В октябре вступили в силу новые требования Банка России к защите денежных переводов, а «Яндекс» выпустил экстренное обновление безопасности. Критические уязвимости и атаки затронули PHP, GitLab и инструменты работы с ИИ. В центре внимания также оказались требования к доверенному ПО на объектах КИИ и сбои связи в Санкт-Петербурге. Дополнительно рассказываем о масштабной кибератаке на Beget, произошедшей в начале ноября.
Новые требования к защите денежных переводов
С 1 октября вступило в силу Указание Банка России № 7220-У. Документ предусматривает применение мер защиты по ГОСТ Р 57580.1-2017, а также уточняет перечень сведений о клиентах, которые необходимо регистрировать и хранить при осуществлении денежных переводов.
Экстренное обновление безопасности от «Яндекса»
«Яндекс» выпустил экстренное обновление для «Станций» и телевизоров на YaOS из-за уязвимости в сертификатах eMudhra. Она позволяла подбирать ключи промежуточных удостоверяющих центров методом перебора. Обновление установилось автоматически в период с 21 по 23 октября.
ИИ помог обнаружить критические уязвимости в PHP
Исследователи с помощью ИИ выявили две ошибки в механизмах работы с памятью в ядре PHP. Их опасность оценили в 9,2 балла из 10 по шкале CVSS. PHP используется примерно на 70% сайтов, поэтому проблема потенциально затрагивает широкий круг ресурсов. Уязвимости в ядре языка могут создавать риски даже для ресурсов без ошибок в собственном коде.
Уязвимости и атаки на инфраструктуру разработки
В октябре несколько инцидентов затронули инструменты, от которых зависит безопасность сайтов и корпоративных сервисов. Облачная платформа Railway сообщила о возможной компрометации API-ключей и других секретов клиентов. В релиз библиотеки LiteLLM 1.107.0, используемой для работы с языковыми моделями, внедрили вредоносный код для кражи учётных данных и удалённого доступа.
Одновременно разработчики NGINX выпустили исправления ряда уязвимостей, а GitLab устранил критическую ошибку с максимальной оценкой опасности — 10 баллов по CVSS.
Источники: Railway LiteLLM NGINX GitLab
Требования к доверенному ПО на объектах КИИ планируют ужесточить
Минцифры подготовило проект постановления об усилении требований к доверенному программному обеспечению. Среди предлагаемых мер: установка обновлений только через отечественные узлы и с разрешения пользователя, защищённый контур разработки и сборки, а также отсутствие уязвимостей, включённых в Банк данных угроз ФСТЭК России.
Apple и Microsoft включили в реестр ОРИ
Роскомнадзор включил Apple и Microsoft в реестр организаторов распространения информации. По сообщению источника, на компании распространяются требования о хранении данных о переписке и звонках российских пользователей в течение трёх лет и предоставлении информации по запросам уполномоченных органов. В реестр внесены основные домены компаний без уточнения конкретных сервисов.
Массовые сбои связи в Санкт-Петербурге
В Санкт-Петербурге зафиксировали сбои в работе интернета, мобильной связи и городских цифровых сервисов. Пользователи жаловались на недоступность портала «Горздрав СПб», сервисов РЖД и услуг провайдера «ПАКТ». Абоненты МТС сообщали об исчезновении связи и проблемах с доступом к сайтам вне «белых списков». Возможной причиной сбоев источник называет длительную масштабную DDoS-атаку.
Масштабная кибератака на Beget в начале ноября
В ночь с 1 на 2 ноября инфраструктура хостинг-провайдера Beget подверглась кибератаке. Злоумышленники получили доступ к управляющим серверам и запустили вредоносное ПО для удаления данных. Инцидент нарушил работу сайтов и сервисов клиентов. По состоянию на 5 ноября компания сообщила о восстановлении 60% виртуального хостинга и 40% выделенных серверов под её администрированием. Восстановительные работы продолжались.
