Блог
Разборы уязвимостей и заметки о пентесте и аудите для компаний в Минске и Беларуси.
Разборы
· Кибербезопасность
Что должно быть в отчёте пентеста, чтобы его можно было отдать разработке
Хороший отчёт пентеста короткий для руководителя и конкретный для разработчика. Длинный вывод сканера без подтверждения - это не отчёт.
Подробнее →· Кибербезопасность
CVE-2026-111497: Brotli ломает память там, где приложение само распаковывает ответ
Ошибка декодера Brotli 1.0.3-1.2.0. Сжатый поток может испортить память процесса, слить данные, уронить его или выполнить код. Node закрыт в 22.23.4, 24.22.2 и 26.12.1. Ветка 20 патча не получит.
Подробнее →· Кибербезопасность
Уведомление об обработке ставит компанию на карту
До начала обработки оператор по статье 22 закона № 152-ФЗ уведомляет Роскомнадзор. С 30 мая 2025 года закон от 30 ноября 2024 года № 420-ФЗ назвал в кодексе отдельную цену молчания: для организации от 100 до 300 тысяч рублей.
Подробнее →· Кибербезопасность
Cisco ASA и FTD: VPN с второй аутентификацией уходит в перезагрузку
CVE-2026-76418 роняет Cisco ASA и FTD на SSL VPN, если на tunnel group включена вторая аутентификация. Это отказ в обслуживании, не вход в сеть. Обходного закрытия нет, патч есть. CISA внесла ошибку 29 октября.
Подробнее →· Кибербезопасность
В России согласие нужно не на каждую анкету
Письмо Роскомнадзора от 3 октября 2025 года № 08ВМ-513381 напоминает: согласие берут, когда не подходят другие основания статьи 6. Договор с самим человеком - уже основание.
Подробнее →· Кибербезопасность
Повторная проверка после пентеста: зачем она, если «уже починили»
Галочка в трекере не закрывает находку. Повторная проверка смотрит, исчез ли сценарий, а не строка в таблице.
Подробнее →· Кибербезопасность
Ivanti Connect Secure: трёх ошибок хватает, патча только на первую - нет
Цепочку на Connect Secure закрывают сборки 25.1.1.3 и 22.8R2.6 от 29 октября. Более ранний фикс CVE-2026-104935 остальные две ошибки не закрывает. Проверка целостности Ivanti компрометацию в памяти может не увидеть.
Подробнее →· Кибербезопасность
Пятнадцать дней, чтобы ответить человеку про его данные
Закон Беларуси № 99-З даёт оператору пятнадцать дней: рассказать, кому уходили данные, прекратить обработку и удалить их, либо объяснить отказ. Если удалить технически нельзя, данные блокируют и об этом пишут в тот же срок.
Подробнее →· Кибербезопасность
Как выбрать исполнителя пентеста и не купить скан в обложке
Хороший исполнитель до старта называет адреса, запреты и что будет в отчёте. Плохой начинает с «полного покрытия» и оценки в баллах.
Подробнее →· Кибербезопасность
WordPress 7.1.4 обновляет не движок, а список чужих сертификатов
28 октября WordPress 7.1.4 заменил вложенный набор корневых сертификатов из-за отозванных промежуточных центров eMudhra. Хостовый PHP и системный ca-certificates этот релиз не трогает.
Подробнее →