Կարևոր խոցելիությունների և CVE-ների վերլուծություն՝ ինչն է տուժել, որ տարբերակներն են ուղղում դրանք և ինչպես պաշտպանել ձեր համակարգերը։
Էքսփլոյթների նոր շղթան root իրավունքներ է տալիս տեղային N-central սերվերներում, հարձակումները սկսվեցին հրապարակումից մի քանի ժամ անց։ Լիարժեք ուղղում դեռ չկա․ շտապ ստուգումներ։
Կարդալ հոդվածըOutlook-ի շահագործվող խոցելիությունը հատուկ ֆայլի միջոցով փոխանցում է NTLM հեշը։ Այս ամիս Microsoft-ը ուղղել է ավելի քան 1000 խոցելիություն․ ահա առաջնահերթությունները։
Կարդալ հոդվածըGoogle-ը ուղղեց Chrome-ում արդեն շահագործվող use-after-free խոցելիությունը։ Ուղղումն աշխատում է միայն բրաուզերի վերագործարկումից հետո․ ինչպես համոզվել, որ յուրաքանչյուր համակարգիչ պաշտպանված է։
Կարդալ հոդվածըSSL VPN-ի համար SAML օգտագործող SonicWall firewall-ներում գողացված հավատարմագրերով հարձակվողները կարող էին շրջանցել SAML-ի ստուգումները, ներառյալ MFA-ն։ Ուղղված ծրագրային ապահովում և ինչ անել։
Կարդալ հոդվածըmusl-ով համակարգերում OpenSSH-ի կողմից արգելափակված հաշիվների մշակման սխալը շահագործվեց ուղղումից երկու օր անց։ Ում է դա վերաբերում և ինչ ստուգել։
Կարդալ հոդվածըԿոդի հեռակա կատարման երկու կրիտիկական խոցելիություն հենց PHP-ում, CVSS 9.2։ Ուղղված տարբերակներ, ժամանակավոր պաշտպանություն և ինչպես ստուգել սերվերները։
Կարդալ հոդվածը2026-ին nginx.org-ը հրապարակել է 26 ծանուցում, որոնցից երկուսը՝ «major» մակարդակի։ Այժմ անվտանգ տարբերակներն են 1.31.7-ը և 1.30.6-ը։
Կարդալ հոդվածըԱյս տարի Shell-ի, Mark-of-the-Web-ի և NTLM-ի խոցելիությունները շահագործվել են ուղղումներից առաջ կամ դրանցից անմիջապես հետո։ Կարճ ակնարկ և պաշտպանության միջոցներ ամբողջ դասի դեմ։
Կարդալ հոդվածըRouterOS-ի երեք խոցելիություն արդեն օգտագործվում է հարձակումներում։ Որ տարբերակներն են անվտանգ և ինչպես փակել կառավարման մուտքը։
Կարդալ հոդվածըFortiOS-ի, FortiManager-ի, FortiAnalyzer-ի և Fortinet-ի այլ արտադրանքների նույնականացման կրիտիկական շրջանցումը օգտագործվել է հարձակումներում։ Ուղղված տարբերակներ և ստուգումներ։
Կարդալ հոդվածըWSUS-ում ապասերիալացման խոցելիությունը թույլ էր տալիս կոդ կատարել առանց նույնականացման։ Առաջին ուղղումը թերի էր, հարձակումների սկսվելուց հետո թողարկվեց արտահերթ թարմացում։
Կարդալ հոդվածըCisco firewall-ների VPN ծառայությունների երկու կապված խոցելիություն շահագործվել են մինչև ուղղումների թողարկումը, ինչը հանգեցրեց արտակարգ հրահանգի։ Ինչ ստուգել Cisco ASA-ի սեփականատերերին։
Կարդալ հոդվածըՏեղային SharePoint-ի zero-day խոցելիությունը թույլ էր տալիս կոդ կատարել և գողանալ սերվերի բանալիները։ Ինչու թարմացումից հետո անհրաժեշտ էր փոխել machine keys-ը։
Կարդալ հոդվածըՆույնականացման շրջանցում մոտ 4 միլիոն WordPress կայքում տեղադրված փլագինում։ Զավեշտալի է, բայց տուժել էին երկգործոն նույնականացումը միացրած կայքերը։
Կարդալ հոդվածըՊահուստավորման տարածված սերվերի կրիտիկական խոցելիությունը թույլ էր տալիս կոդ կատարել առանց գաղտնաբառի և օգտագործվել է ransomware խմբերի կողմից։ Ինչպես պաշտպանել հենց պահուստավորման համակարգը։
Կարդալ հոդվածըՄիլիոնավոր կայքերում տեղադրված քեշավորման փլագինի թույլ պաշտպանական հեշը թույլ էր տալիս իրավունքների բարձրացում առանց մուտքի։ Թարմացրեք և ստուգեք ադմինիստրատորներին։
Կարդալ հոդվածըՏարածված նվիրատվությունների փլագինում PHP օբյեկտի ներարկումը թույլ էր տալիս կոդ կատարել և ֆայլեր ջնջել առանց մուտքի։ Ինչ անել կայքերի սեփականատերերին։
Կարդալ հոդվածըՀատուկ IPv6 փաթեթները կարող էին կոդ կատարել IPv6-ը միացված ցանկացած Windows մեքենայում՝ առանց մուտքի և օգտատիրոջ գործողության։ Նախ թարմացումներ, IPv6-ի անջատումը միայն պահեստային տարբերակ էր։
Կարդալ հոդվածըՀին սխալը վերադարձավ OpenSSH և թույլ էր տալիս առանց նույնականացման root իրավունքներով կոդ կատարել Linux սերվերներում։ Ինչու SSH-ը երբեք չպետք է բաց լինի բոլորի համար։
Կարդալ հոդվածըAdobe Commerce-ի և Magento Open Source-ի XXE խոցելիությունը թույլ էր տալիս գողանալ գաղտնի բանալիները, իսկ մեկ այլ սխալի հետ համակցված՝ կատարել կոդ։ Միայն թարմացումը բավական չէր։
Կարդալ հոդվածըPAN-OS-ի VPN գործառույթում հրամանների ներարկումը թույլ էր տալիս root իրավունքներով հրամաններ կատարել հենց firewall-ի վրա։ Եզրակացություններ պարագծային սարքերի պաշտպանության մասին։
Կարդալ հոդվածըBackdoor-ը թաքցված էր սեղմման գրադարանում, որն օգտագործում են Linux-ի SSH սերվերները։ Այն գտնվեց պատահաբար՝ մինչև կայուն համակարգերի մեծ մասին հասնելը։ Ինչ է սա սովորեցնում ծրագրերի նկատմամբ վստահության մասին։
Կարդալ հոդվածըFortiGate-ի SSL VPN-ում բուֆերից դուրս գրումը թույլ էր տալիս կոդ կատարել առանց նույնականացման և շահագործվել է իրական հարձակումներում։ Որ տարբերակները տեղադրել և ինչ անել, եթե թարմացնել հնարավոր չէ։
Կարդալ հոդվածըԵրկու կապված խոցելիություն տալիս էին Ivanti VPN դարպասների ամբողջական վերահսկողություն։ Ինչու նույնիսկ թարմացումից հետո խորհուրդ էր տրվում վերադարձ գործարանային կարգավորումների։
Կարդալ հոդվածըNetScaler-ում հիշողության արտահոսքը թույլ էր տալիս պատճենել օգտատերերի ակտիվ սեսիաները։ Ինչու միայն թարմացումը բավական չէր և ինչ անել VPN դարպասի խոցելիությունից հետո։
Կարդալ հոդվածըՖայլերի պաշտպանված փոխանցման համակարգում SQL ներարկումը թույլ տվեց ransomware խմբին գողանալ հարյուրավոր կազմակերպությունների տվյալներ։ Ինչ է սա սովորեցնում ֆայլերի փոխանակման համակարգերի մասին։
Կարդալ հոդվածըJoomla 4-ի վեբ ծառայություններում մուտքի սխալ ստուգումը թույլ էր տալիս ցանկացածին կարդալ կայքի կոնֆիգուրացիան՝ ներառյալ տվյալների բազայի հավատարմագրերը։
Կարդալ հոդվածըConfluence Server-ի և Data Center-ի zero-day խոցելիությունը թույլ էր տալիս ցանկացածին կոդ կատարել սերվերում։ Ներքին գիտելիքների բազաները հազվադեպ են համարվում կրիտիկական, բայց արժե։
Կարդալ հոդվածըՀարձակվողները Office փաստաթղթերի միջոցով չարաշահում էին Microsoft Support Diagnostic Tool-ը։ Մակրոներ պետք չէին, երբեմն նույնիսկ ֆայլը բացել պետք չէր։
Կարդալ հոդվածըԳրանցամատյանում տեքստի մեկ տողը կարող էր հարձակվողին տալ սերվերի ամբողջական վերահսկողություն։ Ինչու է Log4Shell-ը դեռ կարևոր և ինչպես համոզվել, որ պաշտպանված եք։
Կարդալ հոդվածըWindows ռեեստրի ֆայլերի սխալ իրավունքները թույլ էին տալիս սովորական օգտատերերին կարդալ գաղտնաբառերի հեշերը shadow copy-ների միջոցով։ Միայն թարմացման տեղադրումը բավական չէր։
Կարդալ հոդվածըWindows-ի Print Spooler-ի խոցելիությունը թույլ էր տալիս կոդ կատարել SYSTEM իրավունքներով, այդ թվում՝ դոմենի կարգավորիչներում։ Ինչու տպման ծառայությունը պետք է անջատել այնտեղ, որտեղ այն պետք չէ։
Կարդալ հոդվածըExchange Server-ի խոցելիությունների շղթան թույլ էր տալիս գրավել փոստային սերվերը առանց գաղտնաբառի։ Դասեր բոլոր նրանց համար, ովքեր դեռ պահում են Exchange-ը իրենց մոտ։
Կարդալ հոդվածըԵրկու տարվա վաղեմության ուղղում, որը շատ հոսթեր այդպես էլ չստացան։ 2023-ի փետրվարին ESXiArgs ransomware-ը կոդավորեց հազարավոր բաց ESXi սերվերներ։
Կարդալ հոդվածըՖայլային կառավարչի փլագինը (~700 000 տեղադրում) թույլ էր տալիս ֆայլ վերբեռնել և կոդ կատարել առանց մուտքի։ Դասական դաս ռիսկային փլագինների մասին։
Կարդալ հոդվածըNetlogon արձանագրության կրիպտոգրաֆիկ սխալը թույլ էր տալիս ցանցում գտնվող հարձակվողին դառնալ դոմենի ադմինիստրատոր։ Ինչու դոմենի կարգավորիչները պետք է թարմացնել առաջին հերթին։
Կարդալ հոդվածըEternalBlue-ից երեք տարի անց SMB-ի նոր խոցելիությունը՝ առավելագույն գնահատականով, ազդեց Windows 10-ի վրա։ Թարմացրեք և 445 պորտը փակ պահեք ինտերնետից։
Կարդալ հոդվածըWindows-ում վկայագրերի ստուգման խոցելիությունը, որի մասին հայտնել էր NSA-ն, թույլ էր տալիս կեղծել ծրագրերի թվային ստորագրությունները և HTTPS վկայագրերը։
Կարդալ հոդվածըCitrix ADC-ում թղթապանակների շրջանցումը թույլ էր տալիս կոդ կատարել առանց մուտքի։ Ուղղումները տևեցին մեկ ամիս․ մինչ այդ միակ պաշտպանությունը ժամանակավոր միջոցներն էին։
Կարդալ հոդվածըRemote Desktop Services-ի նախքան նույնականացում սխալն այնքան լուրջ էր, որ Microsoft-ը ուղղում թողարկեց նույնիսկ Windows XP-ի համար։ Ինչու RDP-ն երբեք չպետք է բաց լինի ինտերնետին։
Կարդալ հոդվածըPulse Connect Secure-ում առանց նույնականացման ֆայլերի ընթերցումը բացահայտում էր բաց տեքստով հավատարմագրեր։ Առանց գաղտնաբառերը փոխելու թարմացված կազմակերպությունները մնում էին կոտրված։
Կարդալ հոդվածըWinbox-ի խոցելիությունը թույլ էր տալիս ներբեռնել ռաութերի օգտատերերի բազան։ Տարիներ անց չթարմացված ռաութերները դեռ գրավվում էին մայնինգի և բոտնետների համար։
Կարդալ հոդվածըDrupal-ի ձևերի մշակման սխալը թույլ էր տալիս ցանկացածին կոդ կատարել միլիոնավոր Drupal կայքերում։ Սկաներները այն փնտրում են մինչ օրս։
Կարդալ հոդվածըMicrosoft-ն այն ուղղեց 2017-ի մարտին։ Երկու ամիս անց WannaCry-ը հարվածեց չթարմացված ցանցերին ամբողջ աշխարհում։ Դասերը արդիական են ցանկացած գրասենյակային ցանցի համար։
Կարդալ հոդվածըՊատմեք ձեր ենթակառուցվածքի և նպատակների մասին։ Մենք կպատասխանենք մեկ աշխատանքային օրվա ընթացքում և կառաջարկենք հաջորդ քայլերը։
