Oracle выпустила сентябрьское обновление Critical Security Patch Update с 673 патчами, закрывающими более 800 уязвимостей, включая 672 уникальные CVE. Свыше 100 дефектов критичны, более 240 эксплуатируются удалённо без аутентификации. Крупнейшие наборы патчей получили E-Business Suite (159) и Fusion Middleware (153).
NIST и CISA опубликовали документ NIST IR 8587 с рекомендациями по защите токенов и утверждений от подделки, кражи и злоупотребления. Гайд описывает управление ключами подписи, проверку токенов, их срок жизни и отзыв, а также распределение ответственности между облачными провайдерами и их клиентами.
На Exploit-DB опубликован публичный PoC для уязвимости CVE-2026-42167 в расширении mod_sql сервера ProFTPD с оценкой CVSS 8.1. Эксплойт демонстрирует путь от SQL-инъекции к RCE после аутентификации при использовании PostgreSQL; исправление — ProFTPD 1.3.9a.
Cohesity выпустила Agent Resilience — функцию Cohesity Data Cloud, которая резервирует память и конфигурацию корпоративных ИИ-агентов и позволяет откатить их к доверенному состоянию при сбое или prompt injection. На старте поддерживаются агенты на AWS Bedrock, общая доступность ожидается до конца года.
Google выпустила сентябрьские патчи для Pixel, закрыв 110 уязвимостей, включая zero-day CVE-2026-58704 в модеме, которая уже используется в целевых атаках. Проблема позволяет повысить привилегии по смежной сети без действий пользователя.
Valve сообщила, что кибератака на CEVA Logistics в августе затронула лишь часть систем логистического партнёра. Система обработки заказов на Steam-железо не пострадала, следов доступа злоумышленников к данным покупателей нет.
Аналитик Gartner Крейг Лоусон заявил на IT Symposium в Австралии, что ИИ-инструменты вроде Mythos от Anthropic уже нашли большинство уязвимостей в старых кодовых базах. По его прогнозу, в 2027 году число и критичность CVE впервые снизятся, а компании смогут проводить пентесты ежедневно.
Вышел открытый движок DeepZero, автоматизирующий поиск эксплуатируемых драйверов ядра Windows. Он фильтрует бинарники по PE-заголовкам, IOCTL и базе loldrivers.io, затем анализирует остаток через Ghidra, Semgrep и языковую модель. Автор проекта уже нашёл несколько подтверждённых уязвимостей в корпусе Snappy Driver Installer.
Опубликована работа об атаке на зашифрованные блоки chain-of-thought у OpenAI, Anthropic и Google: слабую модель-«оракула» используют для расшифровки рассуждений сильных. Расшифровка 10 000 трейсов стоила около $720, все три провайдера закрыли основную уязвимость до публикации.
В WSO2 API Manager обнаружена критическая уязвимость CVE-2026-5430 (CVSS 9.8), позволяющая обойти проверку подписи JWT и подделать админ-токены. По данным watchTowr, уязвимость уже активно эксплуатируется в реальных атаках и может привести к захвату аккаунтов.
Индийские следователи арестовали двух человек и выясняют, как были созданы 500 000 поддельных аккаунтов Gmail, при этом аккаунты использовали двухфакторную аутентификацию. Вопросы могут возникнуть к Google.
В Kestra OSS нашли критическую уязвимость CVE-2026-49869 (CVSS 10.0) — обход аутентификации через пути, оканчивающиеся на /configs, с эскалацией до удалённого выполнения кода. Уязвимость добавлена в каталог эксплуатируемых CISA 2 сентября 2026 года; исправления — в версиях 1.0.45 и 1.3.21.
CISA 30 июля 2026 года выпустила предупреждение о росте атак на программируемые логические контроллеры (PLC) в секторе водоснабжения и водоотведения США. Злоумышленники меняют пароли, блокируя операторов, и IP-адреса, отключая устройства; это привело к уведомлениям о кипячении воды и ручному управлению. Агентство требует убрать PLC из интернета и использовать VPN.
В SonicWall SMA1000 нашли OS-инъекцию CVE-2026-83549 (CVSS 7.8) в консоли AMC: вместе с pre-auth SSRF CVE-2026-83548 (CVSS 10.0) она позволяет получить root на устройстве. CISA внесла уязвимость в KEV 2 сентября 2026 года, исправления вышли 1 сентября в сборках 12.4.3-03526 и 12.5.0-02952.
В Langflow OSS нашли критическую уязвимость CVE-2026-12944 (CVSS 9.6): сканер компонентов блокирует subprocess, но пропускает socket и urllib, поэтому аутентифицированный пользователь может выполнить код с правами root. Затронуты версии 1.0.0–1.10.0, исправление — 1.10.3.
Компания Strix при проверке Baseten (оценка $13 млрд) запустила автономного ИИ-агента по пентесту на *.baseten.co. За 25 минут агент нашёл в публичном Harbor-реестре живой GitHub-токен basetenbot с админ-доступом к основному репозиторию, GitOps-репозиторию flux-cd и homebrew-tap. Токен лежал в истории сборки Docker-образа с марта 2023 года. Baseten закрыла доступ и отозвала токен в тот же день.
Специалисты по кибербезопасности заявили NBC News, что пугающие предсказания лидеров ИИ о хакерских атаках технически бессвязны и выдают незнание предмета. По их словам, фундаментальные вопросы кибербезопасности при этом остаются без внимания.
Автономный хакерский агент нашёл действующий админ-токен GitHub в публичном Docker-образе Baseten: токен от марта 2023 года сохранился в истории сборки и в июле 2026 года давал админ-доступ к внутренним репозиториям. Секрет был не в слоях файловой системы, а в конфиге образа — команда RUN раскрыла GITHUB_TOKEN в history[].created_by.
Rapid7 связала с Северной Кореей (APT37) атаки на южнокорейские медиакомпании и автопроизводителей: злоумышленники взломали балансировщики HAProxy и внедрили Linux-инструмент TED для шпионажа. Атаки велись с начала 2025 года, жертвы не названы.
Rubrik анонсировала сервис Code Guardian — обвязку вокруг модели Anthropic Claude Mythos 5, которая ищет и проверяет цепочки уязвимостей в изолированной копии кода клиента. Сервис выявляет многошаговые атаки, подтверждает эксплуатируемость и создаёт задачи в Jira или GitHub; сейчас идёт закрытое превью с отобранными партнёрами.
15 сентября 2026 года неизвестный нашёл уязвимость в кастомном роутер-модуле Gnosis Safe, державшего более $7,73 млн в обёрнутом rsETH от Aave. Эксплойт был отправлен в мемпул, но MEV-бот Yoink скопировал транзакцию и исполнил её первым, а автор атаки пришёл лишь через час за остатками.
Компания Proof (бывшая Notarize) выпустила Verifiable Digital Credential — переносимый цифровой идентификатор, который проходят один раз и переиспользуют в разных финучреждениях. Общий доступ открыт 15 сентября через платформу и API; регуляторы США 8 сентября уточнили правила использования таких удостоверений в банках.
Береговая охрана США подтвердила, что военные и агенты ФБР поднялись на борт нефтяного танкера, следовавшего в Техас, в рамках расследования кибератаки. Другие детали инцидента не раскрываются.
Прокуратура обвинила двух бывших сотрудников Robinhood в торговле на опережение при листинге криптовалют на бирже. На другой площадке каждый из них заработал более $50 000.
Сентябрьский Patch Tuesday Microsoft стал крупнейшим в истории: 972 уязвимости, из них 113 критических и 20 червеобразных. В тот же день исследователь Nightmare Eclipse опубликовал PoC ShieldCrash, показав, что патч CVE-2026-69414 в Windows Defender не работает.
Apple закрыла более 260 уязвимостей во всех своих ОС и приложениях — крупнейший цикл патчей в истории компании. iOS 27 исправила 122 CVE, macOS 27 Golden Gate — 204. Ни одна из уязвимостей не отмечена как активно эксплуатируемая.
Acronis раскрыла уязвимость повышения привилегий CVE-2026-87886 (7.8) в бэкап-плагине для cPanel, WHM и Plesk. Компания зафиксировала эксплуатацию в целевых атаках; исправления вышли в версиях 1.9.3 HF3 и 1.8.11.
23-летняя Линдси Брук Айзекс провела 13 дней в тюрьме по обвинению в тройном ДТП со смертельным исходом, основанному только на данных камер распознавания номеров Flock Safety. Прокуратура Флориды сняла все восемь обвинений, позже арестована настоящая подозреваемая; Айзекс подала федеральный иск о ложном аресте.
Хакеры взломали сайт разработчика Admin Menu Editor Pro и выложили обновления 2.35 и 2.36 с веб-шеллом и скрытым аккаунтом. По данным разработчика Яниса Элстса, вредоносную версию установили около 230 клиентов на 1500 сайтах, сайт отключён до восстановления.
Протокол Balancer прекращает работу после взлома смарт-контракта в ноябре 2025 года, в результате которого потеряно $128 млн, а выручка упала на 95%. Держатели токенов BAL должны проголосовать 25–29 сентября, чтобы получить пропорциональную долю более $9 млн активов казны или навсегда потерять право на них.
