В подборке — свежие инциденты в области безопасности API: критическая уязвимость в BIG-IP APM, позволяющая выполнить код без аутентификации на OAuth-серверах, массовая утечка приватных ключей GitHub App, новая волна эксплуатации критической уязвимости WordPress, а также ботнет, охотящийся за ключами AI-сервисов.
1. F5 22 сентября раскрыла критическую уязвимость CVE-2026-94127 в BIG-IP Access Policy Manager (APM), которая позволяет неаутентифицированному атакующему выполнить код на системе, если APM используется как OAuth-сервер авторизации. Компания выпустила экстренные исправления. Источник: thehackernews.com
2. GitGuardian обнаружила 474 действующих приватных ключа GitHub App среди 4802 публично раскрытых с 2019 года; 72% скомпрометированных приложений имели доступ на чтение приватных репозиториев, а 207 — на запись, что позволяет захватить организацию. Среди пострадавших — приложение «Access Tokens for GitHub Actions», ключ которого был случайно закоммичен в январе 2024 года и потенциально затронул 300 организаций. Источник: csoonline.com
3. WordPress выпустил экстренное обновление 7.1.2, исправляющее критическую уязвимость CVE-2026-87902, которая позволяет неаутентифицированному атакующему добиться удалённого выполнения кода. Атаки начались в течение нескольких часов после раскрытия: злоумышленники используют pearcmd.php для записи вредоносных PHP-файлов в /tmp, а затем загружают их через уязвимость WordPress. Источник: csoonline.com
4. Обнаружен новый ботнет x47.c для Windows, который использует xAI Grok для поддержания персистентности и выбора действий, а также охотится за ключами AI-сервисов, истощая API-ресурсы. Источник: securityweek.com
5. Китайская компания Z.ai отключила функцию в ассистенте ZCode, которая по умолчанию отправляла локальные репозитории пользователей на серверы Alibaba Cloud в Китае без согласия. Проблема выявлена независимым блогером Ferstar; компания удалила механизм загрузки и связанную облачную инфраструктуру, а также привлекла CAICT и NSFOCUS для аудита. Источник: csoonline.com