Как убрать пароли из XML-конфигов Hadoop: Credential Provider API и JCEKS на практике
Привет, Хабр! Меня зовут Егор Ившин, я аналитик по безопасности в Arenadata. Я отвечаю за безопасность продукта ADH: моя ключевая задача – выявлять…
Latest News
⚑ Report a ProblemTech news from the best sources
All topics
- игры
AI
News
Tech
agents
ai
api
architecture
automation
backend
beginners
career
devchallenge
devops
javascript
llm
machinelearning
mcp
opensource
performance
productivity
programming
python
react
security
showdev
testing
tutorial
typescript
webdev
Рейтинги облачных хранилищ для бизнеса в России в 2026 году
Сравнили корпоративные файлообменники и S3-сервисы для компаний: критерии выбора, честные ограничения, сводные таблицы и чек-лист внедрения — без во…
Как опубликовать внутренний API из DMZ, если соединения в LAN запрещены: пять подходов, которые мы проверили
Как опубликовать внутренний API из DMZ, если соединения в LAN запрещены: пять подходов, которые мы проверили Все пять схем мы собирали на NEOM…
5 систем защиты сайтов и API от DDoS и ботов
Сравниваем 5 систем защиты от DDoS-атак и ботов для сайтов, API и приложений: возможности, антибот, WAF, способы подключения, тарифы и ограничения.…
Cloud Trust vs Zero Trust: стандарты безопасности в гибридном окружении
Как построить безопасность гибридной инфраструктуры: Zero Trust и Cloud Trust, сетевой доступ, IAM, контроль конфигураций и мониторинг в облаке. — Ч…
Как мы в Мой МТС сделали SOS-кнопку для быстрой связи ребенка с родителем
Дети порой попадают в плохие ситуации, и не всегда есть возможность позвонить родителю. Мы, команда Мой МТС, придумали решение — бесплатный виджет д…
libheif 1.23.4 закрыла уязвимости при чтении и декодировании HEIF
libheif 1.23.4 чинит квадратичный разбор iinf (23 МБ файла дают 1,5 ГБ памяти), рекурсию в проверке ссылок, вечный дедлок декодера и падение WebAsse…
Исследователи взломали телевизор LG и записали звук при тёмном экране
Gamers Nexus выявил сканирование локальной сети и изучил ACR. Аппаратный выключатель встроенного микрофона оставляет доступными другие источники зву…
Многофакторная аутентификация: как работает и зачем нужна бизнесу
Как работает MFA и 2FA, какие факторы используются и почему это обязательно по PCI DSS. Гайд по многофакторной аутентификации. — Читать дальше « Мно…
Google показала, как запустить Mantis: ИИ-конвейер ищет и чинит уязвимости
Google опубликовала гайд по Mantis, открытому набору скиллов для кодинг-агентов: 16 стадий от истории репозитория до патча, песочница gVisor без сет…
Anthropic открыла Claude Commerce Agents: чертёж торгового агента на Claude
Anthropic открыла Claude Commerce Agents под Apache 2.0: два агента для магазина, три способа запуска, проверки внутри вызова инструмента и свой бэк…
Anthropic запустила проверку файлов на метку Claude прямо в браузере
На claude.com появился бесплатный сервис Check Content: он ищет в файле подписанную метку C2PA о том, что файл создал или обработал Claude. Что он у…
Google: Gemini 3.8 Flash догнала Opus 5 на DeepSWE при цене $0,75 за млн
Google представила Gemini 3.8 Flash по цене 3.7 Flash и закрытую 3.8 Flash Cyber для поиска уязвимостей. Бенчмарки, цена до конца 2026 года и оговор…
AISLE нашла в curl шесть CVE после нуля у Mythos и Codex Security
Стартап AISLE отчитался о шести CVE в curl 8.22.0, найденных его ИИ-системой после того, как Anthropic Mythos и OpenAI Codex Security не нашли ничег…
Postgres Pro закрыл 28 уязвимостей PostgreSQL внеочередными релизами
Postgres Professional выпустила «нулевые» релизы Postgres Pro Enterprise с 28 исправлениями безопасности PostgreSQL. Что закрыто и что переиндексиро…
curl 8.22.0 закрыл девять уязвимостей и отказался от TLS-SRP
curl 8.22.0: девять CVE в curl и libcurl, десятая в wcurl, подписи HTTP по RFC 9421 и блокировка NTLM в SPNEGO. Что проверить у себя и от чего отказ…
Positive Technologies нашла в Microsoft Prompty дыру на 10 из 10 по CVSS
Файл .prompty мог выполнить произвольный JavaScript в процессе Node.js: SSTI в пакете @prompty/core, CVE-2026-73299, CVSS 10,0. Какие версии уязвимы…
Как хранить бэкапы в S3, чтобы их не удалил сбой или вирус
Как настроить Object Lock и версионирование в S3, выбрать срок хранения бэкапов и восстановить данные после атаки шифровальщика. — Читать дальше « К…
TeamCity получил OIDC-плагин: облачные ключи в CI заменяют короткие JWT
JetBrains выпустила плагин, который делает TeamCity провайдером OIDC: сборки получают короткоживущие подписанные JWT вместо постоянных ключей AWS, G…
Proxmox VE 7 атакуют через обход пароля в API, патча для ветки нет
Proxmox опубликовал advisory PSA-2026-00043-1: старые Proxmox VE 7 и ранний VE 8.0 пропускают вход без пароля через параметр tfa-challenge. Уязвимос…
OpenAI готовит Astra: первую модель с критическим уровнем кибервозможностей
OpenAI объявила, что модель Astra достигла уровня Critical по кибербезопасности в её Preparedness Framework: сама находит уязвимости и собирает эксп…
METR рассказала, как у неё украли API-ключ к моделям: «вайб-кодинговое» приложение на личном сервере с ошибкой fail-open
Лаборатория METR раскрыла два инцидента 2026 года: кражу API-ключа к моделям через самодельное приложение на личном EC2 и майскую кампанию сканирова…
Цифровой рубль вышел в массовое использование: с 1 сентября первый этап подключения банков и магазинов и что это значит для платёжных интеграций
С 1 сентября 2026 года крупнейшие банки и ритейлеры открыли инфраструктуру цифрового рубля. Разбираем, как устроен третий вид денег, какие лимиты и…
Debian 11 Bullseye остался без обновлений безопасности: LTS закончился 31 августа
31 августа 2026 года закончилась LTS-поддержка Debian 11 Bullseye. С сентября обновлений безопасности нет. Как найти такие серверы, куда обновляться…
Вступил в силу закон об идентификации владельцев доменов .ru, .рф и .su через Госуслуги: у Руцентра её прошли 42,2% администраторов, у Рег.ру 25,7%, ограничения включат позже
Закон 569-ФЗ ввёл с 1 сентября 2026 года обязательную идентификацию администраторов доменов .ru, .рф и .su через Госуслуги. Что это значит для владе…
JetBrains раскрыла детали взлома Cadence: непропатченный TeamCity, бэкап 2024 года и аннулированные токены плагина PyCharm
JetBrains подтвердила: сервис Cadence взломали через непропатченный TeamCity (CVE-2026-63077). Атакующие получили бэкап 2024 года, AWS-учётки и файл…
Угон BGP-маршрута подменил обновления Virtualizor: около 22 часов с перерывами трафик уходил к атакующему, а клиент не проверял подписи
С 28 по 30 августа злоумышленник объявлял чужой префикс 162.55.80.0/24, получил валидный сертификат Let's Encrypt и раздал вредоносное обновление Vi…
Две критические уязвимости эксплуатируют прямо сейчас: Langflow выполняет чужой Python от root (патча в advisory нет), Rails отдаёт секреты через загрузку картинки
VulnCheck зафиксировал активную эксплуатацию CVE-2026-0768 в Langflow (CVSS 9.8, RCE от root без аутентификации) и CVE-2026-66066 в Rails Active Sto…
Облако или свои серверы: почему бизнес выбирает гибридную инфраструктуру
Сравниваем on-premise, публичное, частное и гибридное облако. Как выбрать инфраструктуру под задачи бизнеса, регуляторные требования и нагрузку. — Ч…
Гибридное облако: что оставить у себя, а что вынести в публичный контур
Как распределить нагрузки между частным и публичным облаком: карта нагрузок, безопасность, стоимость и порядок миграции. Гайд по гибридной инфрастру…