# Невзлом

> Уязвимости простыми словами: касается ли вас и что сделать

Массовые уязвимости простыми словами и сжатые выпуски для айтишника.
Без счётчиков, cookies и сторонних скриптов. Контент можно цитировать с указанием источника.

Официальный сайт: https://nevzlom.ru

## RU: выпуски для обывателя

- [Шифровальщик атакует устаревшие Synology NAS — обновите DSM сегодня](https://nevzlom.ru/ru/2026-11-03-synology/) (2026-11-03): Коротко. 29 октября 2026 Synology сообщила: атакуют накопители с устаревшей DSM — дырой из декабря 2024. Цель — зашифровать файлы и требовать выкуп. Обновите DSM и закройте панель управления от интернета.
- [Магазины на Drupal атакуют через дыру в оформлении заказа — обновите модуль](https://nevzlom.ru/ru/2026-11-03-drupal-commerce/) (2026-11-03): Коротко. 28 октября 2026 команда безопасности Drupal закрыла критическую дыру в модуле Commerce Core (корзина и оформление заказа). Без входа злоумышленник может обойти ограничения доступа к части функций магазина…
- [В WordPress закрыли опасную дыру в обновлении — проверьте версию сайта](https://nevzlom.ru/ru/2026-11-02-wordpress/) (2026-11-02): Коротко. 28 октября WordPress выпустил защитный выпуск 7.1.4: закрыта дыра, через которую во время полного обновления ядра злоумышленник без пароля мог выполнить код на сервере. WordPress просит обновить сайты сразу…
- [Атаки через уязвимость в PHP подтверждены. Проверьте свой сайт](https://nevzlom.ru/ru/2026-10-29-php2shell-update/) (2026-10-29): 21 октября в PHP — «моторе» большинства сайтов — закрыли две опасные уязвимости. Теперь агентство кибербезопасности США (CISA) подтвердило: их используют в атаках. А вместе со старой уязвимостью в Linux (системе, на…
- [Магазины на Magento и Adobe Commerce атакуют через критическую уязвимость](https://nevzlom.ru/ru/2026-10-29-magento/) (2026-10-29): Коротко. В движках интернет-магазинов Magento Open Source и Adobe Commerce есть критическая уязвимость. Американское агентство кибербезопасности (CISA) 27 октября внесло её в список уязвимостей, которые используют в…

## RU: для айтишника

- [Synology DSM — кампания ransomware C3RB3R на устаревших NAS (SA-24:20 / SA-26:13)](https://nevzlom.ru/ru/tech/2026-11-03-synology/) (2026-11-03): Synology (29.10.2026) зафиксировала атаки с целью зашифровать данные на NAS и требовать выкуп. В новости указано: эксплуатируется уязвимость, исправленная в декабре 2024; ссылка — Synology-SA-24:20. Критическая запись…
- [GitLab CE/EE — unauth RCE через CI/CD regexp, KEV (CVE-2026-97229)](https://nevzlom.ru/ru/tech/2026-11-03-gitlab/) (2026-11-03): Integer overflow / wraparound при компиляции регулярных выражений CI/CD (движок Onigmo в Ruby, которым пользуется GitLab). По тексту GitLab и CISA: неаутентифицированный пользователь при определённых условиях может…
- [Commerce Core access bypass CVE-2026-118539 — активная эксплуатация](https://nevzlom.ru/ru/tech/2026-11-03-drupal-commerce/) (2026-11-03): Модуль commerce (корзина, checkout, API) недостаточно защищает отдельные маршруты и поля сущностей → access bypass. Без аутентификации (оценка Drupal: AC:None / A:None). Импакт по бюллетеню — финансовый для продавца…
- [Brotli decoder OOB write — KEV, Node.js / .NET / libbrotli (CVE-2026-111497)](https://nevzlom.ru/ru/tech/2026-11-03-brotli/) (2026-11-03): В декодере Google Brotli ошибка обработки потока приводит к записи за границей внутреннего буфера. Удалённый без аутентификации, если жертва принимает и распаковывает сформированный Brotli-вход (типично…
- [WordPress 7.1.4 — RCE в окне полного обновления ядра (CVE-2026-119977)](https://nevzlom.ru/ru/tech/2026-11-02-wordpress/) (2026-11-02): В процессе полного обновления ядра WordPress на короткое время появляется доступная по HTTP временная копия с установщиком. Без аутентификации, при удачном попадании в это окно и при доступности временных файлов из…
- [Magento и Adobe Commerce: CVE-2026-48356, KEV, патч 2026-jul](https://nevzlom.ru/ru/tech/2026-10-29-magento/) (2026-10-29): Суть. CVE-2026-48356 — загрузка файла опасного типа без проверки (CWE-434), в классификации Adobe — повышение привилегий. Вектор по сети, без аутентификации, сложность низкая, нужно действие пользователя (UI:R)…

## Машиночитаемые ленты

- [Sitemap](https://nevzlom.ru/sitemap.xml): карта всех публичных страниц
- [robots.txt](https://nevzlom.ru/robots.txt): правила обхода
- [RSS ru · обыватель](https://nevzlom.ru/ru/rss.xml)
- [RSS ru · айтишник](https://nevzlom.ru/ru/tech/rss.xml)