Apple представила защиту памяти iPhone для борьбы со сложными атаками

На этой неделе компания Apple представила iPhone 17 и iPhone Air, которые будут оснащены новой функцией защиты памяти, предназначенной для обеспечения безопасности устройств в случае сложных атак шпионского ПО.

https://xakep.ru/2025/09/11/apple-mie/

Атака GhostAction привела к раскрытию 3325 секретов

Обнаружена еще одна атака на цепочку поставок, получившая название GhostAction. Вредоносная кампания была нацелена на GitHub и привела к компрометации 3325 секретов, включая токены PyPI, npm, DockerHub, GitHub, API-ключи Cloudflare и AWS.

https://xakep.ru/2025/09/12/ghostaction/

Хочу поздравить всю ИБ отрасль.

Законопроект про публикации уязвимостей, который бы перенес всё в тень в России, удален.

Спасибо Минцифры, что услышали нас.

Можете открыть бутылочку игристого, несмотря на понедельник.

 KillSec Ransomware Attacking Healthcare Industry IT Systems

https://cybersecuritynews.com/killsec-ransomware-attacking/

Атака Phoenix обходит защиту DDR5 от Rowhammer

Создан новый вариант Rowhammer-атак, который способен обойти новейшие механизмы защиты в чипах DDR5 от SK Hynix. Атака получила название Phoenix. Она позволяет получить root-права в системах с DDR5 менее чем за две минуты.

https://xakep.ru/2025/09/17/phoenix-rowhammer/

Google выпустила экстренные обновления для исправления 4 уязвимостей в Chrome, в том числе 0-day, шестой использованной в атаках с начала года, наряду с CVE-2025-2783, CVE-2025-4664, CVE-2025-5419, CVE-2025-6554 и CVE-2025-6558.

В компании не раскрывают подробностей эксплуатации CVE-2025-1058, но предупреждает о наличии для нее общедоступного эксплойта - на самом деле, достаточно распространенный индикатор активной эксплуатации.

0-day вызвана недостатком путаницы э типов в движке V8 JavaScript и WebAssembly, ееобнаружила Группа анализа угроз Google (TAG) и сообщила о ней 16 сентября 2025 года.

Ошибки путаницы типов - это проблемы безопасности памяти, которые могут вызвать неожиданное поведение программного обеспечения, что может привести к DoS, RCE и другим типам атак.

Используя специально созданные HTML-страницы, злоумышленники могут воспользоваться ошибками путаницы типов в V8 для удаленного выполнения произвольных операций чтения/записи.

Учитывая, что об уязвимости сообщил Google TAG, проблемой, по всей видимости, могли воспользоваться рахзработчики шпионского ПО или APT.

Последнее обновление браузера также устраняет две уязвимости использования после освобождения в Dawn (CVE-2025-10500) и WebRTC (CVE-2025-10501), за устранение которых Google выплатила награды в размере 15 000 и 10 000 долл. соответственно.

Кроме того, обновление содержит исправления для переполнения буфера кучи в графическом движке ANGLE (CVE-2025-10502), обнаруженного Big Sleep AI, который, по словам Google, может находить дефекты безопасности, о которых злоумышленники уже знают и планируют использовать.

Компания устранила проблему безопасности на день позже, выпустив версии 140.0.7339.185/.186 для Windows/Mac и 140.0.7339.185 для Linux, которые поступят в стабильную версию для настольных компьютеров в течение ближайших недель.

Бывший сотрудник банка FinWise получил доступ к данным 689 000 клиентов

Американский банк FinWise предупредил от имени партнерской компании, что подвергся утечке данных. Сообщается, что в прошлом году бывший сотрудник финансового учреждения получил доступ к конфиденциальным данным уже после окончания трудовых отношений.

https://xakep.ru/2025/09/19/finwise/

⏺Транснациональная компания Kering (бренды Gucci, Balenciaga, Alexander McQueen) пострадала от утечки данных — злоумышленники из Shiny Hunters получили доступ к около 7,4 млн записей клиентов, включая имена, телефонные номера, адреса, электронную почту и суммы покупок