2SDnjcoK9BL
В веб-серверах Siemens OZW662 и OZW772 обнаружены критические уязвимости с рейтингом CVSS 10.0. Злоумышленники могут удалённо выполнять код (RCE) и получать права администратора без аутентификации. OZW662 и OZW772 используются во многих промышленных контроллерах и системах автоматизации, включая управление отоплением и кондиционированием, что делает эти уязвимости особенно опасными.
«RCE, или удалённое выполнение команд, — буквально джекпот среди уязвимостей, потому что, как правило, это означает возможность получения полного доступа к атакуемой системе. Неудивительно, что таким уязвимостям выдают самые высокие рейтинги, а вендоры стремятся закрыть их как можно скорее или по крайней мере придумать компенсирующие меры», — отметил руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис» Сергей Полунин.
Киберэксперт отметил, что уязвимость в веб-серверах от Siemens — это проблема в квадрате, потому что OZW662 и OZW772 встраивают во всевозможные промышленные контроллеры и системы автоматизации для отопления и кондиционирования.
«Вы можете себе представить, какие проблемы может доставить эксплуатация этих уязвимостей. И нельзя сказать, что в Siemens как-то плохо поставлена процедура безопасной разработки, но тем не менее имеем, что имеем. При этом на бумаге все лучшие практики уже придуманы и описаны, но проблемы, как правило, возникают с их применением на практике. И даже если выстроить полноценную процедуру DevSecOps не получается, то внедрение решений вроде Efros DefOps повышает качество конечного продукта. Я уже не говорю про выстраивание CI/CD и привлечение профильных специалистов и экспертов, что многим не по карману», — подытожил Полунин.
Редакция Cyber Media отобрала ключевые события недели: на фоне роста кибершпионажа, усложнения фишинговых схем и усиления международного давления на преступные группировки цифровая среда становится всё более неустойчивой.
Платформа Deezer совместно с исследовательской компанией Ipsos опубликовала результаты крупного международного опроса о восприятии музыки, созданной искусственным интеллектом.
Исследователи Sonatype сообщили о беспрецедентной автоматизированной атаке на экосистему open-source, получившей название «IndonesianFoods».
Исследователи Netcraft выявили масштабную фишинговую операцию, нацеленную на гостей отелей.
Обнаружен один из крупнейших сборников украденных учётных данных: почти два миллиарда уникальных адресов электронной почты и 1,3 миллиарда паролей, — сообщает Трой Хант, создатель сервиса проверки паролей HIBP.
4 декабря в Москве более 50 экспертов по информационной безопасности подведут итоги года на масштабной аналитической конференции «Код ИБ ИТОГИ».
«Лаборатория Касперского» расширяет присутствие в Юго-Восточной Азии — компания назначила нового регионального директора, а также вывела работу во Вьетнаме на новый уровень, открыв офис в стране.
Сервис Have I Been Pwned загрузил один из самых больших массивов данных в своей истории - набор Synthient Credential Stuffing Threat Data, появившийся в 2025 году.
Microsoft заблокировала одну из самых известных схем обхода активации Windows 10 и Windows 11, которая работала через локальный KMS-сервер и не требовала подключения к интернету.
13 ноября на форуме «Цифровые решения» прошла пленарная сессия «Как бизнес защищает клиентов и данные в 2025 году».
