← Весь месяц

21 октября 2026 г.October 21, 2026

21 октября 2026 г.October 21, 2026 13 новостейstories

• Безопасность Важно PHP выпустил экстренные патчи для двух критических RCE без аутентификацииPHP ships emergency patches for two critical unauthenticated RCE flaws Вышли PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 с исправлением CVE-2026-109618 и CVE-2026-109619 (CVSS 4.0 9.2). Под угрозой любая установка, обслуживающая веб-запросы, а полноценных обходных мер нет — нужно обновлять рантайм.PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 fix CVE-2026-109618 and CVE-2026-109619 (CVSS 4.0 9.2). Any installation serving web requests is at risk and there are no complete workarounds — the runtime itself must be updated.
• Безопасность Важно Railway: посторонние могли прочитать переменные окружения клиентов, деплои остановленыRailway: attackers may have read customer environment variables, deployments paused Облачная платформа Railway сообщила о несанкционированном доступе к системам, где хранятся переменные окружения, включая часть расшифрованных значений. Компания приостановила деплои и призывает всех клиентов ротировать секреты, не дожидаясь подтверждения.Cloud platform Railway disclosed unauthorized access to the systems that store environment variables, including some decrypted values. It paused deployments and urges all customers to rotate secrets without waiting for confirmation.
• AI Anthropic представила Claude Duet — проактивного агента, который пишет первымAnthropic unveils Claude Duet, a proactive agent that messages you first Claude Duet на базе Opus 5.5 работает в фоне на собственном облачном компьютере, присылает утренние сводки и сам берётся за задачи из почты и календаря. Исследовательское превью доступно по листу ожидания подписчикам Pro и Max в США.Claude Duet, built on Opus 5.5, runs in the background on its own cloud computer, sends morning briefs and picks up tasks from email and calendar. The research preview is available via waitlist to Pro and Max subscribers in the US.
• Безопасность Microsoft: атаку на ConnectWise провела китайская Storm-0940 с помощью AI-агента ARTEXMicrosoft: China-aligned Storm-0940 hit ConnectWise using the ARTEX AI agent framework Microsoft связала компрометацию ConnectWise Cloud Backup с группировкой Storm-0940, которая автоматизировала атаки агентным фреймворком для пентеста ARTEX. Попытки входа затронули более 2250 тенантов Microsoft 365, а путь от первой цели до привилегированного доступа порой занимал меньше трёх часов.Microsoft tied the ConnectWise Cloud Backup compromise to Storm-0940, which automated its attacks with the ARTEX agentic pentesting framework. Sign-in attempts hit more than 2,250 Microsoft 365 tenants, and the path from first targeting to privileged access sometimes took under three hours.
• Разработка DuckDB 2.0 LTS: режим сервера, асинхронный I/O, тип VARIANT и режим для AI-агентовDuckDB 2.0 LTS: server mode, async I/O, a VARIANT type and an agent mode Крупнейший релиз встраиваемой аналитической СУБД превращает её в полноценный сервер через протокол Quack, добавляет триггеры и новый расширяемый парсер SQL. Версия поддерживается минимум до октября 2027 года, но файлы, созданные 2.0, старые версии не прочитают.The embedded analytics database's biggest release turns it into a full server via the Quack protocol and adds triggers and a new extensible SQL parser. It is supported until at least October 2027, but files created by 2.0 can't be read by older versions.
• Безопасность Node.js закрыл 10 уязвимостей, включая RCE в декодере BrotliNode.js fixes 10 vulnerabilities, including an RCE in the Brotli decoder Октябрьский выпуск безопасности Node.js — версии 26.12.1, 24.22.1 и 22.23.4 — исправляет десять CVE, из них четыре высокой опасности. Главная — запись за границей буфера во встроенном декодере Brotli. Заодно обновлено хранилище сертификатов из-за компрометации eMudhra.The October Node.js security release — 26.12.1, 24.22.1 and 22.23.4 — fixes ten CVEs, four of them rated High. The headline issue is an out-of-bounds write in the bundled Brotli decoder. The CA store was also updated over the eMudhra compromise.
• Безопасность Взлом Onamae Desktop Cloud: вредонос мог попасть на 26 739 серверов, сервис отключёнOnamae Desktop Cloud hacked: malware may be on 26,739 servers, service shut down Японский VPS-сервис GMO Internet для автоматической торговли на Форекс подвергся взлому: злоумышленник установил вредоносные программы в клиентские окружения. С 21 октября все серверы поэтапно выключены, дата восстановления не названа.GMO Internet's Japanese VPS service for automated forex trading was breached, with an attacker installing malware in customer environments. All servers have been shut down in stages since October 21, with no restart date given.
• AI OpenAI предложила схему координации исправлений для уязвимостей, найденных AIOpenAI proposes a coordination framework for vulnerabilities found by AI На примере PHP2Shell OpenAI описала, как в рамках Patch the Planet два месяца координировала мейнтейнеров, исследователей и провайдеров защиты. Компания предлагает поэтапный процесс раскрытия критических уязвимостей и выделяет субсидированный доступ к Daybreak на $1 млрд.Using PHP2Shell as the case study, OpenAI described how its Patch the Planet effort spent two months coordinating maintainers, researchers and security providers. It proposes a staged process for disclosing critical bugs and commits $1B in subsidized Daybreak access.
• Запуски Cloudflare WAF научился анализировать ответы сервера, а не только запросыCloudflare WAF now inspects server responses, not just requests Full transaction detection сопоставляет запрос с ответом origin, чтобы понять, сработал ли эксплойт, и может подменить ответ страницей блокировки. Функция доступна всем клиентам, включая бесплатный план, а первыми правилами на её основе стала защита от PHP2Shell.Full transaction detection pairs a request with the origin's response to tell whether an exploit actually worked, and can replace the response with a block page. It is available to all customers, Free plan included, and its first managed rules protect against PHP2Shell.
• Разработка GitHub CLI получил истекающие OAuth-токены с автообновлениемGitHub CLI adds expiring, auto-refreshing OAuth tokens В превью gh 2.103.0 можно перейти на короткоживущие токены доступа с ротируемым refresh-токеном: утёкший токен перестанет работать уже через несколько часов. Пока это опция, позже GitHub планирует сделать её поведением по умолчанию для новых входов.In preview with gh 2.103.0, you can switch to short-lived access tokens with a rotating refresh token, so a leaked token stops working within hours. It is opt-in for now; GitHub plans to make it the default for new sign-ins later.
• DevOps Сбой GitHub: задержки pull request, вебхуков, Actions и аудит-логов на 4,5 часаGitHub incident: pull requests, webhooks, Actions and audit logs delayed for 4.5 hours 21 октября перегрузка внутренней платформы стриминга событий GitHub привела к задержкам обновлений pull request, доставки вебхуков и статусов Actions. Основные сервисы восстановились примерно за два часа, аудит-логи отставали до 110 минут.On October 21, overload on GitHub's internal event streaming platform delayed pull request updates, webhook deliveries and Actions statuses. Core services recovered in about two hours, while audit logs lagged by up to 110 minutes.
• Безопасность Lazarus начала прятать доставку вредоносов за постквантовой криптографиейLazarus now hides malware delivery behind post-quantum cryptography Kaspersky описала кампанию FlashHole против южнокорейских компаний: обновлённый LPEClient согласует ключи с C2 по ML-KEM-1024. Квантового компьютера у группировки нет — цель в том, чтобы затруднить анализ трафика и скрыть следующие стадии.Kaspersky detailed the FlashHole campaign against South Korean companies, in which an updated LPEClient negotiates keys with its C2 using ML-KEM-1024. The group has no quantum computer — the goal is to hamper traffic analysis and hide later stages.
• DevOps Amazon Aurora и RDS получили резервирование мощностей по требованиюAmazon Aurora and RDS get On-Demand Capacity Reservations Теперь можно заранее зарезервировать вычислительные мощности для инстансов баз данных в нужных зонах доступности, чтобы создание, восстановление, масштабирование и запуск не падали из-за нехватки ресурсов. Оплата — по ставкам On-Demand, пока резерв активен.You can now reserve compute capacity for database instances in specific Availability Zones so create, restore, scale and start operations don't fail for lack of capacity. Billing is at On-Demand rates while the reservation is active.