ИТ. Право. Безопасность

🫡 ТК-362 решил закрыть весь AppSec за один день ФСТЭК России и ИСП РАН подготовили первую редакцию национального стандарта по технологиям динамического анализа ПО (DAST). Что предусматривает документ: 🔵требования к организации и регулярному проведению динамического анализа, включая фаззинг; 🔵требования к инструментам (с приоритетом отечественных) и к ответственным за тестирование; 🔵пентест и тестирование на отказ в рамках нефункционального тестирования, сам пентест — по ГОСТ Р 58143-2018; 🔵новые понятия: датчик срабатывания ошибок, критерий полноты тестового покрытия, автоматизированно…

ФСТЭК России, ИСП РАН и «Профископ» подготовили окончательную редакцию национального стандарта по композиционному анализу программного обеспечения (КАПО, аналог SCA). Что предусматривает стандарт: 🔵регулярный поиск уязвимостей в сторонних компонентах ПО; 🔵проверку кода на наличие вредоносных внедрений в цепочках поставок; 🔵создание защищённых репозиториев компонентов на территории РФ; 🔵 формирование перечня компонентов ПО (ППК) — отечественного аналога SBOM; 🔵становление требований к инструментам анализа и отчётности. Стандарт дополнит ГОСТ Р 56939-2024 и поможет систематизировать контр…

В ядре PHP обнаружили две критические уязвимости, позволяющие взломать сервер даже без пароля. Самое интересное, что о предпосылках одной из них разработчики знали ещё с 2024 года, но устранить проблему так и не смогли. А потом в дело вмешался ИИ. Исследователи с его помощью нашли способ эксплуатации уязвимости, а первые попытки атак зафиксировали ещё до выхода экстренных обновлений. Получается, пока одни годами пытались закрыть дыру, другие уже искали способ в неё пролезть. Почему даже хорошо защищённый сайт может оказаться уязвимым, насколько опасен PHP2Shell и как ИИ меняет баланс сил меж…

😴 Лёг спать — проснулся с долгом за ИИ Хакеры взломали OpenCode Console, добрались до API-ключей пользователей и за ночь накрутили им счета на сотни, а кому-то и на тысячи долларов за модели OpenAI, Anthropic и Google. Самое забавное случилось во время расследования. ИИ-агенты частично отказывались помогать разбирать вредоносный код: фильтры принимали анализ атаки за попытку атаковать. Деньги пострадавшим уже возвращают. Мораль: ставьте лимиты расходов на API-ключи

👋 На связи еженедельный дайджест новостей из мира ИТ и права!

В России предложили строить дата-центры под землёй на глубине до 300 метров. Облачные технологии в России официально решили не защищать, а сразу хоронить

🤨 Российские хостинги вскрыли изнутри Хакеры использовали уязвимость в VMmanager — системе, через которую хостинг-провайдеры управляют виртуальными серверами клиентов. Под удар попали несколько российских провайдеров, в том числе FirstVDS, MHost и ForestsNet Cloud. Проблема в том, что через одну уязвимость злоумышленники могли получить доступ сразу к множеству клиентских серверов. Под угрозой оказались пароли, ключи доступа, файлы и другие данные. При этом сами серверы могли продолжать работать, а их владельцы даже не подозревать о взломе. Это вам не PHP обновить. Когда уязвимость находитс…

Проблема не в облаке: почему выгрузка 1,8 ТБ с Яндекс Диска превратилась в квест После октябрьских сбоев в дата-центрах «Яндекса» скачивать папки с Диска через браузер стало невозможно. Один из пользователей решил сделать резервную копию 1,8 ТБ файлов и около 160 ГБ фото и описал на Хабре, что пошло не так. А оказалось, что практически всё. Файлы отдавались с ошибкой 410, пока не нашёлся другой OAuth-токен. Фото из безлимитной автозагрузки пришлось перекладывать в обычную папку, и они тут же начали съедать место в тарифе. Только на перенос 30 тысяч снимков ушло около шести часов. Из важной…

За месяц после запуска 5G операторы потратили на его ТВ-продвижение около 1 млрд рублей. Лидером по расходам стал МТС (около 410 млн), за ним Т2 (250 млн) и «МегаФон» (165 млн). Ещё порядка 300 млн ушло на наружную рекламу. Вот только 5G пока работает лишь в отдельных городах, и даже там покрытие не сплошное. Эффект от этих вложений пока не очень заметен. У операторов нет публичных планов с конкретными целями, например покрыть 70% населённых пунктов к 2030 году. А без таких ориентиров говорить о результатах бессмысленно: непонятно, с чем их сравнивать. Одно можно сказать точно: вкладываться и…

Весь мир в очереди за литографами. Может, пора делать свои? ASML, единственный производитель EUV-литографов, предупредила, что ей может не хватить мощностей на 2027–2028 годы. TSMC, Samsung и Intel уже бронируют установки на 2030-й. Мировая индустрия упёрлась в потолок: деньги есть, а станков нет. Самое время сделать что-то своё. Процессоры не обязаны быть 4-нанометровыми: автомобили, бытовая техника и промышленность живут на куда более простых чипах. С чего-то надо начинать. Главное, найти рынки сбыта. А когда весь мир стоит в очереди, покупатель смотрит не на флаг, а на сроки. Тут уже буд…