GitHub внедряет двухфакторную аутентификацию для публикации пакетов в npm
GitHub усиливает защиту npm после многочисленных атак на цепочки поставок. Теперь публикацию пакетов можно подтверждать поср…
Продукты «Хакера»
Все выпуски в PDF →-
Годовая подписка на Xakep.ru
Все статьи, PDF-архив, скидки и другие бонусы
6000₽ в год
Подписаться -
Ежеквартальный «Хакер» #4
Печатный выпуск за август–ноябрь 2026 года
2000₽
Заказать -
Ежеквартальный «Хакер» #3
Печатный выпуск за май–июль 2026 года
2000₽
Заказать -
Спецвыпуск «Хакера» #4
Избранные материалы 2021–2022 годов на бумаге
2000₽
Заказать
Правоохранители закрыли сервис First VPN
Правоохранительные органы Европы и Северной Америки объявили о ликвидации First VPN. По данным следствия, сервис активно исп…
Все ежеквартальные номера «Хакера» теперь можно заказать сразу
У нас отличные новости: в магазине «Хакера» появился комплект из всех четырех ежеквартальных выпусков журнала за 2026 год. Теперь можно оформить заказ сразу на все номера и зарезервировать экземпляры за собой. Стоимость бандла составляет 6500 рублей. В цену входят четыре журнала и их доставка. Если ты планировал собрать весь 2026 год на полке — сейчас самое время.
Microsoft конфисковала домен сервиса, который использовался для подписи вредоносного ПО
Специалисты Microsoft сообщили о ликвидации крупного сервиса, который использовался преступниками для подписания малвари (ma…
Критический баг в Drupal может привести к удаленному выполнению кода
Разработчики Drupal выпустили экстренные патчи для «высококритичной» уязвимости в Drupal Core, которая затрагивает сайты, ис…
Go фаззить! Пишем свой сканер поддоменов, чтобы изучить параллелизм в Golang
Задачи перебора — путей, паролей, хешей или еще чего‑то — выгодно выполнять параллельно. И язык Go здесь подходит как нельзя лучше. Сегодня мы освоим концепцию горутин — легковесных потоков, которыми управляет собственный планировщик в user space, а не ОС, что радикально меняет нагрузку на систему. Заодно напишем свой фаззер поддоменов.
Anthropic исправила проблему обхода песочницы в Claude Code
В Claude Code нашли уже вторую за последние месяцы уязвимость, позволявшую обойти песочницу ИИ-агента. Как утверждает исслед…
В «Ростелекоме» создали систему «Леший коннект» для удаленного управления роутерами
«Ростелеком» подал в Минцифры заявку на включение системы «Леший коннект» в реестр отечественного ПО. Речь идет о платформе …
Специалисты Google случайно опубликовали эксплоит для неисправленной уязвимости
Инженеры Google случайно раскрыли детали опасной уязвимости в Chromium, которая оставалась неисправленной почти четыре года.…
СМИ: введение платы за VPN-трафик решили отложить
Власти решили отложить введение дополнительной платы за международный трафик сверх 15 Гбайт в месяц в мобильных сетях. Изнач…
Разработчики анонсировали Flipper One и обратились за помощью к сообществу
Один из создателей Flipper Zero Павел Жовнер впервые подробно представил Flipper One — новый проект Flipper Devices, над кот…
В Microsoft рассказали, как защититься от 0-day-уязвимости YellowKey для обхода BitLocker
Разработчики Microsoft представили временные защитные меры для проблемы YellowKey — 0-day-уязвимости для обхода BitLocker, к…
Observium против зоопарка ОС. Настраиваем мониторинг в домашней лаборатории
В этой статье я покажу, как собрать домашний мониторинг сети на Observium: с автообнаружением устройств, графиками нагрузки, алертами и базовой картой подключений. Запустим Observium в Docker на ARM64, настроим SNMP в разных ОС и научимся не наступать на типичные грабли.
В Discord появилось сквозное шифрование голосовых и видеозвонков
В Discord заработало сквозное шифрование (end-to-end encryption, E2EE) по умолчанию для голосовых и видеозвонков. Теперь E2E…
Малварь fast16 была нацелена на саботаж разработки ядерного оружия
ИБ-специалисты Symantec и Carbon Black опубликовали анализ вредоноса fast16 и подтвердили главную гипотезу исследователей Se…
Из Steam удалили игру Beyond The Dark, содержавшую малварь
Специалисты Valve удалили из Steam бесплатный хоррор Beyond The Dark, после того как пользователи сообщили о вредоносном код…
Разработчик GitHub установил вредоносное расширение для VS Code. Взломано 3800 репозиториев
Представители GitHub предупредили, что компания пострадала от атаки на цепочку поставок и компрометация затронула примерно …
Новая волна атак Shai-Hulud привела к компрометации 600 npm-пакетов
Исследователи сообщили о новой волне атак малвари Shai-Hulud на экосистему npm. На этот раз злоумышленники опубликовали боле…
Завершился Pwn2Own Berlin. Исследователи показали 47 уникальных 0-day
На завершившемся соревновании Pwn2Own Berlin 2026 ИБ-исследователи заработали 1 298 250 долларов США, продемонстрировав эксп…
Голый код. Изучаем протектор ElecKey
Сегодня мы разберемся с нестандартным протектором ElecKey и посмотрим, как защита приложения может быть скомпрометирована. Попутно выясним, почему стандартные инструменты дампинга не справляются с этой задачей, найдем обходной путь и напишем небольшой демонстрационный скрипт.
Опубликован PoC-эксплоит для Linux-уязвимости DirtyDecrypt
Исследователи опубликовали PoC-эксплоит для новой уязвимости повышения привилегий в ядре Linux. Баг, получивший название Dir…
Появились клоны червя Shai-Hulud, которые уже используются в атаках на npm
После публикации исходников червя Shai-Hulud в открытом доступе в npm уже замечены первые клоны этой малвари. Один из обнару…
Drupal готовит патч для критической уязвимости с простой эксплуатацией
Разработчики Drupal предупредили пользователей о выходе «высококритичных» обновлений безопасности для CMS. Патчи для еще нер…
Edge больше не будет хранить пароли в памяти процесса в открытом виде
После критики со стороны ИБ-исследователей разработчики Microsoft решили изменить поведение браузера Edge, которое компания …
ВзломДля начинающих
Burp Suite с самого начала. Делаем первые шаги в веб-пентестинге
Burp Suite — основной инструмент при работе с вебом. Освоить его — это, считай, освоить азы атак на веб‑серверы. Из этого гайда ты узнаешь, как пентестеры подделывают запросы для обхода аутентификации, подбирают пароли и находят другие уязвимости с помощью Burp.
Зафиксированы первые случаи эксплуатации свежего бага в NGINX
Критическая уязвимость CVE-2026-42945 в NGINX, получившая название NGINX Rift, уже используется в реальных атаках. По данным…
Исследователь утверждает, что Microsoft отклонила сообщение о критической уязвимости в Azure
ИБ-исследователь Джастин О'Лири (Justin O'Leary) заявил, что разработчики Microsoft незаметно устранили критическую уязвимос…
Mozilla: VPN являются важнейшими инструментами обеспечения конфиденциальности и безопасности
Представители Mozilla раскритиковали британские власти за попытки запретить VPN в рамках закона Online Safety Act. В организ…
Хакеры взломали GitHub Grafana Labs и шантажируют разработчиков
Хакеры получили доступ к GitHub-инфраструктуре Grafana Labs с помощью похищенного токена и украли исходные коды компании. По…
Курс Security Awareness в Inseca: сотрудник как первый рубеж защиты
В последние годы российский корпоративный рынок информационной безопасности переживает бурный рост: спрос на обучение сотруд…
Microsoft предупреждает об атаках на уязвимость нулевого дня в Exchange Server
Специалисты Microsoft предупредили об атаках на новую zero-day уязвимость в Exchange Server, получившую идентификатор CVE-20…
HTB Pterodactyl. Подделываем активную сессию и повышаем привилегии через udisks
В Linux права на локальные действия часто зависят не только от пользователя, но и от того, считает ли система его сессию активной. В этом райтапе я покажу, как подделать окружение PAM, заставить polkit признать SSH-сессию локальной, а затем через udisks смонтировать подготовленный образ файловой системы и получить root за счет сохраненного SUID-бита.
Уязвимости в OpenClaw позволяли похищать данные, повышать привилегии и закрепляться системе
ИБ-исследователи из компании Cyera раскрыли сразу четыре уязвимости в OpenClaw, которые можно объединить в полноценную цепоч…
Хак-группа Leek Likho применяет ИИ для атак на российские организации
Группировка Leek Likho (она же SkyCloak и Vortex Werewolf) продолжает атаковать российские организации и все активнее исполь…
Торвальдс: из-за ИИ рассылка по вопросам безопасности Linux стала «практически неуправляемой»
Линус Торвальдс (Linus Torvalds) раскритиковал поток сгенерированных ИИ баг-репортов, который, по его словам, делает рассылк…
Раскрыта еще одна 0-day-уязвимость в Windows — MiniPlasma
ИБ-исследователь Chaotic Eclipse (он же Nightmare Eclipse) опубликовал на GitHub новый 0-day-эксплоит для Windows под назван…
В Android 17 появится дополнительная защита от мошеннических звонков и функция Intrusion Logging
В Android 17 появится система, которая сможет распознавать поддельные звонки якобы «из банка» и автоматически разрывать соед…
На Pwn2Own Berlin показали взлом Windows 11 и Microsoft Edge
В Берлине стартовало соревнование Pwn2Own Berlin 2026, посвященное взлому корпоративных технологий и ИИ. В первый день иссле…
Гора с секретами. Скрываем процессы в Linux c помощью mount
Сокрытие процессов — классическая задача для малвари. Обычно это территория руткитов: LKM-модули, перехват syscall-таблицы, подмена обработчиков в /proc. Все это требует загрузки кода в ядро, компиляции под конкретную версию и оставляет заметные следы. Но есть способ проще. Никаких модулей ядра и компиляции, только один штатный вызов mount с флагом MS_BIND.
Уязвимость в NGINX 18-летней давности приводит к удаленному выполнению кода
Исследователи из компании DepthFirst AI обнаружили в NGINX критическую уязвимость CVE-2026-42945, набравшую 9,2 балла по шка…
Бумажный выпуск
Материалы для подписчиков
Вопросы по материалам и подписке: support@glc.ru
Отдел рекламы и спецпроектов: yakovleva.a@glc.ru
Контент 18+
Сайт защищен Qrator —
самой забойной защитой от DDoS в мире
Отдел рекламы и спецпроектов: yakovleva.a@glc.ru
Контент 18+
Сайт защищен Qrator —самой забойной защитой от DDoS в мире