Вот уже пострадавший — это регистратор в зоне DE. Скриншот — автоперевод с немецкого

Наблюдаем, что многие сервисы, построенные на PHP уходят в оффлайн на обновление. Вот, Scaleway, например: https://t.me/heraks2net/535

Кстати, по поводу чебурнета и как это будет выглядеть: у нас же есть буквально "машина времени", на которую можно смотреть и прогнозировать. Это Иран, конечно.

Вот что пишут (машинный перевод, конечно, я ни слова буквы тут прочитать не могу):

Состояние джиттера и пинга после каждого блокирования VPN обычно становится очень хорошим и стабильным (как сегодня).

Причины этого состояния:
1. Огромный трафик VPN временно покидает сеть, а затем, через несколько дней, провайдеры VPN возвращаются новыми способами и снова нарушают работу сети.
2. Пропускная способность международных каналов связи в Иране ограничена, и министерство не принимает никаких решений об увеличении пропускной способности в связи с текущей ситуацией с ценами на доллар.

Ну, то есть, куча народу заняты "очень производительным трудом": одни разрабатывают способы блокировок VPN. После чего сообщество разрабатывает способ обхода этих способов. И когда получается — все упирается в пропускную способность каналов передачи данных заграницу. Которые не модернизируются много лет.

Это состояние в РФ через год-два-три, если динамика будет сохраняться.

Охренеть. Все сайты Северной Кореи отвалились. Скорее всего, тоже PHP, но мы это не узнаем

Ни дня без уязвимостей:

Railway, облачная платформа для деплоя приложений, сообщила о взломе. Утром 21 октября там заметили аномальную активность в системах, где хранятся переменные окружения клиентов.

По предварительным данным, посторонний получил доступ к зашифрованным переменным, а часть из них сумел расшифровать. Для тех, кто не в теме: в переменных окружения обычно лежит все самое ценное. API-ключи, логины и пароли к базам данных, доступы к приватным реестрам контейнеров, ключи от облачных аккаунтов. То есть это не "утекли email-адреса", а "утекли ключи от квартиры".

Railway считает, что это часть серии атак на платформенные компании, цель которых добраться до провайдеров AI-инференса. Проще говоря, кто-то собирает чужие ключи от API нейросетей, чтобы гонять модели за чужой счет. Railway уже сам попросил этих провайдеров отозвать все ключи. Так что если у вас на Railway крутится что-то с ключом от LLM, не удивляйтесь, если оно внезапно перестанет работать.

Компания говорит, что затронута, вероятно, только часть пользователей, но менять все рекомендует всем. Пострадавшим обещают написать на почту отдельно.

Параллельно Railway остановил все деплои. Билды на паузе с 07:24 UTC 21 октября во всех регионах, новые версии выкатить нельзя. Работающие сервисы при этом живут.

Что делать, если у вас что-то крутится на Railway:

• перевыпустить все переменные окружения: API-ключи, пароли к базам, доступы к реестрам;
• проверить логи сервисов на необычную активность;
• если там лежал ключ сервисного аккаунта Google Cloud, отключить его. По умолчанию такие ключи не истекают и работают, пока их не выключить вручную;
• посмотреть биллинг в GCP и AWS. Злоумышленников обычно интересуют GPU, compute и AI-сервисы, так что внезапный счет за Vertex AI будет плохим знаком.
Railway уже выпустил отдельные инструкции по проверке GCP, AWS и смене паролей MySQL.

Источник: https://blog.railway.com/p/security-disclosure-wednesday-october-21st Статус инцидента: https://status.railway.com/incident/QH8L8B3E

Классика. Аппарат "прикомандированных сотрудников" в действии.

https://www.rbc.ru/politics/22/10/2026/6ad8d1769a79471e46ededf0

РБК со ссылкой на четыре источника пишет, что на пост замминистра по кибербезопасности рассматривают Константина Дробаденко. Сейчас он начальник управления Центра защиты информации и специальной связи ФСБ, то есть подразделения, которое отвечает за криптографию и спецсвязь. Приказа пока нет, окончательного решения тоже.

Место освобождает Александр Шойтов. Генерал-лейтенант, выпускник Института криптографии, связи и информатики (ныне Академия ФСБ), с 2017 года президент Академии криптографии. Курирует направление в Минцифры с апреля 2021 года. Разговоры о его уходе идут с весны.

Итак, из ФСБ в ФСБ. Транзитом через гражданское министерство.

Напомню, чем это направление занимается: ГосСОПКА, "Антифрод" для телефонных звонков, Национальный удостоверяющий центр (тот самый, что выдаёт "суверенные" сертификаты), гражданская криптография, защита "Гостеха". Плюс критическая информационная инфраструктура: связь, госсистемы, банки, энергетика, транспорт.

Гражданская кибербезопасность. В исполнении спецслужбы.

Алексей Лукацкий деликатно замечает, что подходы, удобные для госбезопасности, не всегда годятся для бизнеса и граждан. И надеется, что новый замминистра будет готов "услышать отрасль".

Надежда, разумеется, дело хорошее. Но назовём вещи своими именами: кресло замминистра по ИБ давно работает выносным постом ФСБ в гражданском ведомстве. Меняются только погоны. Да и то не сильно.

К слову, о кадрах. С весны министерство покинула замдиректора департамента кибербезопасности, под вопросом оказался врио директора профильного департамента, в мае уволили замминистра Кучушева. Его сменщик Гайфутдинов, по данным РБК, на 21 октября так и не вышел на работу.

А теперь минутка официоза.

Я нихрена не понял, что хотел сказать автор фразой:

Таким образом, ограничение доступа не является исключительной временной мерой, действующей до выпуска финального патча.

Но на всякий случай публикую скриншот письма этого "участника Сколково".
Теперь вы должны быть в курсе, что кто-то там не виноват вообще, а оно само. Наверное. Ну, потому что фразу "обобщение потенциальной угрозы на другие продукты" я тоже полчаса пытался понять, но не смог.

Наверное, забывать русский язык начал :(

Еще мне писал CEO ISPmanager, который утверждает, что не имеет отношения к ISPsystems и вообще они в Дубае, а ISPmanager просто их партнеры. Я тут затруднился как-то реагировать (первый позыв был послать нахер), но потом понял, что уже через три минуты забыл кто там в Дубае, а кто Сколково.

Очевидно, что есть какие-то проблемы с неймингом, которые "при разводе", надо было все же как-то утрясти. Ну, или подумать хотя бы пять минут.

Исправлять ничего не стал — дам ссылку на пост Неугомонного Фила, там в камментах читайте кто на ком стоял: https://t.me/usher2/4208

Извините, я опять обосрался. СЕО, он в Иркутске. Это в корне меняет дело.

А давайте послушаем учоных со стороны НАТО, буквально:

RAND: подводная поножовщина

20 октября RAND выпустил доклад Winning the Undersea Knife Fight о сдерживании атак на подводную инфраструктуру. Авторы называют это противостояние поножовщиной: ближняя дистанция, плохая видимость, физическое перерезание кабелей и труб. Главная мысль: под водой привычные модели сдерживания не работают, нужна отдельная рамка.

Цифры
Под угрозой около 10 трлн долларов. 97% мировых коммуникаций идет через примерно 300 плохо защищенных кабелей. Ежегодно рвется 100–200 кабелей, ремонтных судов в мире меньше 25. Половина газа Европы идет из Норвегии, в основном по одной трубе. В высоком разрешении картировано около 26% дна.

Почему под водой иначе
Порог входа ниже, чем у кибератаки: достаточно протащить якорь. На другом конце шкалы подлодки, и чем дороже инструмент, тем выше скрытность.
Эффект отложен: перерезанный кабель видно сразу, поврежденный может отказать через месяцы.
Реакция медленная: спутник дает картину за час, судну нужно до 10 дней, чтобы дойти до места, подлодке или дрону месяцы.
Атрибуции почти нет: большинство балтийских инцидентов 2022–2025 годов, где подозревают Россию и Китай, формально не атрибутированы, как и подрыв Nord Stream.
Право мутное: по UNCLOS судно в международных водах подсудно государству флага, задержать диверсанта почти невозможно. Перерезание кабеля считается актом войны, только если ущерб катастрофический.

Рамка
Три переменные: уровень атрибуции (шесть ступеней, от нулевой до признания исполнителя), выбор между раскрытием и сокрытием (публичность давит на противника, но выдает свои средства обнаружения) и шкала действий от бездействия до вертикальной эскалации.
Матрица показывает минимальный уровень атрибуции для каждого шага. При слабых подозрениях допустимы только скрытая оборона и планирование. Публично бить по чужой инфраструктуре без надежной атрибуции нельзя. Самый гибкий инструмент — активная оборона: видимое патрулирование кабеля сигнализирует о его ценности. Быстрый ремонт тоже сдерживает: атака теряет смысл, если ущерб сразу устранят.

Выводы
Преимущества пока нет ни у кого. Выиграет тот, кто быстро понимает, что произошло, дозированно показывает возможности и отвечает без лишней эскалации. Вкладываться в атрибуцию и ответ надо одновременно, иначе будет сила без понимания, по кому бить. Дальше авторы предлагают проверить рамку на реальных кейсах, разобрать правовой хаос и делить ремонтные мощности с союзниками.

Оценка
Работа концептуальная, новых данных нет, Балтика упомянута одной строкой. Ценность в классификации атрибуции и матрице решений. И деталь: авторы прямо пишут, что непрозрачность глубины дает ВМС США возможности не только для защиты, но и для наступательных действий в мирное время.

https://www.rand.org/pubs/research_reports/RRA4027-1.html

Доклад целиком с картинками

🔁🌐 TRANSLATED REPOST
➖➖➖
Швейцария проигрывает Катару в споре о DNS, а не в теннисе
Цензурная блокировка · 23.10.2026

Швейцария проигрывает Катару. Нет, речь не о теннисе — хотя именно теннис всё и начал.

Quad9, один из крупнейших открытых DNS-сервисов, уходит из Франции с 24 ноября. Причина — судебное решение, обязывающее сервис манипулировать DNS-данными, то есть попросту подделывать ответы на запросы пользователей. Решение добилась катарская beIN, компания, недовольная тем, что инфраструктура Quad9 может использоваться для доступа к нелицензированным трансляциям тенниса.

В итоге французские пользователи полностью потеряют доступ к цюрихскому резолверу — технически и юридически Quad9 проще уйти из страны, чем избирательно лгать своим пользователям по решению суда. Компания говорит об этом прямо: найдите своих представителей и объясните им, что узнать доменное имя — это не преступление. Чтобы проиллюстрировать уровень абсурда: DNS — это телефонная книга интернета. Решение суда — всё равно что заставить справочную службу скрывать чей-то номер телефона, потому что кто-то, где-то, использует этот номер, чтобы незаконно обсудить счёт матча.

Quad9 планирует оспорить решение и обещает продолжать бороться за открытый интернет. Но прецедент уже создан: один коммерческий спор о правах на трансляцию — и целая страна теряет независимый DNS-сервис, известный именно блокировкой вредоносных доменов, а не игрой в цензурного почтальона по прихоти чужого судебного дела.

Это хорошая иллюстрация того, как механизм, созданный для защиты авторских прав на спортивные трансляции, превращается в инструмент вмешательства в базовую инфраструктуру интернета — одним росчерком судейского пера, без всяких отключений и спецслужб.

Источник: https://www.heise.de/news/Freitag-Quad9-Rueckzug-nach-Zensur-Urteil-Stellenstreichungen-bei-Qualcomm-11497654.html

➖➖➖
🔁🌐 Repost & Translated from: Brandmauer Report

Проблемы у Railway продолжаются :(
Мне уже пишут люди, которых зацепило и токены утекли. У меня самого там пяток проектов крутится, но, кажется, меня пронесло.

Если у вас там есть проекты: обновите вообще все переменные окружения.

Да, уж, судя по количеству инцидентов в области безопасности (кстати, сколько - чуть позже посчитаю), наступают смутные времена.

Например, заместитель директора по информационной безопасности компании Anthropic Джейсон Клинтон говорит, что все плохо и буквально надвигается "цунами уязвимостей", которая может продлиться года полтора.

Кстати, он уже писал про "цунами" еще в августе. Кажется, он прав

27 инцидентов за двое суток октября

В соцсетях эти дни уже назвали Black October. Название появилось 22 октября в 03:42 UTC в посте аккаунта AISafetyMemes, который объявил прошедшие 48 часов худшими в истории кибербезопасности. В списке 27 пунктов. Вот они, сжато.

Уязвимости
1. PHP2Shell. Две дыры в самом PHP с оценкой 9.2 по CVSS v4.0, позволяют выполнить код на сервере без учётной записи. По данным Wiz, их нашли с помощью передовых ИИ-моделей, а сидели они в коде больше десяти лет. Amazon советует расследовать инциденты начиная как минимум с 17 октября, за четыре дня до раскрытия.
2. GitLab. Дыра с оценкой 10 во всех версиях начиная с 2014 года.
3. NGINX. F5 оценила три ошибки памяти в 9.2, а сам проект NGINX считает их средними; для эксплуатации нужна специально включённая директива.
4. HTTP/3. Одно соединение роняет семь из десяти протестированных типов веб-серверов.
5. Signal. Участник звонка может перегрузить очередь событий так, что звонок не завершится и звук, а возможно и видео, останутся включены. Исправлено ещё в сентябре в RingRTC 2.72.0.
6. Plex. Взламывают домашние медиасерверы.
7. Siemens. Уязвимость в Siemens Software Center используют в кампании ClickFix: подписанную программу подкладывают вместе с чужими DLL.
8. Palo Alto. Патч для PAN-OS вышел 13 мая, атаки Rapid7 видит с 17 мая, среди атакующих группировки Qilin и Inc.

Удостоверяющий центр
9. eMudhra. Ключи восьми промежуточных сертификатов были настолько слабыми, что восстанавливались из публичных сертификатов меньше чем за секунду. Один из ключей равен 4. 22 октября компания объявила об уходе из глобального бизнеса SSL/TLS-сертификатов.

Платформы и облака
10. Railway. Посторонний мог получить доступ к зашифрованным переменным окружения и часть из них расшифровать. Деплои остановлены, клиентам советуют перевыпустить все переменные, ключи API и учётки реестров.
11. Zeabur. Украдены данные 321 810 аккаунтов и около 3,2 млн записей с переменными окружения. Админские токены не истекали и не менялись с января 2024 года. Компания закрывается.
12. Onamae.com, Япония. Под угрозой 26 739 серверов, все тарифы поэтапно отключают с 21 октября.
13. PingCAP, разработчик TiDB. С 9 сентября по 7 октября чужак ходил по внутренним системам с украденной сервисной учёткой и унёс исходный код.
14. Bullhorn. Рекрутинговая платформа с более чем 10 тысячами клиентов отключена.
15. Ahold Delhaize. Сайты и приложения большинства брендов в Европе и США отключены, магазины работают.

Цепочки поставок
16. LiteLLM. Заражённая версия со стилером паролей, облачных учёток и ключей ИИ-сервисов провисела около двух часов. Это уже второй взлом LiteLLM за год.
17. OVHcloud. Через угнанный GitHub-аккаунт разработчика подменили версии CLI с 0.11.0 по 0.15.0.
18. WordPress. Через teamupdraft.com атакующий создавал админов и ставил вредоносные плагины на сайтах клиентов, Patchstack насчитал 99 названий бэкдоров, уязвимыми были около 400 тысяч сайтов.
19. AOMEI Backupper. На серверах вендора подменили два конфигурационных файла, и программа скачивала бэкдор. Окна подмены длились 10, 6 и 5 минут в мае и июле.

Утечки
20. Калифорния. Через подрядчика ETS утекли данные всех учеников государственных школ за три года, включая сведения об инвалидности. Данные выкачивали с 22 мая по 18 сентября через скомпрометированную учётку.
21. Medi-Cal. Paradigm Healthcare Services сообщила о более чем 970 тысячах пострадавших, а сам доступ был обнаружен 13 октября 2025 года.
22. State Bank of India. Хакер заявил о 375 тысячах записей, проверка банка пока подтвердила 3897.
23. Meta Muse. Ссылки на расшаренные разговоры находились через публичные записи, одним поиском нашли 6800 штук. Среди них отчёт о выручке для CEO и заявка на кредит.

Атаки
24. Cairn. Один китаеязычный хакер за несколько недель взломал больше 100 компаний, включая Deere, SharkNinja и Cummins. Инструкция агентам заняла меньше 100 иероглифов, взлом обходился примерно в 50 долларов.
25. SafePay. FBI, CISA, Секретная служба США, полиция Рейнланд-Пфальца и британцы совместно предупредили о группировке минимум с 600 жертвами.
26. Tor. С 2 октября 333 скомпрометированных выходных узла, около десятой части всех, перенаправляли SSH-соединения на перехватывающие серверы и крали пароли. К 5 октября их заблокировали.
27. Lazarus. Kaspersky описал шпионскую кампанию FlashHole, которая с июля 2025 года атакует южнокорейские компании.

Что из этого правда новое

Двое суток из заголовка надо понимать правильно. Всплеск произошёл в первую очередь в раскрытиях, а многие атаки начались за недели и месяцы до этого. 600 жертв SafePay это накопительный итог с августа 2024 года, PHP2Shell пока навредил в основном тем, что сайты отключались сами, а значительная часть гуляющего по сети ИИ-кода для атак, по данным 404 Media, просто не работает.

Но если отойти от этой недели, рост виден в цифрах.

Число опубликованных CVE по месяцам: январь 2026 года 4311, июнь 7677, июль 9770, август 12 258, сентябрь 14 933. С июня по сентябрь это примерно плюс 25% в месяц, удвоение каждые три месяца. Если темп сохранится, октябрь даст 18–19 тысяч. Это грубая экстраполяция.

Microsoft: до июня в среднем около 100 бюллетеней в месяц в Patch Tuesday, в сентябре 975, в октябре 1415.

WordPress: около десяти лет программа на HackerOne получала 20–30 отчётов в месяц, в августе 2026 года их было 773, а к началу октября набралось 2004 за 90 дней.

Эксплуатация растёт медленнее находок. Google насчитал 141 эксплуатируемую уязвимость за первые восемь месяцев 2026 года против 127 за весь 2025-й, то есть 18 в месяц вместо 10,5. Число эксплуатируемых нулевых дней до середины года держалось в районе 8–12 в месяц, а в августе подскочило до 22. При этом в атаках замечено всего 0,23% уязвимостей, раскрытых в 2026 году.

Зато сжимается окно между раскрытием и атакой. Rapid7 в третьем квартале фиксировал в среднем три дня от раскрытия серьёзной уязвимости до её эксплуатации. Cloudflare видел тысячи попыток эксплуатации PHP2Shell за десять часов до объявления и миллионы после.

Получается такая картина. Находки уязвимостей растут экспоненциально, примерно на четверть в месяц. Атаки растут, но в разы медленнее. А скорость установки патчей не растёт вообще. ИИ ускорил поиск дыр и написание исправлений, но никак не ускорил то, как больница, школьный округ или маленький интернет-магазин эти исправления ставят. Вот в этом зазоре и живут атакующие.

Поэтому Black October скорее не пик, а первая заметная точка на кривой. Джейсон Клинтон из Anthropic 22 октября написал, что дальше будет хуже и продержаться нужно около 18 месяцев, пока поиск уязвимостей не встроится в обычную разработку. Если CVE продолжат удваиваться раз в квартал, таких недель за эти полтора года будет ещё несколько.

Характеристики ЦОДов ФНС по данным самой ФНС

То, что они называют "цодом" в самой Москве — это, конечно, не ЦОД. Это "серверная комната" — всего сотня стоек. И обратите внимание, как там все импортозамещено: Cisco, Oracle, IBM Power и вот это все.

ЦОДы в Городце и Дубне — это точные копии друг друга. Типа, если один ЦОД сгорит, в другом все останется.

Так вот — один, в Городце — сгорел. Второй остался. Это почти никак не повлияет на сдачу налоговой отчетности и работоспособность налоговой системы РФ.

Но вот если ударят по Дубне... Вот это уже будет катастрофа. Заменить или куда-то перебросить все эти информсистемы невозможно. Ну, в обозримом временном промежутке.

Мне очень интересно как теперь все эти эффективные менеджеры будут изворачиваться