21 октября 2026 года вышли патчи PHP против PHP2Shell: две критические уязвимости, которые позволяют без авторизации выполнить код на сервере. Обновить PHP нужно в любом случае. Но если через уязвимость утекут персональные данные пользователей, компании грозит штраф до 15 млн руб. И в суде будут смотреть, есть ли документы о том, когда и как вы закрыли уязвимость. Ниже — технический чек-лист с юридическими пояснениями: что сделать, что сохранить и когда звать юриста.
Рубрика «rce»
Обновили PHP после PHP2Shell? Сохраните вывод php -v — он может понадобиться в суде
2026-10-28 в 9:10, admin, рубрики: 152-фз, CVE-2026-109618, CVE-2026-109619, php, PHP2Shell, rce, Роскомнадзор, утечка персональных данных, уязвимость, штрафыКриптомайнер на Gitea: 70% нагрузки CPU, RCE в self-hosted Gitea вместо GitLab и как я закрыл уязвимость
2026-08-19 в 10:39, admin, рубрики: CVE-2026-60004, docker, Git-репозитории, gitea, gitlab, incident response, rce, self-hosted Gitea, информационная безопасность, крипто-майнерПривет!
Я CTO и full‑stack в веб‑студии. Работаем командой, отдельного SRE нет, поэтому, инфраструктура на мне. Проектов за время работы накопилось довольно много и есть некая сборная солянка, с которыми приходиться взаимодействовать наиболее активно. Часть из них на PHP, часть на React, часть старых сайтов которые живут на shared-хостингах. Ничего космического. Обычная рабочая инфраструктура, где Git должен просто работать.
Но в какой-то момент GitLab стал периодически отваливаться: сетевые ограничения, фильтры, то непонятные блокировки.
Было принято решение сделать небольшой самохостинг (self-hosted) сервер для студии.
Анатомия VDD: Как я нашел RCE в форке Telegram, а Google Security не увидел «ничего вредоносного»
2026-08-11 в 14:09, admin, рубрики: android, cython, exteragram, obfuscation, ollvm, rce, reverse engineering, telegram, реверс-инжиниринг, уязвимостьTL;DR Внутри клиента exteraGram на базе официального клиента Telegram работает внутренняя система динамического обновления компонентов. Через неё авторы могут в любой момент загрузить на ваш телефон код прямо из Telegram-канала, обойти окно установки (can_not_skip) и выполнить его в едином адресном пространстве приложения (с его UID и полными правами). В исследованной цепочке загрузки я не обнаружил проверки цифровой подписи. При компрометации канала или инфраструктуры обновлений это создаёт возможность массовой доставки вредоносного кода пользователям.
Как всё началось
Рунет в стране кошмаров: ТОП-АНТИТОП уязвимостей октября
2025-11-05 в 15:00, admin, рубрики: bind9, CVE, rce, WSUS, информационная безопасность, патч, рунет, уязвимости, эксплойт
Тень уязвимости: fake exploit как зеркало реальных техник
2025-04-25 в 12:15, admin, рубрики: exploit, fake, jit-компиляция, oob, POC, rce, информационная безопасность, социнжиниринг, шутка юмораВсем привет! С темой эксплойтов я знакома не понаслышке. Не новичок, не теоретик — за плечами достаточно практики, чтобы понимать, как именно рушатся системы и что именно вызывает дрожь у безопасников. В какой-то момент мои наработки стали слишком заметны — одна история даже получила резонанс в новостях. Это стало для меня точкой. Я свернула активную деятельность в этой области.
Прошёл год. В Telegram я веду небольшой закрытый канал для друзей, почти тихую гавань. И вдруг — комментарий от человека, которого я не знаю. Он на полном серьёзе просит меня сделать RCE, ссылается на мой “опыт” и говорит, что готов заплатить.
Just Gopher It: Превращение слепого SSRF в RCE за 15 000 $ — Yahoo Mail
2025-02-20 в 10:25, admin, рубрики: bugbounty, rce, ssrf, web, хакинг
Материал переведен Life-Hack - Хакер
Часть 1: Разведка
Обычно в bug bounty программе с большим скоупом я начинаю с перечисления субдоменов, чтобы увеличить площадь атаки, но в этом случае я сосредоточился на одном веб-приложении моей цели (Yahoo Mail).
Как я Капсулу Нео от VK взломал
2024-09-11 в 11:06, admin, рубрики: bugbounty, rce, взлом, отладка, реверсВсем привет!
Исправления давно в проде, а конфа OFFZONE 2024, на которой я выступил с этим докладом, закончилась — пришло время и на Хабре рассказать об уязвимости, которую я нашёл в умном девайсе от VK под названием «Капсула Нео» (далее — «Капсула»). Бага оказалась критичной, с возможностью исполнять на колонке собственный код по сети (RCE).
О том, как мне удалось найти уязвимость, с чем пришлось столкнуться за время проекта и почему VK в итоге не виноваты, читайте под катом.
Старт проекта
Дайджест по уязвимостям за прошедшие два месяца лета
2024-08-12 в 13:55, admin, рубрики: CVE, cybersecurity, rce, автоматизация тестирования, атаки, информационная безопасность, кибербезопасность, тестирование веб-приложений, уязвимостиПриветствую вас!
Меня зовут Анастасия Травкина, я младший аналитик в компании Вебмониторэкс. Вместе с отделом детекта мы подготовили дайджест по уязвимостям за прошедшие два месяца лета. Эта информация поможет вам обезопасить свои системы и предотвратить потенциальные угрозы.
Мониторинг уязвимостей помогает своевременно выявлять и устранять потенциальные угрозы. Регулярный аудит систем, обновление программного обеспечения и обучение сотрудников помогут создать надежную защиту от потенциальных атак. Не забывайте: безопасность — это не конечная цель, а постоянный процесс!
Backup-FuckUp — история про RCE с помощью архива резервного копирования
2024-08-12 в 8:15, admin, рубрики: hacking, pentest, rce, бэкапДисклеймер
Данная статья написана только в образовательных целях и автор не несёт ответственности за ваши действия. Ни в коем случае не призываем читателей на совершение противозаконных действий. Материал размещен только с целью ознакомления и принятию мер по обеспечению безопасности. Использование материалов в противоправных и противозаконных запрещено законом РК. Все персоны или принадлежность к кому-либо только в голове у автора. Любые совпадения с реальностью абсолютно случайны.