Исследование специалистов показывает, что плагин Post SMTP, используемый на более чем 400 000 сайтов WordPress, содержал критическую уязвимость, которая позволяла пользователям с минимальными правами (на уровне подписчика) перехватывать логи почтовых сообщений и захватывать административные аккаунты. Эта ошибка доступа, отслеживаемая как CVE‑2025‑24000 с оценкой CVSS 8.8 / 10, обнаружена в версиях плагина до 3.2.0 включительно.
Уязвимость выражается в том, что REST-API плагина проверяет лишь наличие входа пользователя, но не оценивает его полномочия. Это позволило злоумышленнику-подписчику просматривать полный текст писем, включая ссылки на сброс пароля, и затем получить контроль над администраторами сайтов.
Разработчик выпустил патч версии 3.3.0, устраняющий эту проблему. Однако согласно статистике, по состоянию на июль 2025 года приблизительно 40% сайтов с активным плагином всё ещё работают на уязвимых версиях, то есть около 160 000 сайтов остаются под угрозой.
Эксперты настоятельно призывают администрацию сайтов обновить Post SMTP до версии 3.3.0 или выше, провести ревизию пользовательских ролей и доступа, а также проверить логи на попытки несанкционированного доступа к почтовым журналам. Для особо чувствительных ресурсов рекомендуется временно деактивировать плагин или ограничить доступ к его REST-эндпоинтам через WAF или другие механизмы защиты.
В России создается первая импортонезависимая система для автоматизированного проектирования сверхвысокочастотных гибридных и монолитных интегральных схем.
С 15 по 19 апреля 2026 года в Дагестане состоится выездной образовательный интенсив «Код ИБ ПРОФИ» для руководителей и директоров по информационной безопасности, а также владельцев и топ-менеджеров ИТ- и ИБ-направлений.
Каширский городской суд вынес приговор участникам схемы мошенничества, связанной с программой Пушкинская карта.
Federal Bureau of Investigation объявило о поиске пользователей, которые могли пострадать от действий хакеров, взломавших аккаунты популярной игровой платформы Steam.
Эксперты по кибербезопасности из Microsoft сообщили о новой вредоносной кампании, в рамках которой злоумышленники распространяют поддельные VPN-клиенты через поисковую выдачу.
Редакция Cyber Media собрала ключевые события из мира кибербезопасности за эту неделю.
Аналитический центр Black Lotus Labs совместно с Министерством юстиции США провел операцию по нейтрализации прокси-сети SocksEscort, построенной на базе вредоносного ПО AVRecon.
Google выпустила внеплановое обновление стабильной ветки Chrome, закрывающее две критические уязвимости, которые, по данным компании, уже эксплуатируются в реальных кибератаках.
Исследователи Qualys Threat Research Unit обнаружили девять уязвимостей в модуле безопасности AppArmor, которые существовали с 2017 года и затрагивают более 12,6 млн систем по всему миру.
Более 200 представителей российских компаний ежегодно принимают участие в Security Summit — руководители ИБ, ИТ-директора и представители бизнеса.
