Уязвимость

Scroll опубликовал сообщение, в котором говорится, что 3 ноября они получили отчет о уязвимости, указывающий на наличие уязвимости в валидаторе bundle proof, развернутом в основной сети Ethereum, и 10 ноября зарегистрировали исправленный валидатор для версии batch 10. Scroll подтвердил, что уязвимость не была использована в основной сети.Согласно отчету, эта уязвимость могла позволить старым действительным доказательствам быть принятыми для новых публичных входов, что позволило бы окончательно подтвердить произвольные корни состояния и корни вывода. Для использования этой уязвимости необходимо иметь роль валидатора с лицензией или включить принудительный пакетный режим, который открывается через 7 дней после окончательного подтверждения.Scroll утверждает, что принудительный режим никогда не был включен, и все 748 окончательных подтверждений, сделанных в период существования уязвимости, использовали нормальные доказательства, предыдущие версии валидатора не пострадали.

Scroll опубликовал сообщение, в котором говорится, что 3 ноября он получил отчет о уязвимости, указывающий на наличие уязвимости в валидаторе Bundle, развернутом в основной сети Ethereum, и 10 ноября зарегистрировал исправленный валидатор для Batch Version 10. Scroll подтвердил, что уязвимость не была использована в основной сети.Сообщается, что эта уязвимость может привести к тому, что старые действительные доказательства будут использоваться для новых открытых входов, что позволит злоумышленникам в конечном итоге подтвердить произвольный корень состояния и корень вывода. Для эксплуатации этой уязвимости необходимо получить роль разрешенного валидатора или активировать принудительный пакетный режим после 7 дней, в течение которых не было завершено окончательное подтверждение. Scroll заявил, что принудительный режим никогда не был активирован, и все 748 окончательных подтверждений, выполненных в период существования уязвимости, были завершены с использованием нормальных доказательств, и валидаторы предыдущих версий не пострадали.

Согласно уведомлению о безопасности Bitcoin Core, уязвимость среднего уровня CVE-2025-62859 была раскрыта 10 ноября 2026 года. Эта уязвимость присутствует в версиях до 29.2 и 30, и злонамеренные узлы могут использовать манипуляцию данными свидетельства в компактных блоках (witness malleation), чтобы при определенных условиях остановить обработку блоков жертвы.В уведомлении указано, что затронутые узлы очищают состояние загрузки после восстановления компактного блока и перед проверкой данных свидетельства. Если проверка не удалась, узел откатится к запросу полного блока у того же узла и будет ждать таймаута в 10 минут. Если злоумышленник контролирует 3 высокоскоростных пира жертвы или жертва работает в режиме -blockonly, эта атака может повторяться бесконечно.Уязвимость была обнаружена Юджином Сигелем и ответственно раскрыта, исправление уже включено в версии Bitcoin Core 29.2 и 30.

Google выпустил экстренное обновление стабильного канала для настольного браузера Chrome 9 ноября 2026 года, исправив 9 уязвимостей безопасности, включая одну нулевую уязвимость, которая уже использовалась в дикой природе. Это обновление повысило версии Chrome для платформ Windows и Mac до 157.8103.5/.51, а для платформы Linux до 157.8103.5 и будет постепенно развертываться в течение следующих нескольких дней и недель. Основное внимание в этом обновлении уделяется уязвимости с номером CVE-2026-125350, которая является уязвимостью типа "использование после освобождения" в XML-компонентах. Google в своем объявлении четко указал, что "осведомлен о том, что CVE-2026-125350 используется в дикой природе", но не раскрыл конкретные методы атаки, масштаб ущерба или принадлежность атакующих.Эта уязвимость была сообщена анонимным исследователем 6 ноября 2026 года, всего через 3 дня после выпуска Google исправляющего патча. Из всех 9 исправлений 7 имеют уровень "высокий", 2 - "средний". Кроме CVE-2026-125350, другая уязвимость с высоким уровнем CVE-2026-125346 также связана с проблемой использования после освобождения в XML-компонентах, о которой сообщил Арни Хардарсон из Neonix Security 12 октября 2026 года, но Google только пометил CVE-2026-125350 как уязвимость, используемую в дикой природе. Остальные уязвимости с высоким уровнем охватывают неинициализированные ресурсы WebGL, неправильные разрешения FileSystem, переполнение буфера синтезатора, запись за пределами границ GPU и путаницу типов V8, большинство из которых было обнаружено внутренней командой безопасности Google.Google также подтвердил, что выпущенная в тот же день версия Chrome для Android (157.8103.5) содержит те же исправления безопасности, что и настольная версия, без исключений. Пользователи, использующие расширенный стабильный канал (Extended Stable), должны установить отдельно выпущенное обновление от 9 ноября, версии для Windows и Mac - 156.8078.96, которое также включает CVE-2026-125350 в список уязвимостей с высоким уровнем. Центр координации инцидентов компьютерной безопасности правительства Гонконга (GovCERT.HK) в тот же день выпустил предупреждение о безопасности, определив затронутые системы как версии Chrome до 157.8103.5, и указал, что успешная эксплуатация соответствующих уязвимостей может привести к удаленному выполнению кода, отказу в обслуживании, подделке или обходу ограничений безопасности. Центр координации инцидентов компьютерной безопасности Гонконга (HKCERT) оценил уровень риска этого обновления как "очень высокий". Google в своем объявлении пояснил, что доступ к деталям уязвимости и ссылкам может оставаться ограниченным до завершения обновления большинством пользователей. Компания рекомендует пользователям вручную проверить и инициировать обновление через "Настройки → О Chrome", а после завершения обновления перезагрузить браузер, чтобы патч вступил в силу. Для пользователей, которые все еще используют версии Chrome до 157.8103.5, текущей первоочередной задачей является подтверждение номера версии и немедленная перезагрузка для завершения обновления.

Согласно уведомлению безопасности Apple, обновление iOS и iPadOS 27.2.1 устраняет несколько уязвимостей безопасности, одна из которых в Messages может позволить удалённым злоумышленникам присоединиться к групповой беседе в iMessage и получать сообщения.Другая уязвимость в Messages может позволить новым участникам группового чата читать сообщения, отправленные до их присоединения. Apple также исправила проблемы, связанные с тем, что вредоносные Bluetooth-устройства могут подключаться без взаимодействия с пользователем, а также с тем, что злоумышленники в пределах диапазона Bluetooth могут обойти ограничения на количество попыток ввода кода сопряжения. Apple сообщила, что данное обновление было выпущено 9 ноября.

Конфиденциальная AI инфраструктура NEAR AI обновила информацию на платформе X, сообщив, что 8 ноября злоумышленник использовал уязвимость в их работающем движке вывода SGLang для доступа к части инфраструктуры.NEAR AI заявила, что закрыла соответствующие права доступа и завершила исправление. Пострадавшие пользователи были уведомлены, пользователям, не получившим уведомление, не нужно предпринимать никаких действий.

Главный специалист по информационной безопасности Slow Fog 23pds предупреждает, что вредоносный IPA может использовать worse_query для чтения других контейнеров приложений, и данные кошелька, хранящиеся в открытом виде, могут подвергаться риску.

Отчет GreyNoise сообщает, что уязвимость обхода пароля Alpine SSH была успешно использована, а Previdian также зафиксировал 20 попыток эксплуатации.

Кошелек Биткойн Electrum на платформе X объявил о выпуске версии 4.8.4, заявив, что это очередное обновление безопасности. Согласно журналу обновлений GitHub, дата выпуска этой версии - 6 ноября, она исправляет уязвимости, связанные с луковыми сообщениями (onion messages) сети Lightning: искаженные луковые сообщения из произвольных источников могут привести к разрыву соединения Electrum с его узлами-каналами.Electrum в настоящее время будет игнорировать все входящие луковые сообщения до тех пор, пока не будут реализованы реальные сценарии использования. Кроме того, новая версия также исправляет проблемы с восстановлением некоторых мнемонических фраз, которые не работали в версиях до 2. Предыдущая версия Electrum 4.8.3 была выпущена в конце октября и исправила одну высокоопасную уязвимость, которая уже была использована в дикой природе.

Alpine Linux предупреждение: при определенной конфигурации злоумышленник может обойти аутентификацию паролем SSH, официально рекомендуется обновить OpenSSH и перезапустить службу.

Официальные записи CVE показывают, что уязвимость с номером CVE-2026-83844 была раскрыта, ее авторизующий орган (CNA) — компания Microsoft, дата публикации — 13 октября 2026 года. Описание уязвимости: в Windows Paint существует проблема переполнения буфера, которая может позволить несанкционированным злоумышленникам выполнять код через сеть.Что касается оценки, базовый балл уязвимости CVSS 3.1 составляет 8.1 балла, рейтинг — высокий риск, вектор — CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H, то есть вектор атаки — сеть, сложность атаки высокая, не требуется разрешение и взаимодействие с пользователем, успешная эксплуатация приводит к высокому воздействию на конфиденциальность, целостность и доступность. Базовый балл CVSS v2 составляет 7.6 балла.Другие открытые показатели показывают, что оценка EPSS для этой уязвимости составляет около 0.00734 (примерно 1%), соответствующий процентиль около 55%, в настоящее время она не включена в каталог известных уязвимостей, используемых CISA (KEV). Руководство по обновлениям безопасности Microsoft уже содержит соответствующую страницу для этой уязвимости, информация о затронутых версиях Windows и патчах соответствует содержимому, указанному в этом руководстве.

По данным Carlos, его старый горячий кошелек был опустошен сегодня рано утром, предположительно в результате масштабной атаки, инициированной "noble.base.eth", и есть подозрения на связь с уязвимостью Railway. Carlos сообщил, что транзакции подписаны его собственным кошельком, и инцидент относится к кражам, связанным с утечкой мнемонических фраз или приватных ключей.В течение примерно 70 минут было опустошено 96 кошельков, все пострадавшие кошельки демонстрировали одинаковую модель. Carlos рекомендует пользователям, имеющим горячие кошельки, немедленно произвести их замену. Злоумышленники в первую очередь использовали Relay в качестве канала для вывода средств, после чего Relay заявил, что заблокировал соответствующие кошельки.

Floki на платформе X заявил, что проводит расследование инцидента с уязвимостью. В настоящее время соответствующие роботизированные услуги отключены, команда принимает меры для защиты оставшихся средств пользователей и подтверждает конкретных пострадавших пользователей.После этого пострадавшие пользователи будут переведены в новый безопасный кошелек, оставшиеся средства также будут переведены им. Floki напоминает пользователям, что до дальнейшего уведомления не следует вносить средства в кошелек робота; если пользователь экспортировал приватный ключ и в кошельке все еще есть средства, их следует немедленно перевести в кошелек, который полностью контролируется им. Официальные лица подчеркивают, что команда никогда не будет Активный отправлять личные сообщения пользователям или запрашивать мнемонические фразы и приватные ключи, игнорируйте любых лиц, которые утверждают, что могут предоставить услуги "возврата средств" или "восстановления".

Управляющая организация по управлению рисками DeFi Gauntlet закрыла очередь поставок своего V1 хранилища после появления отчета о уязвимости op-reth на некоторых цепочках OP Stack, приостановила распределение активов и снизила свою экспозицию к активам кросс-цепного моста LayerZero. Gauntlet заявила, что, насколько ей известно, в настоящее время нет сообщений о том, что уязвимость была использована.В отчете указано, что очистка очереди поставок предотвратит новые депозиты в хранилище, но сама мера не закроет функцию вывода или базовый рынок кредитования; вывод по-прежнему зависит от доступной ликвидности на базовом рынке. Gauntlet отметила, что соответствующие меры будут действовать до решения проблемы, но не указала конкретное время восстановления.Gauntlet является куратором рисков для DeFi кредитных протоколов, предоставляя услуги управления рисками для хранилищ на таких протоколах, как Morpho, отвечая за установление параметров залога, предельных объемов поставок и стратегий распределения активов. Эта корректировка касается ее V1 хранилища, работающего на соответствующих цепочках.

Согласно мониторингу GCSA, Глобальный альянс кибербезопасности (GCSA) опубликовал три независимых технических отчета, раскрывающих недавние риски безопасности цифровых активов. Злоумышленники выдали себя за [email protected], чтобы заставить пользователей скачать программу удаленного управления. GCSA обнаружил, что соответствующие домены ранее не были настроены на DMARC; после уведомления KuCoin завершил исправления и активировал стратегию изоляции DMARC.После того как оригинальная версия MCP инструментария, упомянутая в официальной документации Bitkub, была снята, третья сторона повторно зарегистрировала имя пакета npm. Установка без фиксированной версии и риск использования открытых ключей могут привести к утечке учетных данных, на данный момент нет фактических доказательств кражи, Bitkub пока не ответил на уведомление.Кошелек TranchePool в экосистеме Avalanche подвергся атаке из-за недостатков логики расчетов через день, злоумышленники использовали флеш-кредиты и повторные выводы, за 202 секунды было выведено около 1,013,400 USDC. Этот инцидент относится к уязвимостям верхнего уровня приложений, нижний уровень сети не пострадал. GCSA сообщил, что уведомил соответствующие платформы о полученных данных и опубликовал оригинальный анализ и доказательства для отраслевого обсуждения.

GitBook опубликовал 2 ноября обзор инцидента с безопасностью, в котором говорится, что злоумышленники использовали уязвимость в процессе единого входа для подделки сеанса входа сотрудников, что позволило им запросить неправильно настроенные учетные данные GitHub App в организации, получить доступ к внутреннему репозиторию кода и получить ключ API Cloudflare, в конечном итоге получив полный доступ к производственной среде через учетную запись службы.GitBook отключил соответствующие внутренние учетные записи службы в течение нескольких часов, чтобы остановить атаку, в результате чего платформа была недоступна примерно на 16 часов и полностью восстановилась 3 ноября в 11:56 UTC. Злоумышленники находились в производственной среде в общей сложности около 3 часов 25 минут, GitBook заменил всю инфраструктуру и аннулировал ключи клиентов, а также токены API.GitBook заявил, что существующие признаки указывают на то, что атака была направлена на одного клиента, а не на всю платформу, и не было обнаружено других случаев изменения контента клиентов, но поскольку злоумышленники могли получить доступ к данным клиентов на платформе, все данные клиентов обрабатываются как потенциально раскрытые, включая токены API, интеграционные ключи, ключи подписи сеансов, записи вопросов и ответов помощника, а также разрешения приложений GitHub и GitLab для авторизованных репозиториев. Информация о счетах, пароли и IP-адреса не пострадали.GitBook отметил, что скорость и точность атаки сильно зависели от автоматизации и ИИ. Главный специалист по информационной безопасности SlowMist 23pds переслал этот обзор, указав, что целью атаки был Trade.xyz. Trade.xyz ранее заявил, что аномалия в документах возникла из-за вторжения в инфраструктуру GitBook, и у них не было признаков взлома собственной инфраструктуры, и они планируют покинуть GitBook в течение нескольких дней.

Главный специалист по информационной безопасности Slow Fog 23pds опубликовал сообщение на платформе X, в котором говорится, что уязвимость удаленного выполнения кода с нулевым кликом для Android была включена в ноябрьское обновление безопасности, и пользователям настоятельно рекомендуется обновиться. Google в своем объявлении в ноябре 2026 года исправил более 200 уязвимостей, среди которых наиболее серьезной является уязвимость уровня Framework CVE-2026-58868 (Критическая), позволяющая удаленно выполнять произвольный код без взаимодействия с пользователем и дополнительных прав, затрагивающая Android 14, 15, 16, 16 QPR2 и 17. В настоящее время нет подтвержденных случаев эксплуатации.23pds сообщает, что версии с уровнем безопасности 2026-11-01 и выше содержат исправления Framework/System, включая CVE-2026-58868; версии от 5 ноября и выше охватывают все уязвимости этого цикла, включая исправления для ядра, MediaTek, Qualcomm и других чипов. Пользователи могут проверить "уровень безопасности" в "Настройки → О телефоне → Версия Android".

Инструмент обработки платежей с открытым исходным кодом Bitcoin BTCPay Server получил несколько сообщений о том, что горячие кошельки Bitcoin и Litecoin на его платформе стали жертвами несанкционированного кражи средств. Команда проекта выпустила обновление расследования, подтвердив, что атака нацелена на серверы, работающие на версии BTCPay Server 2.4.1 или более ранних версиях. Злоумышленники использовали уязвимость, которая была исправлена в версии 2.4.2 7 августа, чтобы получить права администратора сервера различными способами и опустошить средства горячих кошельков.Основатель BTCPay Server Николас Дориер подтвердил, что только серверы, работающие на версиях до 2.4.2, особенно на версии 2.4.1, были затронуты; пользователи, работающие на последней версии 2.4.7, пока не сообщали о надежных потерях. Некоторые из пострадавших провайдеров, включая LunaNode, автоматически закрыли устаревшие экземпляры, представляющие риск. Официальные рекомендации для пользователей, которые все еще используют версии 2.4.1 или более ранние, заключаются в том, чтобы немедленно перевести оставшиеся средства из старого горячего кошелька в новый кошелек, созданный с использованием совершенно новых мнемонических фраз, отключить старый сервер и сохранить соответствующие журналы, а затем установить последнюю версию на новой виртуальной машине и подключить новый кошелек, никогда не восстанавливая старый сервер на новую машину в целом.Просто обновление версии программного обеспечения недостаточно для устранения риска, так как злоумышленники могли получить постоянный доступ к старому серверу. Средства, хранящиеся вне сервера, такие как средства в аппаратных кошельках, не пострадали в результате этого инцидента. Уязвимость связана с уязвимостью, исправленной в августе этого года, когда злоумышленники получили доступ к учетным данным управления LND для управления узлом. На данный момент уязвимость еще не получила номера CVE и не находится в каталоге известных уязвимостей CISA.

Клиент сети Lightning для Биткойна Core Lightning выпустил версию 26.06.10, которая исправляет риски, связанные с балансом каналов, а также уязвимости, которые могут привести к удаленному сбою узлов. Официальные лица призывают операторов узлов как можно скорее завершить обновление.Команда поддержки заявила, что для предоставления операторам узлов окна для обновления тестовые случаи, касающиеся вышеупомянутых исправлений, пока не будут опубликованы, а соответствующие детали будут раскрыты после завершения обновления узлов.

Руководитель по связям с валидаторами Фонда Solana Тим Гарсия сообщил в Twitter, что уязвимость ядра Linux CVE-2026-98432 была исправлена в ядре Linux, но Ubuntu еще не выпустила патч.Тим Гарсия рекомендовал валидаторам, использующим Ubuntu, временно блокировать входящие TCP-пакеты с опцией IPv4 и отключить многопутевую TCP и миграцию сокетов TCP.