана, а собеседник продолжает слушать твою комнату в прямом эфире.

Анатомия бага в стеке WebRTC
Корень проблемы сидит в логике работы конечного автомата RingRTC. Вместо жесткого разрыва медиапотока на уровне ядра команда завершения звонка ставилась в общий хвост очереди входящих событий. Злоумышленнику достаточно было залить канал спамом сигнальных пакетов, чтобы команда hangup просто застряла. 💣

Интерфейс мессенджера радостно рисовал закрытие экрана звонка, пока микрофон и камера продолжали транслировать данные. WAF - это не стена, а приглашение, но здесь даже ломать шифрование не пришлось: банальная логическая ошибка архитектуры свела на нет протокол Signal.

Мнение специалиста о защите приватности
Как специалист по безопасности, подчеркну главное: безупречное сквозное шифрование теряет смысл, если сбоит логика управления состояниями клиента. 🛡️ Пользователи совершают системную ошибку, когда слепо делегируют свою безопасность одному «приватному» бренду и забывают об эшелонированной обороне.

Вектор атаки доказывает, что приватность софта не гарантирует аппаратную изоляцию сенсоров. Если приложение монопольно рулит микрофоном и камерой без жесткого системного тайм-аута, любая бага в сетевом стеке способна скомпрометировать весь периметр.

Чеклист цифровой гигиены для подписчиков
Патч уже вышел в RingRTC 2.72.0, поэтому внедряем базовые правила гигиены: ⚙️📱

- Срочно обновите клиенты Signal на смартфонах и десктопах до актуальных сборок.

- Всегда обращайте внимание на цветные индикаторы активности микрофона и камеры в ОС.

- Запрещайте мессенджерам фоновый доступ к мультимедиа в настройках системы.

- Принудительно выгружайте процесс из памяти после важных закрытых созвонов.

В прошлом посте мы вскрыли неприятную правду: спрос на обычных кодеров рухнул почти вдвое 📉

Но пока одни пишут петиции и ругают нейросети, другие фиксируют рекордный рост зарплат и бонусов 💼💰

Куда перетекли бюджеты?

Компании больше не хотят платить за «нажатие кнопок». Они платят за то, что защищает их бизнес от катастрофы и простоев. Вот 3 направления, где сейчас дефицит кадров и повышенный спрос:

🛡 1. DevSecOps и безопасность приложений (AppSec)
Код, написанный за 5 минут с помощью ИИ, полон уязвимостей. Бизнес теряет миллионы на утечках данных. Тот, кто умеет встроить сканеры в CI/CD, настроить WAF и найти logic bugs до релиза, стоит дороже трёх рядовых разработчиков.

🤖 2. Безопасность нейросетей и LLM-сервисов
Все бросились внедрять ИИ-ботов и агентов. А кто думает про Prompt Injection, отравление данных и утечки системных промптов? Специалисты по защите ИИ-инфраструктуры - это штучный товар с огромным чеком прямо сейчас.

⚙ 3. Высоконагруженные отказоустойчивые системы
Когда инфраструктуру режут по бюджетам, побеждает оптимизация. Умение выжать максимум из железа, настроить профилирование и снизить стоимость серверов в разы - золотой навык.

Главный вывод 2026 года:
Не будь просто кодером. Будь инженером, который понимает архитектуру и умеет защищать созданное.

Эпоха «войти в IT за две недели» официально схлопнулась 📉💥


Если заглянуть в свежую телеметрию от ЦМАКП и hh.ru, цифры отрезвляют: спрос на рядовых разработчиков рухнул на 47%, а на ручных тестировщиков - на рекордные 55%. На одну junior-позицию теперь выстраивается очередь из десятков кандидатов.


Куда делся вечный дефицит кадров? Разбираем баги в системе найма:


⚡ Перегрев рынка. Годами курсы штамповали специалистов по шаблону, завалив HR-фильтры сотнями тысяч одинаковых резюме с пет-проектами из одного и того же туториала.


🤖 Экспансия нейросетей. Бойлерплейт, типовой CRUD и простые скрипты сегодня за секунды нарезает ИИ. Один опытный специалист в связке с LLM закрывает задачи целого отдела джунов.


📊 Оптимизация бюджетов. Бизнес перестал заливать деньги в сырые гипотезы и требует быстрой окупаемости каждого процесса.


Значит ли это, что индустрия умирает? 🛑


Нет. Умирает монотонная рутина. Пока спрос на простой набор текста падает, направления кибербезопасности, DevSecOps, системной архитектуры и ML растут как на дрожжах. Бизнесу больше не нужны наборщики кода - бизнесу нужны инженеры, умеющие проектировать устойчивые системы и защищать данные от сливов.


Как оставаться востребованным в 2026 году:


🔹 Углубляйтесь в архитектуру и бизнес-логику, а не просто заучивайте популярные фреймворки.
🔹 Осваивайте основы безопасности: код, защищённый от уязвимостей, стоит в разы дороже.
🔹 Превращайте нейросети в личный ускоритель работы, а не бойтесь конкуренции с ними.
🔹 Прокачивайте личный бренд и профильный нетворкинг - слепые отклики больше не работают .

🔥🚨 PHP2Shell: шеллы летели за 4 дня до релиза патчей. Разбор критической аварии веб-сегмента

Только мы с вами обсудили разницу между 0-day и N-day, как подъехала тяжелая артиллерия из мира реальных инцидентов. 🧨

Исследователи Amazon Threat Intelligence сообщили о тревожном факте: их глобальная сеть ханипотов MadPot зафиксировала первые попытки боевой эксплуатации уязвимостей PHP2Shell еще 17 октября 2026 года - за четыре дня до официального снятия эмбарго и выхода спасительных патчей. Сейчас сканеры гудят по всему миру, а эксплуатация приобрела характер ковровой бомбардировки.

Давайте разберём, почему интернет трясет и чем этот кейс показателен для каждого безопасника. 👇

🎯 Что такое PHP2Shell и почему все на ушах?

Под звучным именем скрываются две критические уязвимости в ядре PHP (CVSS 9.2): CVE-2026-109618 и CVE-2026-109619.

Если говорить языком пентестера: это unauthenticated Remote Code Execution (RCE). Злоумышленнику не нужны учетные записи или особые права. Дыра сидит в парсинге запросов multipart/form-data (то, через что браузеры загружают файлы) и срабатывает до того, как управление передается коду вашего сайта.

Под угрозой оказывается буквально любой доступный PHP-эндпоинт наружу: от формы обратной связи и страницы авторизации до банального /healthcheck.php.

🕵️‍♂️ Точка входа и хроника утечки: что настораживает?

1️⃣ Утечка из-под эмбарго:
Когда баг находится на закрытом согласовании у вендоров, а атаки уже идут с анонимизированных IP-сетей - это значит, что у кого-то потёк PoC либо злоумышленники независимо обнаружили ту же брешь.

2️⃣ Мгновенная автоматизация:
Как только 21 октября патч появился в репозиториях, в течение нескольких часов вышли публичные эксплойты, и волна атак накрыла сотни тысяч серверов.

🛡 Мой взгляд как специалиста по кибербезопасности:

Этот инцидент сносит любимый миф админов: «Если об уязвимости объявили в среду, значит, до среды нас никто не трогал».

Amazon прямо рекомендует пересматривать логи и инциденты минимум с 17 октября, а не с момента публикации CVE. Если ваш сервер смотрел в сеть на уязвимой версии PHP - исходите из предположения, что к вам уже постучались.

✅ Что делать прямо сейчас (Red & Blue Team гайд):

1️⃣ Немедленно обновите рантайм PHP:
Патчи вышли в ветках: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. На версиях 7.x спасения нет - только миграция на актуальные поддерживаемые релизы.

2️⃣ Проверьте веб-логи за последнюю неделю:
Ищите аномальные POST-запросы, содержащие маркеры вроде PHP_SESSION_UPLOAD_PROGRESS в теле multipart-форм, а также резкие всплески ошибок переполнения памяти worker-процессов.

3️⃣ Временный костыль (если обновиться сию секунду нельзя):
Настройте правила WAF на блокировку или жесткую фильтрацию нестандартного multipart-трафика и ограничьте размер тела запросов на внешнем прокси/балансировщике.

4️⃣ Ищите следы закрепления:
Проверьте каталоги /tmp, веб-директории и задачи в crontab на появление свежих веб-шеллов и подозрительных коннектов наружу.

Как говорится: тишина после заливки шелла длится ровно до тех пор, пока атакующий не начнет выгружать дампы. 💣 Не надейтесь на удачу - проверяйте логи.

Пишу новую книгу: «AI-Пентестер». Сейчас можно оформить предзказ. Содержание и цена внутри статьи:

https://vk.ru/@mikhail_tarasovcom-pishu-novuu-knigu-ai-pentester-seichas-mozhno-oformit-predzk

WAF больше не спасет: как ломать и защищать нейросети до того, как они взломают твой сервер 🛡⚡

Привет, дорогие друзья! Пока безопасники по старинке сканируют порты утилитой nmap и спорят о настройках фаерволов, в индустрии offensive security произошел фундаментальный тектонический сдвиг.

Сегодня практически каждый корпоративный сервис обвешивают искусственным интеллектом: чат-ботами с доступом к внутренним базам данных, RAG-поиском и автономными агентами, которым бездумно выдают права на выполнение системных команд.

Админы наивно полагают, что их периметр надежно защищен. Но для нас это не стена, а прямое приглашение на закрытую вечеринку.

Я пишу книгу «AI-Пентестер», чтобы дать тебе в руки практический арсенал наступательной безопасности нового поколения. Это не сборник академической теории и не пересказ банальных промптов из интернета. Это полноценный боевой Red Team гайд, основанный на практических уязвимостях стандартов OWASP LLM и актуальных векторах атак.

Что зашито под обложкой:

💥 Взлом нейросетевой инфраструктуры: от скрытых непрямых инъекций (Indirect Prompt Injection) до отравления векторных баз данных в пайплайнах RAG .
🛠 Эксплуатация протокола MCP: перехват управления автономными агентами и удаленное выполнение кода через небезопасный вызов системных инструментов.
🤖 Твой персональный AI-арсенал: учим открытые локальные модели проводить семантический фаззинг API, генерировать полиморфные пейлоады для гарантированного обхода WAF и писать кастомные расширения для Burp Suite.
🎯 20 полноформатных глав и изолированные полигоны: от разбора точки входа до готовых конфигураций Docker Compose для безопасной отработки эксплойтов.

🔥 Спецусловия предзаказа прямо сейчас: 990 ₽
📈 Цена на релизе: 1 690 ₽

Ты забираешь не просто электронную книгу, а готовый инструментарий, который окупится с первого же найденного бага на закрытой программе Bug Bounty.

Содержание книги: https://vk.ru/@mikhail_tarasovcom-pishu-novuu-knigu-ai-pentester-seichas-mozhno-oformit-predzk

Для оформления предзаказа пиши в ЛС паблика: https://vk.ru/hacker_timcore

Успей зафиксировать скидку более сорока процентов до официального релиза. Увидимся в терминале! 😎

Новая книга в процессе написания. Много материалов накопилось за последнее время взаимодействия с AI в пентесте.

Будут две основных части (структура построена по принципу дуального Red Team: сначала мы ломаем саму нейросетевую инфраструктуру жертвы, а затем разворачиваем автономных агентов для классического взлома периметра. Проще говоря: сначала атаки на AI-системы, и затем атаки с помощью AI-систем).

Всего будет 20 глав с практическими заданиями.

⏳💥 0-day попадает в заголовки СМИ, но бизнес хоронят 1-day и N-day. Мой разбор как специалиста по ИБ

В прошлом посте мы говорили о дорогих и редких уязвимостях нулевого дня. Но если смотреть правде в глаза: когда я прихожу на пентест или аудит инфраструктуры, мне практически никогда не нужен 0-day, чтобы забрать домен или выгрузить чувствительную базу данных.

В 9 из 10 случаев периметр падает из-за 1-day и N-day. Давайте разберём, почему это происходит и где системные администраторы системно ошибаются. 👇

🔹 Что такое 1-day?
Это свежая уязвимость, о которой вендор официально сообщил «вчера» или в течение суток, выпустив патч и описание CVE.

🔹 Что такое N-day?
Где «N» - количество дней с момента релиза исправления. Это баг, лекарство от которого лежит в открытом доступе уже месяц, полгода или пару лет, но конкретный сервер до сих пор работает на уязвимой версии.

🔍 Точка входа: почему релиз патча открывает сезон охоты?

Многие админы свято верят: «Вендор выкатил апдейт - значит, угроза миновала». Но с точки зрения атакующего и реверс-инженера всё ровно наоборот: патч - это готовая подсказка.

Как только выходит бинарное обновление, мы берём версию «до» и версию «после» и прогоняем через patch diffing. Сравнение двух сборок мгновенно подсвечивает изменённые функции и проверки входных данных.

Пока служба безопасности компании согласовывает регламенты на обновление, под уязвимость уже собран рабочий PoC-эксплойт, а ботнеты начинают автоматизированное сканирование портов по всему интернету.

🛡 Мой взгляд как специалиста по кибербезопасности:

Главная уязвимость любого бизнеса - это не дыра в кодовой базе, а разрыв во времени (Remediation Gap) между выходом патча и его реальной установкой на продакшн.

Я постоянно вижу одну и ту же картину на проектах:

- Страх сломать прод: обновления месяцами «маринуются» на тестах из-за боязни нарушить работу legacy-сервисов.

- Слепые зоны инфраструктуры: забытые тестовые стенды, филиальные роутеры и брошенные API-ручки, которые светят наружу без единого обновления.

- Иллюзия WAF: админы ставят фильтрацию на периметре и надеются, что она перекроет незакрытый баг. Но WAF без патчинга - это не стена, а всего лишь приглашение немного повозиться с обфускацией payload'а.

✅ Что я рекомендую внедрять прямо сейчас:

1️⃣ Приоритизируйте по факту эксплуатации, а не только по CVSS.
Отслеживайте каталоги CISA KEV и метрики EPSS. Если уязвимость уже активно эксплуатируется «в дикой природе» - патч накатывается немедленно, в аварийном порядке.
2️⃣ Используйте виртуальный патчинг (Virtual Patching).
Если архитектура не позволяет обновить сервис здесь и сейчас, закройте специфический сигнатурный вектор правилами на WAF или IPS до момента полноценного релиза.
3️⃣ Проводите регулярную инвентаризацию активов (ASM).
Нельзя защитить сервер, о котором забыли два года назад. Сканируйте свой внешний периметр тем же инструментарием, каким его сканируют злоумышленники.
4️⃣ Сегментируйте сеть.
Даже если ваш веб-сервер упал под старым N-day эксплойтом, грамотная сегментация и изоляция не позволят злоумышленнику развить атаку внутрь корпоративного контура.

Запомните золотое правило: атакующему достаточно найти одну забытую строчку кода пятилетней давности, а вам нужно защищать всё и постоянно. 💣😎

🕳💣 Что такое уязвимость нулевого дня (0-day)?

0-day - это недостаток в ПО, железе или прошивке, о котором разработчик ещё не знает. Исправления нет, потому что у вендора было «ноль дней» на реакцию.

Тут много путаницы, поэтому разберём три термина. 👇

🔹 Zero-day уязвимость - сама дыра в коде.
🔹 Zero-day эксплойт - техника или код, который эту дыру использует.
🔹 Zero-day атака - момент, когда эксплойт применяют против реальных целей до выхода патча.

⚠️ Нюанс, о котором часто забывают:
Термин используют шире, чем кажется. Разработчик может уже знать о проблеме и готовить обновление, но пока патч недоступен пользователям, уязвимость тоже называют 0-day.

🔍 Почему это опасно:
Классический антивирус на сигнатурах тут почти бесполезен. Эксплойт использует баги в существующем ПО, а сигнатуры под него ещё не написаны. Более того, по данным M-Trends 2026, которые цитирует Zero Networks, среднее время до эксплуатации уже стало отрицательным (−7 дней): атаки нередко идут раньше выхода патча. Админы, которые думают «у нас всё обновлено, мы в безопасности», нервно курят в сторонке. 😏

🛡 Как защищаться, когда патча нет:

1️⃣ Сократите поверхность атаки: уберите лишнее, закройте ненужные сервисы.
2️⃣ Сегментируйте сеть, чтобы дыра на одном хосте не открывала всё остальное.
3️⃣ Используйте allowlisting и принцип наименьших привилегий.
4️⃣ Ставьте поведенческий мониторинг (EDR/XDR): он ловит аномалии вроде странных деревьев процессов, латерального движения и кражи учёток, даже если сам эксплойт неизвестен.
5️⃣ Приоритизируйте патчи по реальной эксплуатации: смотрите каталог CISA KEV и оценки EPSS, а не только CVSS.
6️⃣ Автоматизируйте установку патчей и заранее продумайте план реагирования на инциденты.

🚨🤖 ИИ-инструмент для пентестов ARTEX использовали в атаках на банки Южной Кореи

Специалисты CrowdStrike рассказали о серии атак на финансовые организации в Южной Корее. Злоумышленник применял опенсорсный ИИ-инструмент ARTEX и агентов Claude Code. 😳

Итог: утекли персональные данные клиентов пострадавших организаций, а некоторые банки столкнулись со сбоями в работе. 💸

💡 Что бросилось мне в глаза:

🔹 Инструмент создан для пентестов, но им воспользовались атакующие. Это классика dual-use: молоток один, а забить им можно и гвоздь, и чужую дверь. 🔨
🔹 Опенсорс и ИИ-агенты ускоряют работу обеим сторонам. Порог входа падает, а скорость атак растёт.
🔹 Страдают реальные люди: клиенты теряют контроль над персональными данными.
🔹 Сбои в работе банков показывают, что ущерб бывает не только информационным, но и операционным.

🛡 Мой взгляд как специалиста по ИБ:
Как человек из этичного хакинга я за открытые инструменты, и это не меняется. Но этот случай напоминает: защитник больше не может ориентироваться на «скрипт-кидди ломают медленно». ИИ-агенты автоматизируют разведку и рутину, поэтому окна между обнаружением уязвимости и эксплуатацией сжимаются. Админы, которые думали «нас такие инструменты не коснутся», пора проснуться.

✅ Что делать защитникам:
1️⃣ Ускорьте цикл патч-менеджмента: критичные уязвимости закрывайте в первую очередь и быстро.
2️⃣ Включите мониторинг аномалий: частые запросы, нетипичная автоматизированная активность, массовые обращения к данным.
3️⃣ Сегментируйте сеть и ограничьте права по принципу least privilege.
4️⃣ Минимизируйте хранение персональных данных: чего нет в базе, то не утечёт.
5️⃣ Проводите регулярные легальные пентесты и red team-учения, чтобы найти дыры раньше атакующих.
6️⃣ Отработайте план реагирования на инциденты: кто, что и в каком порядке делает, когда всё пошло не так.

Помните: все тесты проводим только с письменного разрешения владельца системы. Иначе это не пентест, а статья УК. ⚖️😎