Берлинский институт техники и экономики


(Hochschule für Technik und Wirtschaft Berlin — HTW Berlin) — это крупнейший государственный университет прикладных наук в Берлине и Восточной Германии. В вузе обучается более 16 000 студентов.

В Точке сегодня. Приходите:

https://www.youtube.com/watch?v=xK7atQNLjcw

г. Санья, остров Хайнань, Китай

Дайджест недели от Brandmauer Repot:

Когда инфраструктура слежки следит сама за собой

Технологии слежки продолжают выходить из-под контроля даже тех, кто их создаёт и продаёт
— Яндекс сыплется после ударов по дата-центрам, а немецкий суд не разрешил блокировать Pornhub из-за приоритета DSA
— Канадская Psiphon готова покинуть страну, где родилась, из-за закона о слежке, несовместимого с открытым кодом
— Польша выясняет, что купленный ею Pegasus контролировала не она, а NSO Group
— Красивая теория про ботов AfD, «убитых» украинскими ударами по Яндексу, рассыпалась за два дня
— Citizen Lab нашли рекламную сеть, которая годами раздавала шпионское ПО через сертифицированные Google баннеры

📖 Полный разбор: https://telegra.ph/Dajdzhest-Brandmauer-Report-za-nedelyu-121018102026-10-19

Владимирская область, РФ — поражение дата-центров «Яндекса»
Дата удара: 11 октября 2026 года
Место: комплекс дата-центров «Энергетик», на окраине города Владимира, Владимирская область, РФ.
Результаты поражения
11 октября Силы обороны Украины в ответ на российскую агрессию нанесли массированный удар по объектам дата-центров компании «Яндекс», которые, по имеющимся данным, используются в том числе в военных целях.
Согласно опубликованному спутниковому снимку, в результате удара были поражены 5 из 8 зданий комплекса. Три из них, предположительно, получили критические повреждения. Окончательная степень разрушений требует дополнительного подтверждения.
Поражённая инфраструктура
Особое значение имеет возможное поражение суперкомпьютера «Галушкин» — одного из наиболее мощных вычислительных комплексов «Яндекса». По имеющимся сведениям, он использовался для обучения и поддержки флагманской большой языковой модели компании YandexGPT, а также технологий голосового ассистента «Алиса».
Предварительная оценка
Поражение нескольких зданий комплекса потенциально могло повлиять на работу вычислительной инфраструктуры и связанных с ней сервисов. При этом фактический масштаб повреждений оборудования, последствия для вычислительных мощностей и продолжительность возможного нарушения работы сервисов на данный момент требуют уточнения.
Статус: предварительный отчёт. Оценка основана на предоставленных сведениях; независимое подтверждение всех заявленных результатов отсутствует.

Гуанчжоу, гудка нет.

FirstVDS взломали.

https://www.securitylab.ru/news/578930.php

17 октября атакующие через дыру в VMmanager 6 добрались до системы управления виртуализацией. Они подключили диски клиентских серверов в режиме только для чтения и спокойно вынесли всё ценное: SSH-ключи, пароли, .env, токены AWS и GitHub, seed-фразы криптокошельков. Окно было около десяти часов. Клиентские серверы при этом работали как ни в чём не бывало, а в логах гостевой ОС ничего не видно.

Для неинженеров на пальцах. Вы поставили в квартире бронированную дверь, а грабители зашли через управляющую компанию, у которой ключи от всех квартир сразу.

Теперь про управляющую компанию.

VMmanager 6 разработала ISPsystem (ООО Экзософт). В 2022 году ISPsystem купила ПАО Группа Астра. Та самая, которая Astra Linux. Та самая "защищённая отечественная".

Ну вы поняли.

Патч ISPsystem уже выпустила. Промежуточный. Дыру полностью не закрыли, CVE нет, технических деталей нет. FirstVDS держит панели управления закрытыми снаружи до финального исправления.

Посему практические выводы.

Если у вас стоит VMmanager, BILLmanager, ISPmanager или вообще что-то от ISPsystem, обновляйтесь прямо сейчас. Панели управления уберите из открытого интернета: доступ только через VPN или по белому списку IP. (Да, это стоило сделать ещё вчера.)

Если вы клиент FirstVDS и получили письмо, сменить пароль от VDS недостаточно. Отзывайте и перевыпускайте все ключи и токены, которые лежали на сервере. Криптовалюту переводите на новые адреса, созданные на чистом устройстве.

Импортозамещение такое замещение.

Photo from

Мы вполне себе верим, что спрос в триллион рублей внутри РФ найдется. Просто звучит громко - триллион. Но это рублей. А в долларах это 10 млрд. Ну, чуть больше. Но порядок такой.

Так вот 10 млрд долларов - это строительство AI-ЦОДа средней руки. Мегаватт на 200. Это даже близко не Colossus от Илона Маска. Это примерно как у Nebius. Кстати, у них как раз обязательства в этом районе — порядка 10 млрд долларов долгов, включая конвертируемые ноты и обеспеченные кредитные линии.

У компаний классом выше, типа Amazon — там таких долгов 60-70 млрд (6-7 триллионов рублей). А там есть ещё Microsoft (40-50B), Google (12-15B) или Meta ( почти тридцать миллиардов долларов).

Так что спрос-то будет. А вот денег - вряд ли. Все эти деньги нужны в Малой Токмачке. Так хуйло решило. И кто ему будет спорить? Транснефть? Ага-ага. Мишустина ещё давайте вспомним - он же постоянно с ввп-хуйлом спорит, чтоб россиянам жить было легче.

Так что мой прогноз: никто никаких триллионов ни на какие ПАКи выделять не будет. Забудьте.

🌐 Интернет-сбой: Syria
Оператор: AS201550 EXT-PDN-STE-AS; AS29256 INT-PDN-STE-AS; AS48065 Syriatel-AS
Масштаб: network
Причина: плановые работы
Начало: 19.10 23:00
Announced maintenance by Syrian Telecom (AS29256) caused a significant drop in Internet traffic across multiple providers in Syria

Пока там УЦ имени цифровой деградации пытается впарить MitM-сертификаты (MitM — мент-по-середине), тут у нас разыгрывается драма с индийскими сертами

В Индии есть такая eMudhra — крупная индийская технологическая компания, основанная в 2008 году, которая специализируется на решениях в области цифровой подписи, инфраструктуры открытых ключей (PKI) и управления цифровой идентификацией (IAM). Это _был_ один из УЦ, который имел доверие у разработчиков браузеров.

Так вот, буквально на наших глазах: https://emudhra.we-have-a-problem.com/

В октябре 2026 года стало известно о компрометации восьми промежуточных сертификатов (Intermediate Certificates) eMudhra (emSign).


Программы-уполномоченные органы и многие нижестоящие хранилища доверенных сертификатов приняли меры для защиты своих пользователей. Сертификаты заблокированы в Firefox и Chrome с 17 октября, на устройствах Apple — с 19 октября, а на устройствах Microsoft — с 20 октября.

О проблеме было ответственно сообщено нижестоящим трастовым магазинам 19 октября. Многие из них уже выпустили обновления или находятся в процессе их выпуска.

Практический вывод: нету вывода. Ничего не изменилось.
Скомпрометированный сертификат заблочен. eMudhra скорее всего банкрот. Сертификатов миндеградации в нормальном мире не существует. Тот, кто установил — сам себе злобный идиот и его ни капельки не жалко

Очередная дыра в безопасности (да, дальше следует шутка, что хоть что-то у нас в безопасности) — на этот раз PHP

https://www.cyberkendra.com/2026/10/php-cve-2026-109618-cve-2026-109619-rce.html

PHP2Shell: две дыры в ядре PHP утекли раньше патча

Вчера на Hacker News появился пост: со ссылкой на надежный источник автор сообщил о двух уязвимостях удаленного выполнения кода в PHP, затрагивающих все версии начиная с пятой. Доказательств не было, пост скрыли, но скриншоты уже разошлись по X и Mastodon. Через пару часов watchTowr подтвердил: уязвимости настоящие. Эмбарго должно было закончиться только в четверг.

Номера — CVE-2026-109618 и CVE-2026-109619, у обеих 9.2 по CVSS v4.0. Команда PHP перенесла релиз на сегодня, 16:00 по Берлину (17:00 по Москве). Технических деталей нет: какая функция или расширение уязвимы, неизвестно.

Зато известно другое. Cloudflare утром сообщил о первых атаках и выкатил правила WAF. Sansec утверждает, что уязвим любой сервер с PHP 5.4 и новее, и ждет массовых атак через 15 минут после выхода патча: сравнить исправленный код со старым и понять, куда бить, — дело минут. В Нидерландах к обеду легли Tweakers, сайт парламента, NCSC и Security.NL. CERT-EU советует изолировать публичные PHP-приложения, если обновить их сразу нельзя. Обходного решения нет, только патч.

Масштаб понятен: на PHP работают WordPress, Drupal, Magento и почти весь виртуальный хостинг. Исправления получит только PHP 8, причем поддерживаемые ветки. Пятерка и семерка давно сняты с поддержки, а серверов на них в сети по-прежнему полно. Им патча не будет.

Отдельная история — сама утечка. Эмбарго нужно, чтобы дистрибутивы, хостеры и вендоры выпустили исправленные сборки одновременно с публикацией. Когда дата и критичность утекают заранее, все, у кого уже есть эксплойт, получают обратный отсчет. Сколько осталось до патча — знают все. У кого дыра на руках — не знает никто.

Что делать прямо сейчас: проверить версию PHP на всех серверах, подготовить обновление к 16:00 и не ждать, пока хостер сделает это сам. Все, что крутится на PHP 5 и 7, — переводить на восьмую ветку или отключать от интернета.