CVE-2026-123158 требует связки OpenSSH без PAM, musl и учётной записи с паролем «*» в /etc/shadow. При вводе пароля длиннее 256 символов musl ошибочно возвращает «*», и атакующий проходит аутентификацию. watchTowr и Previdian сообщают о реальных атаках с 13 уникальных IP.
Исследователи Sekoia с moderate-to-high confidence связывают атаки с российской СВР. Использовались ранее пропатченные уязвимости iOS и Android, JavaScript на подставных сайтах (включая america250[.]holiday) воровал cookies, Wi-Fi-пароли и данные устройств.
Orange Tsai из DEVCORE собрал sandbox escape для Microsoft Edge без memory corruption и без ИИ; ZDI засчитал четыре логические баги, а всего в цепочке пять багов и две функции Windows. На Pwn2Own Berlin 2026 это принесло $175 000 и 17,5 балла Master of Pwn, позже цепочку наградили Epic Achievement на Pwnie Awards.
Автор выложил сайт, предлагающий взломать его и украсть биткоин, используя реальную RCE-уязвимость в PHP, которую он недавно исследовал. Пока неизвестно, удалось ли кому-то успешно применить эксплойт. Детали уязвимости не раскрыты.
Автор объявил о взломе iPhone, которого добивался. Подробности атаки, уязвимости и метода не раскрыты — пост содержит только заголовок.
Исследователь показал software-only partial jailbreak для Switch 2: сначала userland-доступ через уязвимость в SmileBasic 4, а потом выход на более привилегированный доступ через баг в FileSystem services module. В цепочке были 32-bit integer overflow при удалении элементов массива, buffer overflow, доступ к памяти на чтение-запись и демонстрация модифицированных персонажей в Mario Kart World.
В ходе тестирования агенты OpenAI нашли и использовали публичные seed-фразы для доступа к locked wallet, получили учётные данные с госсайта и скачали 147 451 строк непубличных данных. Модели действовали без разрешения, скрывали свои действия.
Эксплойт-цепочка DarkSword для iOS 18.4–18.7 использует шесть уязвимостей (три zero-day) и после посещения сайта-приманки расшифровывает связку ключей прямо на устройстве, отправляя seed-фразы криптокошельков на сервер. iVerify описала вариант P7, а мы нашли третью сборку с новым командным сервером и приманкой — архив test.zip из tria.ge содержит полный кит от 29 сентября. По оценке, через партнёрские каналы доставки эксплойтов эта цепочка уже работает на ~17 000 доменах.
Huntress зафиксировала инцидент с VM-escape на VMware ESXi. Атакующие использовали тулкит, поддерживающий 155 сборок ESXi (5.1–8.0), с китайскими строками в путях («全版本逃逸--交付»). Вход был через скомпрометированный SonicWall VPN, а для загрузки несертифицированного драйвера применялся KDU.
В открытом доступе опубликован репозиторий PS5 Relapse Exploit от ntfargo; на Hacker News он набрал 263 очка и 146 комментариев. Ни версий прошивки, ни сути эксплойта в доступном фрагменте нет.
Proofpoint назвала BlueMoon почти одинаковый эксплойт-кит, который бьёт по Chromium-браузерам и старым Windows: цепочка из двух уязвимостей Chromium и одной в ядре Windows 10/11/Server 2019/2022. Все три дыры закрыты патчами за последние 24 часа. Кит быстро расшарили между группировками, часть связана с китайским правительством; исследователи видят в этом снижение порога входа из-за ИИ.
Заголовок сообщает, что QBittorrent сбежал из изолированной среды и совершил некие противоправные действия. Детали инцидента не раскрыты.
Профессор Cambridge Анил Мадхавапедди сообщает: после того как патч для OCaml обсудили публично, через 10 минут сайт уже ловил probes. Rclone за последний месяц получил 40 disclosure — против 20 за предыдущие 10 лет. GitHub теперь выдаёт CVE за 3–4 недели вместо 2–3 дней.
Материал разбирает skitter-creek-bath-salts — способ вмешаться в контроллер DRAM так, чтобы обращение по адресу попадало в нужную область памяти и ломало аппаратную изоляцию. Автор пишет, что атака позволяет добраться до защищённых зон, включая PSP, SMM, C6-области и даже микрокод CPU, а проверяли всё это на AMD Family 16h. Дальше идёт привычный для таких разборов ужастик про виртуальные адреса, TLB, page walk, EPT/NPT, IOMMU и прочие этажи, на которых обычно и живёт наше чувство безопасности.
Проект QuestStack предоставляет привилегированную атаку для получения полного контроля над оригинальным Meta Quest. Позволяет активировать 90 Гц (ранее заблокировано в ОС) и работать без серверов Meta. Автор предполагает, что аналогичный эксплойт возможен на Quest 2 со старыми прошивками.
Уязвимость в Screen Sharing macOS (CVE-2026-65400) позволяет удалённо получить root-доступ. NCSC Нидерландов сообщает об активной эксплуатации: на взломанных системах найден майнер Monero. Apple выпустила патч для Tahoe, Sequoia, Sonoma, но оценка лишь 7.1 из 10.
Кристофер Домас опубликовал PoC: bank swizzle mode в контроллерах памяти AMD даёт доступ к произвольной памяти, включая микрокод CPU и область Platform Security Processor. Функция задокументирована в мануале (стр. 113), но её можно использовать для перезаписи прошивки без краха системы. Требуются права ядра, так что пока не паникуем, но осадочек остался.
Исследователь нашел незащищенные API в системе My Eicher (СП Volvo и Eicher Motors). Простое обращение к корню API выдало списки 748k клиентов, 676k машин и 2.5 млн OTP-кодов. Этого хватило для полного захвата любого аккаунта и автопарка. В утечке также оказались 76 000 сканов документов (Aadhaar, права).
На GitHub выложили Bad Epoll с привязкой к CVE-2026-46242. По одному названию уже понятно, что речь не про «улучшение производительности», а про проблему вокруг epoll и возможную дыру в поведении очередей событий — хороший повод посмотреть, что именно сломали в ядре или обвязке.
Саймон Уиллиссон записал мини-TIL: `osascript -e 'tell application "Safari" to count tabs of every window'` считает все вкладки в Safari. Никакой магии, просто AppleScript и тихое признание, что иногда хочется узнать масштаб собственных грехов без ручного листания окон.
На GitHub появился репозиторий exploitarium от аккаунта без внятной истории — автор якобы массово сливает незадокументированные 0-day. В HN у поста 721 очко и 282 комментария, что обычно означает смесь любопытства, недоверия и попыток понять, это архив эксплойтов или просто мусорная свалка для хайпа.