ЩОДЕННИЙ ОГЛЯД
Помилка декодера Brotli в Node.js RCE також впливає на Bun, Python та інші широко використовувані…
Сьогоднішній брифінг охоплює поширені помилки декодера Brotli, витік інформації з ланцюжка поставок у LiteLLM та нові активні експлойти, позначені CISA.
5 новин3 хв читання
Ризики ланцюга постачання програмного забезпечення та невиправлені недоліки інфраструктури домінують у сучасних розробках у сфері безпеки. Організації, що покладаються на компоненти з відкритим кодом та корпоративні пристрої, стикаються з терміновими завданнями технічного обслуговування.
По-перше, вразливість, що призводить до пошкодження пам'яті, в декодері Brotli від Google впливає на широко використовувані програмні екосистеми, включаючи Node.js, Bun, Python та Envoy. Водночас CISA додала активно використовувані вразливості в Collabora Online та Arista VeloCloud Orchestrator до свого каталогу відомих використовуваних вразливостей.
Команди безпеки повинні негайно перевірити розкриті секрети в репозиторіях розробників, застосувати патчі постачальників для систем периметра, перелічених у каталозі CISA, та оновити залежності Brotli в різних середовищах.
Витік головного ключа LiteLLM дозволяє зловмисникам викрасти токени GitHub та захопити конвеєр релізів
Витік головного ключа Agent Platform у публічному репозиторії GitHub (LiteLLM-Labs/lite-harness) наприкінці травня 2026 року дозволив зловмисникам викрасти токени GitHub. Згодом зловмисник використав викрадений доступ для захоплення конвеєра випуску LiteLLM та публікації шкідливої версії пакета Python.
- Що робити
- Ротуйте відкриті ключі API та токени GitHub, перевіряйте конвеєри випуску CI/CD та перевіряйте цілісність пакета LiteLLM.
CISA виявляє два активно використовувані критичні недоліки в Collabora Online та Arista VeloCloud
CISA додала CVE-2026-110447 у Collabora Online Built-in CODE Server та CVE-2026-114625 у Arista VeloCloud Orchestrator до свого каталогу відомих вразливостей, що використовувалися після їх активної експлуатації. Ці помилки дозволяють впровадження команд ОС та SQL-ін'єкції відповідно.
- Що робити
- Оновіть вбудований CODE Server Collabora Online до версії 26.4.303 або пізнішої та встановіть виправлення для Arista VeloCloud Orchestrator.
Помилка декодера Brotli в Node.js RCE також впливає на Bun, Python та інше широко використовуване програмне забезпечення.
Вада, що призводить до пошкодження пам'яті, в декодері Brotli від Google присутня в багатьох програмах, які розпаковують дані, стиснуті за допомогою Brotli, серед яких Bun, пакети Python Brotli та brotlicffi, а також проксі-сервери Envoy, налаштовані для розпакування Brotli.
- Чому це важливо
- Оскільки кожна уражена програма містить власну копію декодера Google Brotli, організації, які покладаються на ці середовища виконання та проксі-сервери, повинні відстежувати та застосовувати оновлення окремих постачальників, щоб запобігти виконанню коду.
- Що робити
- Оновіть уражені середовища виконання та пакети, включаючи залежності Bun, Envoy та Python Brotli, до виправлених версій.
Google заявляє, що дані Gmail та фотографій, що передаються через пошук на основі штучного інтелекту, можуть бути використані для цільової реклами.
Google оновив свою політику конфіденційності, яка набула чинності 16 жовтня 2026 року, уточнивши, що дані, що передаються з Google Фото, Gmail та Диска за допомогою функцій штучного інтелекту в Пошуку або додатках Gemini, можуть оброблятися для показу цільової реклами.
- Чому це важливо
- Користувачі та організації, які інтегрують особисті дані або дані Workspace у функції Пошуку Google та Gemini AI, можуть показувати персоналізовану таргетингову рекламу для контенту з Gmail, Фото та Диска.
- Що робити
- Перегляньте налаштування конфіденційності облікового запису Google, щоб обмежити обмін даними між службами між додатками Workspace та Пошуком/Gemini.
Дослідники просувають понад 2 мільйони оновлень, щоб віддалено вимкнути Popcorn Time Updater, який може підживлювати ботнет
Голландська фірма з безпеки Eye Security провела операцію IXIM, випустивши понад два мільйони віддалених оновлень, щоб вимкнути вразливий фоновий модуль оновлення (Updater.exe) у покинутому додатку Time4Popcorn. Незареєстрований домен, до якого звертався модуль оновлення, становив ризик захоплення для масштабного ботнету.
- Що робити
- Шукайте та видаляйте несанкціоноване застаріле програмне забезпечення, таке як Time4Popcorn, і блокуйте підключення до неперевірених доменів оновлень.
Основні висновки
- Оновіть реалізації декодера Brotli в Node.js, Bun, Python та Envoy, щоб виправити помилку пошкодження пам'яті CVE-2026-111497.
- Виправлено виправлення для вбудованого сервера CODE Collabora Online (CVE-2026-110447) та оркестратора Arista VeloCloud (CVE-2026-114625) після попереджень CISA.