Блог и новости о кибербезопасности
Разборы, новости и понятные объяснения по кибербезопасности, уязвимостям и соответствию требованиям — для тех, кому с этим работать.
- PHP под прицелом: критические RCE CVE-2026-109618 и CVE-2026-109619 — Две уязвимости в PHP с оценкой 9.2 по CVSS 4.0 позволяют неаутентифицированному атакующему выполнить код на сервере. Разбираем механизм longjmp(), масштаб экспозиции и порядок действий.
- Молдова под прицелом: STISC предупреждает о фишинговой кампании против госучреждений — Государственная служба ИТ и кибербезопасности Молдовы сообщила о целевой spear phishing атаке на госучреждения: письма с mail.ru, архивы .7z и .zip и исполняемые файлы под видом платёжек.
- DORA и TLPT: почему «есть ли у вас контроли?» больше не считается ответом — С 17 января 2025 года финансовый сектор ЕС живёт по DORA. Разбираем, чем базовое тестирование отличается от TLPT, почему учения по TIBER-EU идут на продуктивной среде и как это дотягивается до молдав…
- Закон 48/2023 в Молдове: что кибербезопасность стала обязанностью, а не пожеланием — Молдова ввела первый обязательный национальный режим кибербезопасности по модели NIS2. Разбираем, кого он касается, что именно требует, как устроена трёхуровневая отчётность об инцидентах и почему бе…
- PCI DSS 4.0: что именно требуют проверять пункты 11.3 и 11.4 — PCI DSS — единственный стандарт, который прямо говорит «пентест» и назначает его периодичность. Разбираем, что сканируется автоматически, что тестирует человек и какие доказательства ждёт QSA.
- ISO 27001 и SOC 2: какие технические доказательства требует аудитор — ISO 27001 и SOC 2 не содержат слова «пентест» в списке обязательных процедур — и всё же почти каждый аудитор его требует. Разбираем, какие контроли опираются на тестирование, когда его проводить и ка…
- DORA, NIS2 и CRA: как разобраться в новом регулировании кибербезопасности ЕС — Три европейских регламента меняют правила игры для финансовых компаний, критических секторов и производителей цифровых продуктов. Разбираем, кто под них попадает, какие сроки горят и что делать уже с…
- NIS2 и GDPR: как доказать соответствие результатами пентеста — Директива NIS2 формально не действует в Молдове — и всё же всё чаще звучит вопрос: «Можете доказать, что ваши системы тестировали?» Разбираем, что именно требуют NIS2 и GDPR и какие доказательства да…
- N-day становится N-hour: патчи больше не спасают — Anthropic превратила 18 патчей Firefox в 8 эксплойтов за час. Время на реагирование сократилось с недель до минут — и старый playbook больше не работает.
- Лучшие компании по тестированию на проникновение в Молдове (2026) — Честное сравнение ведущих поставщиков услуг тестирования на проникновение в Молдове по прозрачным критериям, которое поможет вам выбрать подходящего партнёра в 2026 году.
- ЕС готовит новые правила для ИИ и кибербезопасности: оценка моделей, контролируемый доступ и тесты для критической инфраструктуры — Европейская комиссия представила план действий по кибербезопасности и ИИ. Он включает создание собственной инфраструктуры оценки моделей, платформу для тестирования и конкурс разработок — всё для тог…
- Является ли тестирование на проникновение, основанное на угрозах, новым стандартом? — Deloitte разъясняет, что такое TLPT, чем он отличается от традиционного тестирования на проникновение и его роль в DORA и других нормативных рамках.
- Понимание тестирования на проникновение: исчерпывающее руководство — Тестирование на проникновение, или этический хакинг, имитирует кибератаки для выявления уязвимостей до того, как их используют злоумышленники. Это руководство охватывает типы, методы и этапы.
- Хакеры используют поддельную регистрацию ключа доступа Microsoft Entra для получения доступа к Microsoft 365 — Угроза под кодовым названием O-UNC-066 использует голосовой фишинг и специальный фишинговый набор, чтобы обманом заставить пользователей Microsoft 365 зарегистрировать контролируемый злоумышленником…
- WP-SHELLSTORM: Открытый сервер раскрыл массовую операцию по бэкдорингу WordPress-сайтов — Группа киберпреступников оставила свой сервер открытым на 22 дня, раскрыв массовую операцию, которая заразила тысячи сайтов WordPress с использованием 27 CVE, включая CVE-2026-3844 в плагине Breeze.
- ИИ Claude Mythos обнаружил более 10 000 критических уязвимостей в широко используемом ПО — Проект Glasswing от Anthropic с использованием Claude Mythos Preview выявил более 10 000 уязвимостей высокой или критической степени серьезности в критически важном ПО, причем устранение стало основн…
- 9-летняя уязвимость ядра Linux позволяет выполнять команды root на основных дистрибутивах — Qualys раскрыла CVE-2026-46333, ошибку повышения привилегий в функции __ptrace_may_access() ядра Linux, затрагивающую основные дистрибутивы с 2016 года. Эксплойты позволяют непривилегированным пользо…
- Злоумышленники атакуют уязвимость Gitea Docker CVE-2026-20896 через 13 дней после раскрытия — Критическая уязвимость обхода аутентификации (CVE-2026-20896, CVSS 9.8) в Docker-образах Gitea активно исследуется злоумышленниками всего через 13 дней после публичного раскрытия. Дефект позволяет не…
- Критическая Уязвимость Cisco SD-WAN Приводит к Сроку CISA, В то Время как Появляются Уязвимости в AI-Браузерах — Американские агентства устанавливают срочный срок CISA для исправления критических уязвимостей Cisco SD-WAN, в то время как исследователи обнаруживают уязвимости PleaseFix в AI-браузерах, которые мог…
- Qualys WAS обнаруживает Log4Shell (CVE-2021-44228) в веб-приложениях — Qualys Web Application Scanning (WAS) теперь обнаруживает критическую уязвимость Log4Shell (CVE-2021-44228) с помощью QID 150440 и 150441, используя внеполосное обнаружение через Qualys Periscope.