← Архив

#supply-chain

9 ноября 2026 г.November 9, 2026 день целиком 1 новостьstory

• Безопасность Пакет @ethersphere/bee-js 13.3.0 подменили: при установке крадёт данные кошелька SwarmThe @ethersphere/bee-js 13.3.0 package was compromised to steal Swarm wallet data at install time В npm-пакете @ethersphere/bee-js версии 13.3.0 обнаружили вредоносный код, который выполняется при установке, ищет данные кошелька Swarm Desktop и пытается закрепиться в системе. Судя по всему, для публикации использовали украденные учётные данные сопровождающего.The @ethersphere/bee-js npm package version 13.3.0 contains malicious install-time code that looks for Swarm Desktop wallet data and tries to establish persistence. The release appears to have used stolen maintainer credentials.

8 ноября 2026 г.November 8, 2026 день целиком 2 новостиstories

• Безопасность Важно Фальшивые «инструменты безопасности» на GitHub заразили больше 2000 Windows-системFake "security tools" on GitHub infected more than 2,000 Windows systems Dr. Web обнаружила кампанию, которая два года публикует на GitHub репозитории с якобы сканерами и скриптами для анализа логов. Внутри — PowerShell-цепочка, загрузчик Microsoft.exe, AsyncRAT, клиппер и стилер; всего пострадали более 2000 машин.Dr. Web found a campaign that has spent two years publishing GitHub repositories posing as scanners and log-analysis scripts. Inside is a PowerShell chain, the Microsoft.exe loader, AsyncRAT, a clipper and a stealer; more than 2,000 machines are affected.
• Безопасность Ruby-гем strutil-core оказался червём: крал SSH и Git-доступы и пытался размножиться по npm и PyPIThe strutil-core Ruby gem turned out to be a worm stealing SSH and Git access and trying to spread via npm and PyPI Вредоносный гем strutil-core 1.0.1 пробыл в публичном доступе около пяти часов: его пометили как malware через 70 секунд после публикации, но удалили только к 09:13 UTC. При установке он запускал червя, который собирал учётные данные и пытался распространиться через npm, PyPI, Artifactory, GitHub и GitLab.The malicious gem strutil-core 1.0.1 was publicly available for about five hours: it was flagged as malware 70 seconds after publication but removed only by 09:13 UTC. On install it launched a worm that harvested credentials and tried to spread through npm, PyPI, Artifactory, GitHub and GitLab.

7 ноября 2026 г.November 7, 2026 день целиком 1 новостьstory

• Безопасность CWPdoor: бэкдор в подменённой панели CWP, рядом с Ebury и сотнями тысяч открытых панелейCWPdoor: a backdoor inside a trojanized CWP panel, alongside Ebury and hundreds of thousands of exposed panels XLab нашла Linux-бэкдор CWPdoor внутри подменённой версии панели CentOS Web Panel: он молчит и отвечает только на специально сформированные зашифрованные запросы. Рядом обнаружился Ebury, а в интернете открыто больше 340 тысяч панелей CWP.XLab found CWPdoor, a Linux backdoor inside a trojanized build of CentOS Web Panel: it stays silent and answers only crafted encrypted requests. It shipped alongside Ebury, and more than 340,000 CWP panels are exposed online.

6 ноября 2026 г.November 6, 2026 день целиком 2 новостиstories

• Безопасность Важно В APT нашли дыру: подмена «проверенных» пакетов даёт root в Debian и UbuntuA hole in APT lets a man-in-the-middle swap 'verified' packages and gain root on Debian and Ubuntu CVE-2026-109518 (CVSS 7.7) в пакетном менеджере APT позволяет атакующему в позиции man-in-the-middle подменить пакет, который система считает проверенным, и выполнить код с правами root. Уязвимость включена по умолчанию в Debian 12 и Ubuntu 22.04 и новее; исправления уже вышли.CVE-2026-109518 (CVSS 7.7) in the APT package manager lets a man-in-the-middle substitute a package the system considers verified and run code as root. The flaw is on by default in Debian 12 and Ubuntu 22.04 and later; fixes are available.
• Безопасность Лаунчер NIKKE на ПК подменили: через официальный CDN раздавали RAT, крадущий пароли и кошелькиThe NIKKE PC launcher was tampered with: a credential-stealing RAT was served via the official CDN Лаунчер Goddess of Victory: NIKKE для ПК стал жертвой атаки на цепочку поставок: в легитимные JavaScript-файлы вшили логику, которая скачивала удалённый агент K2F. 4 ноября разработчики подтвердили подмену скриптов, но один изменённый файл ещё отдавался с CDN.The Goddess of Victory: NIKKE PC launcher suffered a supply-chain attack: malicious logic was hidden in legitimate JavaScript and downloaded the K2F remote-access agent. On 4 November the developers confirmed script tampering, but one modified file was still being served from the CDN.

3 ноября 2026 г.November 3, 2026 день целиком 1 новостьstory

• Безопасность Google разобрала ботнет XCPE из 1,3 млн Android TV приставок и лишила производителя лицензииGoogle dismantled the 1.3-million-device XCPE botnet and revoked the maker's licence Google и партнёры отключили управляющую инфраструктуру XCPE — ботнета из более чем 1,3 млн Android TV приставок. Заодно отключили ещё около 10 млн устройств и обвинили производителя Videostrong в том, что бэкдор в прошивку заложили намеренно.Google and partners took down the command infrastructure of XCPE, a botnet of more than 1.3 million Android TV boxes. They also cut off about 10 million more devices and accused manufacturer Videostrong of deliberately planting the backdoor in firmware.

2 ноября 2026 г.November 2, 2026 день целиком 1 новостьstory

• Безопасность Важно Эксплуатируется Alpine Linux пересобрала свой GitLab после попытки взлома через CVE-2026-97229Alpine Linux rebuilt its GitLab after an attempted CVE-2026-97229 intrusion Разработчики Alpine Linux раскрыли попытку эксплуатации критической RCE в GitLab на gitlab.alpinelinux.org. Следов успешного взлома не нашлось, но контейнер пересобрали с нуля, пароли и токены заменили, а сервер снова открыли 29 октября.Alpine Linux disclosed attempted exploitation of the critical GitLab RCE against gitlab.alpinelinux.org. No signs of a successful breach were found, but the container was rebuilt from scratch, passwords and tokens were replaced, and the server reopened on 29 October.

1 ноября 2026 г.November 1, 2026 день целиком 1 новостьstory

• Безопасность Важно «Чёрный октябрь» для AI-платформ: у Northflank украли переменные окружения и жгли чужие API-ключиA black October for AI dev platforms: Northflank secrets stolen, customer AI keys abused Northflank после сигнала от Wiz попросила клиентов считать все переменные окружения расшифрованными и сменить ключи; позже компания подтвердила жалобы на несанкционированное использование AI-ключей клиентов. Wiz насчитала минимум девять инцидентов на платформах для AI-разработки за месяц.After a warning from Wiz, Northflank told customers to assume every environment variable had been decrypted and to rotate their keys; it later confirmed reports of unauthorised use of customer AI keys. Wiz counts at least nine incidents at AI developer platforms in a single month.

31 октября 2026 г.October 31, 2026 день целиком 3 новостиstories

• Безопасность Важно В маркетплейсе Cursor подменили расширение Claude Code: внутрь вшили SSH-бэкдорClaude Code extension was tampered with in the Cursor marketplace and shipped an SSH backdoor 29 октября в маркетплейсе Cursor около 11 часов были доступны вредоносные версии Anthropic.claude-code 2.1.312 и 2.1.313 для Windows и macOS. Расширение собирало данные о хосте, добавляло чужой SSH-ключ и пыталось поднять обратный туннель.For about 11 hours on 29 October, the Cursor marketplace served malicious builds of Anthropic.claude-code 2.1.312 and 2.1.313 for Windows and macOS. The extension collected host data, added an attacker SSH key and tried to open a reverse tunnel.
• Безопасность У Polymarket украли средства пользователей через взлом стороннего провайдера DebugBearPolymarket users lost funds after a breach at third-party provider DebugBear Polymarket остановила торги на международной площадке после несанкционированных выводов со счетов. По данным CNBC, причиной стал взлом стороннего поставщика DebugBear; компания вернула 95% кошельков и передала дело британской полиции.Polymarket halted trading on its international exchange after unauthorised withdrawals from user accounts. CNBC reports the cause was a breach at third-party provider DebugBear; the company has refunded 95% of wallets and referred the matter to UK police.
• Безопасность Trezor предупредила о возможном импланте в Safe 5, купленном у CryptoBilisTrezor warns of a possible implant in a Safe 5 bought from CryptoBilis Клиент из Индонезии нашёл в Trezor Safe 5 постороннюю плату: по описанию она снимает изображение с экрана, включая seed-фразу, и передаёт его по сотовой сети. Trezor пока не изучала устройство, но просит купивших у CryptoBilis с марта перевести средства.A customer in Indonesia found an extra circuit board in a Trezor Safe 5 that reportedly captures the screen, including the recovery phrase, and transmits it over cellular. Trezor has not examined the device but urges anyone who bought from CryptoBilis since March to move funds.

30 октября 2026 г.October 30, 2026 день целиком 2 новостиstories

• Безопасность За 43 минуты — 61 репозиторий: атакующий через issues и комментарии пытался вытащить секреты из CI61 repos in 43 minutes: attacker used issues and comments to try to pull secrets from CI Radware описала кампанию против GitHub-проектов, среди них Trivy, MLflow, Brave и Homebrew Cask. Команды прятали в HTML-комментариях issues и PR: уязвимые workflow подставляли текст в shell. Минимум в двух случаях код выполнился.Radware described a campaign against GitHub projects including Trivy, MLflow, Brave and Homebrew Cask. Commands hidden in HTML comments in issues and PRs were spliced into shell by vulnerable workflows; code ran in at least two cases.
• Безопасность Фальшивые модели Qwen2 на Hugging Face снова майнят на GPU-серверах инференсаFake Qwen2 models on Hugging Face are back, mining crypto on GPU inference hosts Pluto Security нашла 31 вредоносный репозиторий под видом маленьких тестовых чекпойнтов Qwen2. Через trust_remote_code они ставят майнер и бэкдоры на серверы Xinference и GPUStack. Вторая волна появилась через несколько дней после удаления первой.Pluto Security found 31 malicious repositories posing as tiny Qwen2 test checkpoints. Via trust_remote_code they drop a miner and backdoors on Xinference and GPUStack hosts. A second wave appeared days after the first was taken down.

28 октября 2026 г.October 28, 2026 день целиком 1 новостьstory

• Безопасность Важно Warp раскрыл взлом: утекли логи AI-агента и телеметрия пользователейWarp discloses breach exposing AI agent logs and user telemetry Через уязвимость стороннего поставщика атакующий получил доступ к журналам решений агента и телеметрии пользователей Warp. По оценке CEO, затронут примерно 1% пользователей. Это второй за месяц инцидент у AI-инструментов для разработчиков после OpenCode.An attacker used a third-party vendor to reach Warp's agent decision logs and user telemetry. The CEO estimates roughly 1% of users were affected. It is the second breach of an AI developer tool this month, after OpenCode.

27 октября 2026 г.October 27, 2026 день целиком 4 новостиstories

• Безопасность Важно Ключи восьми промежуточных CA eMudhra оказались подбираемыми — trust store по всему миру обновляютсяEight eMudhra intermediate CA keys were guessable — trust stores everywhere are being patched Закрытые ключи промежуточных сертификатов eMudhra можно было восстановить, а значит — выпустить доверенный TLS-сертификат для любого домена. Браузеры уже заблокировали их, Chrome 27 октября удаляет корень emSign ECC Root CA – G3, а Python, Node.js, Go, Rust и дистрибутивы выпустили обновления.The private keys of eMudhra intermediate certificates could be recovered, enabling a trusted TLS certificate for any domain. Browsers have blocked them, Chrome removes the emSign ECC Root CA – G3 root on Oct 27, and Python, Node.js, Go, Rust and distros have shipped updates.
• Безопасность Важно Атака на цепочку поставок LiteLLM: вредоносная версия 1.107.0 попала в PyPI и DockerLiteLLM supply-chain attack: malicious 1.107.0 published to PyPI and Docker Через утёкший ещё в мае мастер-ключ злоумышленники захватили релизный пайплайн популярного AI-шлюза LiteLLM и выпустили версию с инфостилером и бэкдором. Нагрузка срабатывает при любом запуске Python, даже если LiteLLM не импортируется.Using a master key leaked back in May, attackers hijacked the release pipeline of the popular LiteLLM AI gateway and shipped a version with an infostealer and backdoor. The payload runs on every Python start, even if LiteLLM is never imported.
• Безопасность Кампания Gheist крадёт секреты GitHub Actions в 850+ аккаунтах через украденные токеныGheist campaign steals GitHub Actions secrets from 850+ accounts using stolen tokens Автоматизированная кампания пушит в репозитории вредоносный workflow, который печатает все секреты в base32 в обход маскировки и тут же удаляет запуск. Затронуты и приватные репозитории, и GitHub Enterprise Server; кампания продолжается.An automated campaign pushes a malicious workflow that prints every secret as base32 to bypass masking, then deletes the run. Private repos and GitHub Enterprise Server are hit too; the campaign is ongoing.
• Разработка GitHub запустил package firewall — прокси, фильтрующий npm-пакеты до установкиGitHub launches package firewall — a proxy that filters npm packages before install Новый сервис в публичном превью встаёт между вашими машинами и npm-реестром и блокирует вредоносные, уязвимые и слишком свежие пакеты. Это ответ на волну атак на цепочку поставок, где пакеты ставят агенты и CI без участия человека.A new public-preview service sits between your machines and the npm registry and blocks malicious, vulnerable and too-fresh packages. It targets the wave of supply-chain attacks where agents and CI install packages with no human in the loop.

23 октября 2026 г.October 23, 2026 день целиком 1 новостьstory

• Безопасность Pillow 13.0.0 закрывает критические уязвимости, включая выполнение команд через EPSPillow 13.0.0 fixes critical flaws, including command execution via EPS В популярнейшей Python-библиотеке для изображений исправлены несколько уязвимостей с оценкой CVSS 9.2 — от инъекции команд через Ghostscript до переполнений буфера в JPEG и TIFF. Часть багов нашли с помощью Claude. Pillow скачивают около 436 млн раз в месяц.The most popular Python imaging library fixed several flaws rated CVSS 9.2 — from command injection via Ghostscript to buffer overflows in JPEG and TIFF handling. Some were found with Claude. Pillow is downloaded about 436 million times a month.

21 октября 2026 г.October 21, 2026 день целиком 1 новостьstory

• Безопасность Microsoft: атаку на ConnectWise провела китайская Storm-0940 с помощью AI-агента ARTEXMicrosoft: China-aligned Storm-0940 hit ConnectWise using the ARTEX AI agent framework Microsoft связала компрометацию ConnectWise Cloud Backup с группировкой Storm-0940, которая автоматизировала атаки агентным фреймворком для пентеста ARTEX. Попытки входа затронули более 2250 тенантов Microsoft 365, а путь от первой цели до привилегированного доступа порой занимал меньше трёх часов.Microsoft tied the ConnectWise Cloud Backup compromise to Storm-0940, which automated its attacks with the ARTEX agentic pentesting framework. Sign-in attempts hit more than 2,250 Microsoft 365 tenants, and the path from first targeting to privileged access sometimes took under three hours.

20 октября 2026 г.October 20, 2026 день целиком 1 новостьstory

• AI Минвнутбез США обязал федеральные ведомства удалить продукты DeepSeekUS DHS orders federal civilian agencies to remove DeepSeek products Приказ, подписанный ещё в июле, опубликован в Federal Register 20 октября. Он запрещает закупки и требует убрать из систем не только сервисы DeepSeek, но и сторонние продукты, построенные на её технологиях.The order, signed back in July, was published in the Federal Register on Oct 20. It bans purchases and requires removal not only of DeepSeek's services but of third-party products built on its technology.