#web-security

5 ноября 2026 г.November 5, 2026 день целиком 1 новостьstory

Безопасность Важно Эксплуатируется WordPress: RCE через гонку в обновлении ядра уже в CISA KEV, нужна 7.1.4WordPress: an upgrade-window RCE is already in CISA KEV, 7.1.4 required CVE-2026-119977 — состояние гонки в процессе обновления ядра WordPress, позволяющее неаутентифицированному атакующему выполнить код во время апгрейда. 3 ноября CISA внесла уязвимость в каталог эксплуатируемых; исправления вышли в 7.1.4 и бэкпортах для веток с 4.7.CVE-2026-119977 is a race condition in WordPress core updates that lets an unauthenticated attacker run code during the upgrade. On 3 November CISA added it to the known-exploited catalog; fixes shipped in 7.1.4 and backports for branches from 4.7.

4 ноября 2026 г.November 4, 2026 день целиком 1 новостьstory

Безопасность Эксплуатируется В WordPress-плагине CryptoPayment нашли дыру, которую уже используют: он удалён из каталога, но патча нетA CryptoPayment WordPress plugin flaw is already being exploited: pulled from the directory, still unpatched CVE-2026-81648 в плагине CryptoPayment Gateway позволяет без аутентификации удалять файлы и вытаскивать данные кошельков. Плагин закрыли в каталоге WordPress 28 августа, но его продолжают скачивать, а исправления так и нет.CVE-2026-81648 in the CryptoPayment Gateway plugin lets unauthenticated attackers delete files and extract wallet credentials. The plugin was closed in the WordPress directory on 28 August but is still being downloaded, and no patch exists.

1 ноября 2026 г.November 1, 2026 день целиком 1 новостьstory

Безопасность Важно Одна ссылка на чужой чат в ChatGPT выполняла код в вашей сессии и читала перепискуA shared ChatGPT link could run code in your session and read your private chats Parameter Labs показала цепочку, в которой вредоносная ссылка на «общий» чат исполняла код в уже авторизованной сессии жертвы и выкачивала личные диалоги. OpenAI закрыла дыру за восемь дней и оценила её как P1, но выплатила всего $5 000.Parameter Labs showed a chain where a malicious shared-chat link executed code inside the victim's signed-in session and exfiltrated private conversations. OpenAI closed the hole in eight days and rated it P1, but paid only $5,000.

21 октября 2026 г.October 21, 2026 день целиком 1 новостьstory

Запуски Cloudflare WAF научился анализировать ответы сервера, а не только запросыCloudflare WAF now inspects server responses, not just requests Full transaction detection сопоставляет запрос с ответом origin, чтобы понять, сработал ли эксплойт, и может подменить ответ страницей блокировки. Функция доступна всем клиентам, включая бесплатный план, а первыми правилами на её основе стала защита от PHP2Shell.Full transaction detection pairs a request with the origin's response to tell whether an exploit actually worked, and can replace the response with a block page. It is available to all customers, Free plan included, and its first managed rules protect against PHP2Shell.