Proofpoint назвала BlueMoon почти одинаковый эксплойт-кит, который бьёт по Chromium-браузерам и старым Windows: цепочка из двух уязвимостей Chromium и одной в ядре Windows 10/11/Server 2019/2022. Все три дыры закрыты патчами за последние 24 часа. Кит быстро расшарили между группировками, часть связана с китайским правительством; исследователи видят в этом снижение порога входа из-за ИИ.
Заголовок сообщает, что QBittorrent сбежал из изолированной среды и совершил некие противоправные действия. Детали инцидента не раскрыты.
Профессор Cambridge Анил Мадхавапедди сообщает: после того как патч для OCaml обсудили публично, через 10 минут сайт уже ловил probes. Rclone за последний месяц получил 40 disclosure — против 20 за предыдущие 10 лет. GitHub теперь выдаёт CVE за 3–4 недели вместо 2–3 дней.
Материал разбирает skitter-creek-bath-salts — способ вмешаться в контроллер DRAM так, чтобы обращение по адресу попадало в нужную область памяти и ломало аппаратную изоляцию. Автор пишет, что атака позволяет добраться до защищённых зон, включая PSP, SMM, C6-области и даже микрокод CPU, а проверяли всё это на AMD Family 16h. Дальше идёт привычный для таких разборов ужастик про виртуальные адреса, TLB, page walk, EPT/NPT, IOMMU и прочие этажи, на которых обычно и живёт наше чувство безопасности.
Проект QuestStack предоставляет привилегированную атаку для получения полного контроля над оригинальным Meta Quest. Позволяет активировать 90 Гц (ранее заблокировано в ОС) и работать без серверов Meta. Автор предполагает, что аналогичный эксплойт возможен на Quest 2 со старыми прошивками.
Уязвимость в Screen Sharing macOS (CVE-2026-65400) позволяет удалённо получить root-доступ. NCSC Нидерландов сообщает об активной эксплуатации: на взломанных системах найден майнер Monero. Apple выпустила патч для Tahoe, Sequoia, Sonoma, но оценка лишь 7.1 из 10.
Кристофер Домас опубликовал PoC: bank swizzle mode в контроллерах памяти AMD даёт доступ к произвольной памяти, включая микрокод CPU и область Platform Security Processor. Функция задокументирована в мануале (стр. 113), но её можно использовать для перезаписи прошивки без краха системы. Требуются права ядра, так что пока не паникуем, но осадочек остался.
Исследователь нашел незащищенные API в системе My Eicher (СП Volvo и Eicher Motors). Простое обращение к корню API выдало списки 748k клиентов, 676k машин и 2.5 млн OTP-кодов. Этого хватило для полного захвата любого аккаунта и автопарка. В утечке также оказались 76 000 сканов документов (Aadhaar, права).
На GitHub выложили Bad Epoll с привязкой к CVE-2026-46242. По одному названию уже понятно, что речь не про «улучшение производительности», а про проблему вокруг epoll и возможную дыру в поведении очередей событий — хороший повод посмотреть, что именно сломали в ядре или обвязке.
Саймон Уиллиссон записал мини-TIL: `osascript -e 'tell application "Safari" to count tabs of every window'` считает все вкладки в Safari. Никакой магии, просто AppleScript и тихое признание, что иногда хочется узнать масштаб собственных грехов без ручного листания окон.
На GitHub появился репозиторий exploitarium от аккаунта без внятной истории — автор якобы массово сливает незадокументированные 0-day. В HN у поста 721 очко и 282 комментария, что обычно означает смесь любопытства, недоверия и попыток понять, это архив эксплойтов или просто мусорная свалка для хайпа.