BTC $81,620.17 -0.01%
ETH $2,397.21 -0.13%
BNB $745.21 +1.69%
XRP $1.32 -0.70%
SOL $104.26 -0.01%
TRX $0.3300 -0.26%
DOGE $0.0800 +0.96%
ADA $0.2162 +0.16%
BCH $284.95 +3.41%
LINK $12.06 +0.36%
HYPE $77.65 -0.52%
AAVE $147.58 +0.65%
SUI $0.9935 +0.94%
XLM $0.1765 -0.45%
ZEC $1,229.74 -1.44%
AAPL $348.32 +1.16%
AMZN $249.13 -3.28%
GOOGL $321.42 -2.43%
MSFT $519.26 -2.38%
META $643.19 -5.20%
NVDA $212.18 -2.15%
TSLA $374.49 +0.02%
SNDK $1,282.15 -2.06%
INTC $85.95 -2.71%
SPCX $147.80 -4.41%
MU $866.84 -1.28%
AMD $509.94 -3.37%
BTC $81,620.17 -0.01%
ETH $2,397.21 -0.13%
BNB $745.21 +1.69%
XRP $1.32 -0.70%
SOL $104.26 -0.01%
TRX $0.3300 -0.26%
DOGE $0.0800 +0.96%
ADA $0.2162 +0.16%
BCH $284.95 +3.41%
LINK $12.06 +0.36%
HYPE $77.65 -0.52%
AAVE $147.58 +0.65%
SUI $0.9935 +0.94%
XLM $0.1765 -0.45%
ZEC $1,229.74 -1.44%
AAPL $348.32 +1.16%
AMZN $249.13 -3.28%
GOOGL $321.42 -2.43%
MSFT $519.26 -2.38%
META $643.19 -5.20%
NVDA $212.18 -2.15%
TSLA $374.49 +0.02%
SNDK $1,282.15 -2.06%
INTC $85.95 -2.71%
SPCX $147.80 -4.41%
MU $866.84 -1.28%
AMD $509.94 -3.37%

уязвимость

Все
Статьи
Новости

Анализ: Уязвимость PHP высокой опасности была использована хакерами до ее публичного раскрытия, что может затронуть около 70% интернета

Согласно сообщению Bloomberg, команда по угрозам Amazon обнаружила, что хакеры пытались использовать связанные уязвимости за несколько дней до их публичного раскрытия. После того как уязвимости были обнародованы в среду, хакеры продолжили расширять свою деятельность, и Amazon заявила, что уязвимости подвергаются широкому использованию, но не раскрыла конкретную информацию о жертвах.Компания по кибербезопасности Palo Alto Networks обнаружила, что в мире существует более 22,6 миллиона открытых экземпляров с соответствующими уязвимостями. Исследователи Wiz оценили, что уязвимость может затронуть около 70% интернета и существует уже более десяти лет, в то время как вице-президент NCC Group по киберразведке и реагированию Мэтт Халл предупредил, что некоторые уязвимые системы могли быть взломаны и даже иметь установленные задние двери.

Pirate Chain: откат блока после атаки на уязвимость в монетах и выпуск обязательного обновления v6.14

Проект криптовалюты Pirate Chain выпустил обязательное обновление v6.14, требуя от всех узлов, майнинг-пулов и бирж прекратить использование старой версии и немедленно обновиться. Злоумышленники использовали два уязвимости валидации, чтобы выпустить около 39,82 миллиона поддельных ARRR в прозрачном пуле coinbase, что увеличило предложение примерно на 20%. Обе уязвимости были исправлены.После достижения консенсуса среди сообщества, майнинг-пулов, бирж и узлов dPoW, цепочка была откатана до блока 4,176,944, предшествующего атаке, поддельные токены были полностью удалены, а баланс восстановлен до состояния до атаки, максимальное предложение по-прежнему составляет 200 миллионов монет. При первом запуске новой версии будет автоматически переиндексирована вся цепочка, полный технический отчет о восстановлении будет опубликован позже.

Министерство промышленности и информационных технологий (MIIT) выпустило предупреждение о риске уязвимости удаленного выполнения кода PHP с высокой степенью опасности

Платформа обмена информацией о киберугрозах и уязвимостях Министерства промышленности и информационных технологий Китая (NVDB) обнаружила два критических уязвимости удаленного выполнения кода в PHP, которые представляют серьезную угрозу. PHP — это широко используемый язык сценариев на стороне сервера с открытым исходным кодом для веб-разработки, и неаутентифицированные злоумышленники могут использовать эти уязвимости для удаленного выполнения произвольного кода, что может привести к контролю над сервером, утечке конфиденциальной информации, прерыванию бизнеса и другим последствиям.Зона воздействия включает версии 8.5 ниже 8.5.12, 8.4 ниже 8.4.27, 8.3 ниже 8.3.36, 8.2 ниже 8.2.35, а также 8.1 и более ранние версии. Команда безопасности PHP уже исправила уязвимости и выпустила уведомление о безопасности.NVDB рекомендует соответствующим организациям и пользователям немедленно провести проверку, своевременно обновить до последней безопасной версии или принять временные меры защиты, такие как временное отключение, отключение функции загрузки сессий, сетевую изоляцию, ограничения сетевого доступа и т.д., а также усилить мониторинг и управление, своевременно изменяя учетные данные, пароли и ключи.

Медленный туман безопасности: PHP обнаружены два серьезных уязвимости удаленного выполнения кода, официальный патч ожидается к выпуску сегодня вечером

Безопасное предупреждение от Slow Fog сообщает, что PHP 20 октября выпустил уведомление о безопасности, раскрывающее два серьезных уязвимости, которые могут привести к удаленному выполнению кода (RCE), под номерами CVE-2026-109618 и CVE-2026-109619, с оценкой CVSS v4 9.2. В настоящее время официальные представители PHP еще не выпустили исправляющий патч, конкретные версии, на которые влияют уязвимости, и условия их эксплуатации все еще подлежат подтверждению.Согласно имеющейся информации, официальные представители PHP планируют выпустить обновление безопасности 21 октября в 14:00 UTC (22:00 по пекинскому времени). Slow Fog рекомендует соответствующим учреждениям как можно скорее проверить версии PHP на серверах и в бизнес-системах, уделяя особое внимание PHP-сервисам, открытым для публичного доступа, и своевременно обновляться после выхода патча; системы, которые временно не могут быть обновлены, должны ограничить источники доступа и при необходимости принять меры по изоляции.

Уязвимость управления Solana исправлена: не повлияла на принятие предложения SGP-0002

Исследовательская организация по безопасности блокчейна Asymmetric Research раскрыла, что в управленческой программе svmgov на цепочке Solana ранее существовала уязвимость: когда валидатор не участвует в голосовании, независимый голос, заранее поданный его делегатом, может не быть учтен в окончательных результатах. Эта уязвимость была сообщена Фонду Solana 10 июля и исправлена в основной сети 3 августа, ранее 24 августа, когда проходило голосование по управлению.Asymmetric Research на основе данных с цепочки рассчитала, что если бы уязвимость не была исправлена, то процент голосов за предложение SGP-0002, направленное на ускорение снижения инфляции SOL, мог бы упасть с фактических 67% до 66.65%, что ниже порога в 66.67% для прохождения. Эта уязвимость была исправлена до голосования и не изменила фактический результат предложения.

first_img NEAR Intents опубликовал отчет о происшествии, уязвимость на сумму 3,8 миллиона долларов возникла из-за недостатков в уведомлении о депозите

Протокол обмена между цепями NEAR Intents опубликовал отчет о происшествии, в котором 3,8 миллиона долларов США были отнесены к недостатку функции уведомления о депозите. Протокол развернут на публичном расчетном контракте NEAR, который поддерживает внутреннюю бухгалтерию для хранения токенов, а вывод средств осуществляется через кросс-цепной мост. Отчет был опубликован генеральным директором NEAR Intents Алексом Шевченко 16 октября, который сообщил, что злоумышленник вывел 3,8 миллиона долларов до остановки протокола 1 октября и вернул все средства в течение 36 часов после обнаружения, все затронутые пользователи получили полное возмещение.В отчете говорится, что функция уведомляет сторонние контракты при внесении токенов. Злоумышленник создал контракт, который намеренно вызывал сбой уведомления, что привело к возврату депозита токенов, в то время как NEAR Intents сохранял соответствующий кредитный лимит в бухгалтерии. В 23 неудачных транзакциях по депозитам злоумышленник накопил 3,8 миллиона долларов США без обеспечения, что в отчете названо "призрачными средствами", после чего он вывел реальные токены и перевел их на другие цепи через инфраструктуру Omni. Шевченко заявил, что это уязвимость контракта NEAR Intents, а не инфраструктуры Omni.Вывод средств происходил с 29 сентября по 1 октября. Расчетный контракт был приостановлен 1 октября и снова открыт, затронутые маршруты постепенно восстанавливались, а депозиты по контракту были восстановлены 2 октября. В отчете говорится, что уязвимость не была обнаружена, потому что мониторинг сравнивал только активы оригинальной цепи с общим балансом токенов на стороне NEAR, не сравнивая общую внутреннюю сумму балансов пользователей с токенами, фактически хранящимися в контракте; команда добавила эту проверку и теперь автоматически приостанавливает контракт в случае несоответствия балансов. Исправление уязвимости, обнаруженной в октябре, было развернуто 2 октября, но другой серьезный отчет о той же функции побудил полностью удалить ее 7 октября, исследователь, связанный с этим, получил вознаграждение в 300 тысяч долларов.

first_img Backbone Labs bOSMO контрактная уязвимость привела к исчерпанию поддержки, Osmosis объявила план компенсации

Токен ликвидного стейкинга bOSMO, выпущенный Backbone Labs, почти исчерпал свои контракты после крупных выкупов в пуле сообщества Osmosis. Раскрытие на форуме Osmosis 15 октября показало, что около 40,508 OSMO были выделены для компенсации 1,037 аккаунтов. Автор раскрытия, Johnny Wyles, заявил, что этот стейкинг-контракт с апреля 2026 года по крайней мере переплачивал за каждую операцию выкупа, фактически рассчитывая по курсу примерно 1.676 OSMO за 1 bOSMO, в то время как заявленный контрактом курс обмена составляет около 1.117 OSMO.Уязвимость повторно учитывала OSMO, ставящиеся на собственных валидаторах Backbone, что позволяло выкупщикам получать примерно на 50% больше активов, в то время как поддержка оставшихся держателей была размыта. Дефект проявился при подготовке к ликвидации позиций в пуле сообщества, и одобренное предложение по управлению 1049 уполномочило отозвать позиции казначейства, управляемые Margined, и уничтожить выкупленные OSMO по окончании управления ликвидностью. Казначейство пула bOSMO держит около 1,137,000 bOSMO, что составляет примерно 97% от общего предложения токена; выкуп, выполненный 9 октября в 21:59 ET, уничтожил 776,000 bOSMO и начал разъединение около 1,300,000 OSMO.Компенсация основана на квалифицированном балансе на блоке 72,237,940, рассчитывается по курсу 1.1174 OSMO за 1 bOSMO, bOSMO, купленные после снимка, не подлежат компенсации, а также включаются держатели активов, находящихся в ликвидном пуле и других контрактах;

Lightning Development Kit выпустил обновление безопасности, исправляющее уязвимость кражи средств

Согласно мониторингу Bitcoin News, Lightning Development Kit (LDK) выпустил обновление безопасности, устраняющее уязвимость, которая могла бы позволить злонамеренным узлам красть средства. Наиболее серьезная уязвимость связана с повторным подключением Lightning-каналов. По данным Bitcoin Optech, злонамеренные узлы могут ложным образом утверждать, что не получили ранее подтвержденные обновления канала.Уязвимое программное обеспечение LDK затем может подписывать конфликтующие транзакции обязательств без правильной записи соответствующих транзакций, что позволяет злоумышленникам восстанавливать биткойны после завершения пересылки платежа. Версии LDK 0.2.7 и 0.1.13 устранили эту уязвимость. На момент рассмотрения раскрытой информации не было обнаружено подтвержденных убытков, вызванных этими конкретными уязвимостями.

Фонд XRP Ledger: подтверждено, что новых XRP не было создано, ключевая уязвимость исправлена

Фонд XRP Ledger опубликовал сообщение на платформе X, чтобы прояснить недавний инцидент с уязвимостью безопасности XRP Ledger, заявив, что эта уязвимость могла быть использована для обхода ограничения общего предложения XRP, установленного на уровне 100 миллиардов монет, но была исправлена две недели назад с помощью версии 3.4.1. После проверки не было обнаружено новых XRP, в настоящее время общее количество XRP в обращении в реестре составляет около 99.986 миллиардов монет.Фонд заявил, что для активации этой уязвимости требуется несколько сотен намеренно сконструированных операций, и обычные платежные транзакции почти не затрагиваются. В будущем будет усилено формальное подтверждение, тестирование на противодействие ИИ, сотрудничество в области исследований безопасности и программа вознаграждений за уязвимости с RippleX и сообществом. Что касается процесса исправления, фонд объяснил, что публичная публикация патча может позволить злоумышленникам использовать ИИ для ускорения анализа уязвимости. В ответ на эту ситуацию сообщество XRPL начало координацию. Участники, такие как Фонд XRP Ledger, RippleX, основные разработчики и валидаторы, достигли общественного консенсуса и согласились на прямую публикацию исправляющей программы.Кроме того, версия 3.4.1 была принята только после нормального процесса голосования по поправкам и получения поддержки более 80% валидаторов в течение двух недель, прежде чем она стала обязательной для сети. Изменения в протоколе по-прежнему требуют завершения через механизм поправок. Ранее руководитель инженерного отдела RippleX Дж. Аё Акиньеле также опубликовал сообщение на платформе X, подчеркивая важность недавно раскрытой проблемы с критической уязвимостью платежного движка XRP Ledger (XRPL), которая является серьезной проблемой безопасности и существует в кодовой базе более 10 лет, теоретически может привести к чрезмерному созданию XRP, превышающему фиксированный лимит предложения. Однако эта уязвимость была обнаружена исследовательским учреждением Veria AI через программу вознаграждений за уязвимости Ripple до того, как она была использована.

Центральный банк Аргентины: экономическая уязвимость недостаточна для поддержки интеграции криптоактивов в банковскую систему

Согласно отчету Bitcoin.com News, руководитель финансового и валютного регулирования Центрального банка Аргентины (BCRA) Хуан Курччет недавно заявил, что в краткосрочной перспективе не будет разрешено интегрировать криптоактивы в банковскую и платежную системы, а правило, запрещающее финансовым учреждениям предоставлять криптоуслуги, будет продолжать действовать.Хуан Курччет отметил, что текущая экономическая уязвимость Аргентины недостаточна для поддержки продвижения соответствующих мер, и вопрос о возможном снятии запрета в будущем будет зависеть от экономической ситуации; соответствующие темы могут быть обсуждены во время второго срока Милей.

RippleX инженерный руководитель: XRP Ledger обнаружил серьезную уязвимость более 10 лет, исправлена и завершено обновление

В связи с ключевой уязвимостью платежного движка в отчете Veria AI, руководитель инженерного отдела RippleX Дж. Аё Акиньеле заявил, что в платежном движке XRP Ledger (XRPL) существует серьезная уязвимость, существующая более 10 лет, которая может привести к эмиссии XRP сверх фиксированного объема. Эта уязвимость была обнаружена в рамках программы поощрения за уязвимости и еще не была использована.Команда разработчиков выпустила исправленную версию xrpld 3.4.1 и координировала обновление сети с валидаторами перед публичным раскрытием. Акиньеле отметил, что искусственный интеллект ускоряет процесс обнаружения уязвимостей, XRPL увеличит инвестиции в активную безопасность, очистит технический долг, продвинет формальную верификацию и систематически устранит потенциальные риски в старом коде.

XRP Ledger исправил значительную уязвимость, существовавшую почти 11 лет: злоумышленники могли использовать её для создания XRP из ниоткуда

XRP Ledger недавно исправил уязвимость платежной системы, которая могла существовать с 2015 года. Эта уязвимость могла позволить злоумышленникам обойти ограничения системы на расчет суммы обмена токенов через специально разработанную платежную транзакцию, создавая и тратя большое количество XRP, нарушая механизм, ограничивающий общее количество XRP до 100 миллиардов монет.По имеющимся данным, злоумышленники могли создать сотни аккаунтов, чтобы выставить предложения на обмен небольшого количества токенов на огромные суммы XRP, а затем одновременно провести сделку через одну платежную транзакцию. Из-за недостатка в расчетах общей суммы транзакции, продавец мог получить полное количество XRP, в то время как покупатель почти не платил соответствующую сумму. Исследователи Кайден Ляо и Veria AI сообщили об этой уязвимости 22 сентября, после чего RippleX воспроизвел атаку и подтвердил, что сгенерированные XRP могут быть использованы в последующих транзакциях. RippleX заявил, что в настоящее время нет доказательств того, что уязвимость когда-либо использовалась в какой-либо публичной сети. Команда разработчиков выпустила версию xrpld 3.4.1 25 сентября для исправления уязвимости.

Bitget будет восстанавливать вывод средств поэтапно, уязвимость исправлена, и активы пользователей не пострадают

Bitget сообщает, что в связи с инцидентом безопасности, обнаруженным 24 сентября, соответствующие уязвимости были подтверждены и исправлены, платформа поэтапно восстановит вывод средств после завершения дополнительных проверок безопасности. Сетевая безопасность, принадлежащая Google, компания Mandiant и Slow Mist Technology помогают в расследовании.План восстановления следующий (UTC):28 сентября 8:00: сеть Биткойн BTC29 сентября 8:00: сети Эфириум, BNB Smart Chain, Arbitrum, Base, Optimism ETH30 сентября 8:00: сети Эфириум, BNB Smart Chain, Solana, Tron USDT2 октября 8:00: другие токены, фиатные деньги и P2P-транзакцииBitget утверждает, что приостановка вывода средств является временной мерой безопасности и не связана с доступностью активов пользователей; баланс аккаунта не пострадал, фонд защиты возьмет на себя финансовые последствия этого инцидента на уровне платформы. В настоящее время инцидент контролируется, не будет больше несанкционированных переводов, услуги торговли и пополнения работают в обычном режиме. Пользователям не нужно предпринимать никаких действий заранее, конкретная информация о восстановлении будет сообщена через платформу и официальные каналы.
app_icon
ChainCatcher Building the Web3 world with innovations.