Обнаружена RCE-уязвимость в Figma (CVE-2025-53967) из-за небезопасной обработки ввода в MCP-компоненте; исправлена в версии 0.6.3.
😱 Уязвимость в ИИ-интеграции Figma позволяла удалённо выполнять командыПопулярный инструмент для работы с макетами, Figma, оказался под угрозой из-за серьезной уязвимости (CVE-2025-53967), связанной с сервером Model Context Protocol (MCP), который лежит в основе интеграции с ИИ-агентами. Проблема, обнаруженная летом 2025 года специалистами из Imperva, заключалась в небезопасной обработке входящих данных компонентом figma-developer-mcp. На момент выявления ошибка позволяла злоумышленникам добиват...
Читать полностью
Хак-группа Clop использует критическую 0-day уязвимость CVE-2025-61882 в Oracle E-Business Suite для атак с августа 2025 года, позволяющую удаленное выполнение кода без аутентификации.
Clop атакует пользователей Oracle E-Business Suite с помощью 0-day уязвимостиНа прошлой неделе компания Oracle предупредила клиентов о критической 0-day уязвимости в E-Business Suite (CVE-2025-61882), которая позволяет удаленно выполнять произвольный код без аутентификации. Как стало известно теперь, хак-группа Clop активно применяет эту уязвимость в атаках с августа 2025 года.https://xakep.ru/2025/10/09/oracle-0day/
Читать полностью
Обзор находок на барахолке под Валенсией: от винтажной техники (VHS-камера Panasonic, КПК Fujitsu) до современных гаджетов и утопленных объективов. Автор делится впечатлениями и оценивает, что из этого хлама является сокровищем.
Воскресная барахолка: от VHS-камер до утопленных объективовАвтор статьи отправился на «охоту» на барахолку под Валенсией и вернулся с богатым уловом. Это настоящий музей под открытым небом, где винтажная техника соседствует с почти современными гаджетами, а сокровища лежат вперемешку с откровенным хламом.Что нашлось в этот раз? Профессиональная VHS-камера Panasonic из 80-х, DJ-контроллер, горы старых материнок и винтажный КПК Fujitsu. Рядом — почти современные ноутбуки, роботы-пылесосы и спортив...
Читать полностью
Пост анонсирует последнего титана в колоде «Стартап-кранча» — Бьёрна Страуструпа, создателя C++, и кратко описывает историю создания языка.
👑 Закрываем пантеон легенд «Стартап-кранча»!Последний титан в нашей колоде — Бьёрн Страуструпович. Его прототип — датский программист Бьёрн Страуструп, человек, который подарил миру C++.Работая над диссертацией, Страуструп столкнулся с дилеммой: язык Simula был удобен для больших проектов, но ужасно медленный. А язык BCPL — быстрым, но низкоуровневым и неудобным. Тогда он решил взять лучшее от двух миров: скорость C и высокоуровневые абстракции (классы) из Simula. Так родился «C с классами»,...
Читать полностью
Москва заняла второе место в рейтинге умных городов 2025 года, уступив Сингапуру.
Российская столица заняла второе место в мировом рейтинге «умных городов» в 2025 г. Москва уступила лишь Сингапуру 0,1 баллНа третьем месте Пекин, за ним — Лондон и ШанхайСанкт-Петербург занял шестую позициюВ основе рейтинга — развитие цифровой инфраструктуры, уровень качества жизни и внедрение разных технологийГорода оценивали по пяти критериям: «умным» должно быть городское управление, образ жизни, транспорт, бизнес и развитиеTelegram | Дзен | MAX
Читать полностью
Обзор компактного устройства M5StickC Plus2 на базе ESP32, которое сравнивают с Flipper Zero и используют для пентеста.
Двоюродный брат Flipper. Тестируем M5StickC Plus2 #статьи #подписчикамЭтот компактный девайс называют «двоюродным братом Flipper», и не зря. M5StickC Plus2 — крошечное устройство на базе ESP32 размером с зажигалку, оборудованное дисплеем, несколькими датчиками и батарейкой. Для пентестера этот аппарат открывает множество интересных возможностей, часть которых доступна с дополнительными примочками. Я купил такую игрушку, чтобы посмотреть на нее в деле и рассказать тебе, что она умеет.https:/...
Читать полностью
Разбор книги «Learning How to Learn» Барбары Оакли,
Шесть способов учиться новому быстрее: разбор книги «Learning How to Learn»Автор книги, Барбара Оакли, в школе считала себя «безнадёжной» в математике, но во взрослом возрасте «перепрошила» свой мозг и стала профессором инженерии. Её главный тезис: учиться — это не талант, а навык, который можно и нужно прокачивать.Почему для решения сложной задачи полезно пойти погулять (спойлер: режим рассеянного мышления)? Почему перечитывание конспектов — это ловушка, создающая «иллюзию знания»? И почему про...
Читать полностью
Компания Wunder Fund проводит соревнование по машинному обучению для предсказания следующего состояния рынка на основе последовательности из 1000 предыдущих состояний. Призовой фонд $13,600, лучшие получат фаст-трек в компанию.
Соревнование по машинному обучению: предскажите следующее состояние рынкаКомпания Wunder Fund, занимающаяся высокочастотным алготрейдингом, запускает соревнование для ML-специалистов. Задача — предсказать будущее. Ну, или почти.Участникам предлагается создать модель, которая сможет предсказать следующий вектор «состояния рынка» по последовательности из 1000 предыдущих состояний. Для обучения предоставляется реальный, хоть и анонимизированный, датасет. Понимание доменной области не требуется — то...
Читать полностью
Обзор современных методов стеганографии и стегоконтейнеров для сокрытия данных, от классических до лингвистических трюков и Unicode-символов.
Когда файл — это тайник: как скрывают данные в 2025 годуСтеганография — это не только сообщения, спрятанные в картинках. Сегодня тайником для данных может стать что угодно. Автор статьи проводит обзор современных «стегоконтейнеров» и методов, которые используют для сокрытия информации.Где можно спрятать секретное сообщение? Практически везде. Помимо очевидных изображений и видео, данные прячут в пустых полях сетевых протоколов (например, DNS), в метаданных файлов, в тексте (чередуя кириллические...
Читать полностью
Северокорейские хакеры установили рекорд, похитив более 2 млрд долларов в криптовалюте за девять месяцев 2025 года по данным компании Elliptic.
В 2025 году северокорейские хакеры похитили более 2 млрд долларовПо оценке блокчейн-аналиков компании Elliptic, за девять месяцев 2025 года северокорейские хакеры похитили криптовалютные активы на сумму свыше 2 млрд долларов США, что является новым рекордом.https://xakep.ru/2025/10/09/elliptic-stats/
Читать полностью
Китайский турист в Сан-Паулу пережил ограбление, но обнаружил пулю, застрявшую в его MacBook, которая спасла ему жизнь.
История, похожая на сцену из боевика, произошла с китайским туристом в бразильском Сан-Паулу. После конференции он ждал такси до аэропорта. С собой у него был чемодан и рюкзак, в котором лежал MacBook.Внезапно из стоящей рядом машины выскочил вооружённый грабитель в маске. Он выхватил у туриста чемодан. Турист бросился бежать. Вслед раздался выстрел.На место прибыла полиция. Вердикт был неутешительным: чемодан, скорее всего, не вернуть. Сам турист, к счастью, не пострадал и, чтобы не опоздать на...
Читать полностью
Статья описывает методы корпоративного OSINT для оценки работодателя до собеседования: анализ финансовых отчётов, отзывов
Как вычислить плохого работодателя до собеседования: инструкция по OSINTНа словах — перспективная IT-компания. На деле: три токсичных фаундера, выгорание на второй неделе и зарплата через раз. Автор статьи предлагает не верить красивым вакансиям, а проводить небольшое расследование по открытым источникам до собеседования.Это настоящий гайд по корпоративному OSINT. Где смотреть финансовые отчёты, чтобы оценить стабильность бизнеса? Как правильно читать отзывы на Glassdoor, отсеивая фейки и выявля...
Читать полностью
Discord подтверждает кражу удостоверений личности 70 000 пользователей, отказывается платить выкуп, хотя хакеры заявляли о 5,5 млн похищ
Discord подтверждает: хакеры украли удостоверения личности 70 000 пользователейКомпания Discord заявила, что не собирается платить выкуп злоумышленникам, которые утверждают, что им удалось похитить данные 5,5 млн пользователей. В украденных данных содержатся копии удостоверений личности и частичная платежная информация некоторых пользователей. В компании утверждают, что на самом деле утечка затронула около 70 000 человек.https://xakep.ru/2025/10/09/discord-statement/
Читать полностью
Подборка новостей из мира технологий и бизнеса: от планов Nvidia по визам H-1B и финансирования «Почты России» до обнаружения уязвимостей Bluetooth в автомобилях и использования ИИ в судах.
⚡ Новости к этому часу⚡️ ПОДДЕРЖИТЕ КАНАЛ ГОЛОСАМИ ⚡️🟢 В Nvidia будут платить по $100 000 за выдачу виз H-1B для сотрудников✉️ «Почта России» в ближайшие три года получит из бюджета 15 млрд рублей на модернизацию отделений📝 Основатель журнала «Хакер» написал открытое письмо к главе Минцифры из-за запрета на данные, связанные с практикой ИБ🕷 Исследователи при помощи BlueToolkit обнаружили в Bluetooth-системах автомобилей 128 уязвимостей🔴 Tesla запустила первую полноценную зарядную станцию ...
Читать полностью
Пост анонсирует продление приема заявок на Всероссийскую премию RuCode за применение ИИ до 20 октября, с призовым фондом 3 млн рублей и перечислением преимуществ для участников.
🐈 Если ты ждал знак, чтобы рассказать, как круто знаешь или используешь технологии искусственного интеллекта — вот он!Приём заявок на Всероссийскую премию за применение и популяризацию технологий ИИ RuCode продлён до 20 октября.3 миллиона призового фонда уже ждут 💲 А также:🟣поддержка лауреатов и их проектов в СМИ и социальных сетях🟣встреча с представителями ведущих вузов России🟣возможность поработать с экспертами крупных ИТ-компаний🟣привлечение потенциальных инвесторов🟣индивидуальный план ва...
Читать полностью
Глава Минцифры Максут Шадаев предложил создать национального ИИ-агента на базе портала «Госуслуги», обсуждение велось на форуме «Финополис-2025».
Национальный ИИ-агент, создание которого обсуждают в России, можно быть выстроен на базе портала "Госуслуги", сообщил глава Минцифры Максут Шадаев на "Финополисе-2025"Мы обсуждаем, можно ли построить национального ИИ-агента одного на базе "Госуслуг"Telegram | Дзен | MAX
Читать полностью
Репортаж с андеграундного компьютерного фестиваля Chaos Constructions'2025 в Санкт-Петербурге, посвященного ретро-технике и демосцене.
Chaos Constructions'2025: репортаж с андеграундного компьютерного фестиваляВ конце августа в Питере прошёл Chaos Constructions — некоммерческий, андеграундный компьютерный фестиваль с 30-летней историей. Это не корпоративный ивент, а место, где главные герои — энтузиасты и их железо.Что там было? Всё. Живая станция Fidonet, стена из ламповых осциллографов (включая 160-килограммового монстра!), воссозданная с нуля «Микро-80» и ретро-телеканал в аналоговом эфире.Помимо этого, на фесте прош...
Читать полностью
Пост описывает реалии бизнеса владельца пружинного завода в Ижевске, который сталкивается с проблемами бракованного сырья, нехватки кадров и сложными клиентами, но при этом зарабатывает 13 млн рублей в год.
Берёт проволоку, навивает, запекает и зарабатывает 13 млн в год: изнанка пружинного заводаУправляющий пружинным заводом в Ижевске построил многомиллионный бизнес на простом изделии, которое есть везде — от ручек до КамАЗов. Но за кажущейся простотой скрывается суровая изнанка реального производства.В его мире приходится выбрасывать тонны бракованного сырья, потому что другого нет; печь для закалки горит; квалифицированных рабочих воруют оборонные заводы, а крупные клиенты создают свои проблемы.П...
Читать полностью
Исследование Чикагского университета показало, что склонность избегать неприятной информации («эффект страуса») формируется примерно с семи лет, когда дети начинают отказываться от плохих новостей о любимых вещах, предпочитая комфорт знаниям.
Психология невежества: в каком возрасте мы выбираем «не знать»?Взрослые часто избегают полезной, но неприятной информации — это называют «эффектом страуса». Новое исследование Чикагского университета выяснило, что эта склонность к «счастью в неведении» зарождается не во взрослой жизни, а примерно в семь лет.Как это доказали? В одном из экспериментов детям предлагали узнать, почему их любимые и нелюбимые конфеты вредны. Младшие дети хотели знать всё. А вот семилетние и старше массово отказывались...
Читать полностью
Восточно-азиатская хакерская группа NGC4141 атакует кастомные веб-приложения российских организаций, проникнув в инфраструктуру федерального ведомства.
Восточноазиатская группа NGC4141 атакует кастомные веб-приложения российских организацийАналитики центра исследования киберугроз Solar 4RAYS группы компаний «Солар» обнаружили неизвестную ранее восточно-азиатскую группировку, которая с помощью публичных инструментов атаковала веб-приложение неназванного федерального ведомства, работавшее на кастомном движке. По словам экспертов, хакеры сумели проникнуть в инфраструктуру жертвы и выполнить команды в ОС сервера.https://xakep.ru/2025/10/08/ngc4141/
Читать полностью
Пост обсуждает проблему отсутствия «здравого смысла» у современных LLM на примере загадки про запаянную чашку, подчеркивая их неспособность к интуитивному пониманию физического мира и абдукции.
Здравый смысл и ИИ: почему нейросети не могут решить загадку про запаянную чашкуКак пить из чашки, если у неё нет дна, а верх запаян? Эта простая загадка ставит в тупик современные LLM: ChatGPT наивно ищет решения, а DeepSeek предлагает «расколотить верхнюю грань». Этот пример идеально иллюстрирует главную проблему современного ИИ.Нейросети могут проходить экзамены и анализировать рентгеновские снимки, но пасуют перед задачами, которые решит ребёнок. Они не обладают «здравым смыслом» — интуитивн...
Читать полностью
Статья объясняет, почему LLM ошибаются при попытке вывести эмодзи морского конька: модель правильно формирует концепт, но в словаре нет соответствующего символа, и она выдает ближайший аналог.
У модели нет рта, но она должна вывести эмодзи морского конькаПочему топовые LLM в один голос утверждают, что эмодзи морского конька существует, а потом выдают лошадь 🐎 или рыбу 🐠? Автор статьи решил разобраться в этой странной «галлюцинации».С помощью «логитного объектива» он заглянул в «мозг» модели и выяснил: внутри она всё понимает правильно, формируя концепт «морской конёк + эмодзи». Сбой происходит на последнем шаге: в словаре нет такого символа, и модель в панике выдаёт ближайший аналог.Р...
Читать полностью
Qualcomm приобретает Arduino, сохраняя её бренд и миссию, и анонсирует одноплатный компьютер UNO Q.
Qualcomm покупает Arduino и анонсирует одноплатный компьютер UNO QКомпания Qualcomm, разрабатывающая и производящая микросхемы для мобильных телефонов и другой электроники, приобретает Arduino — итальянскую компанию, известную своей опенсорсной экосистемой железа и ПО. В своем заявлении Qualcomm подчеркивает, что Arduino «сохранит свой бренд и миссию».https://xakep.ru/2025/10/08/qualcomm-arduino/
Читать полностью
Расследование выявило, что в «отечественных» клавиатурах «Бештау» из реестра Минпромторга используются разные контроллеры, причем подозрительная версия с китайским чипом оказалась официальной на сайте производителя, а надежный способ отличия — проверка USB Vendor ID.
Расследование: что на самом деле скрывается в «отечественной» клавиатуре «Бештау»?Всё началось со слухов, что в отечественных клавиатурах «Бештау» из реестра Минпромторга находят «не те» контроллеры. Авторы статьи, как поставщики техники, решили провести собственное расследование. Первая закупленная клавиатура оказалась «правильной». Но вторая партия, взятая для тестов, внезапно содержала тот самый подозрительный чип.И тут начался настоящий детектив. Команда искала способ отличить версии без вск...
Читать полностью
Анонс финального дропа карточек в «Стар
🏁 Финишная прямая «Стартап-кранча»!Вчера состоялся финальный дроп карточек. Встречайте новых спецов: Вику Пайплайнову, которая наконец-то наладит ваш CI/CD, и Алину Космичеву, которая уже планирует экспансию на Марс. 🚀А на десерт — тяжёлая артиллерия. Ваш легаси-код спасёт бустер «Рефакторизатор 3000», а сохранить работу поможет милый Гитхабик. Но главный герой дропа — легендарный Бьёрн Страуструпович, который добавит вашему проекту немного фундаментальной C++-мощи.Колода собрана, все герои ...
Читать полностью
Статья описывает необычную стратегию защиты веб-приложений с помощью скриптов, загружаемых до отображения страницы, которые выполняют проверки сети, портов и активности пользователя для выявления ботов, а также анализирует обфусцированный код.
Недобровольный осмотр. Исследуем защитные скрипты, пересекающие границы приватности #статьи #подписчикамВ этой статье мы разберем необычную стратегию защиты веб‑приложений, где скрипты загружаются еще до отображения страницы и выполняют сложные проверки сети, портов и активности пользователя. Раскроем обфусцированный код и изучим механизмы, применяемые для выявления ботов и угроз.https://xakep.ru/2025/10/08/js-user-profiling/
Читать полностью
Во Владивостоке открылось представительство северокорейской компании Bulgunbyol Technology
Во Владивостоке открылось представительство компании, вероятно, связанной с северокорейской Red Star Technology Exchange Company, разработчиком операционных системПредставительство появилось во Владивостоке, где ранее открывались филиалы и других компаний из КНДРКомпания называется Bulgunbyol Technology Trading Company (Bulgunbyol, как уточняет портал, это означает «Красная звезда»), офис был открыт 24 сентября при содействии Торговой палаты КНДРВ СПАРКе можно найти представительство компании по...
Читать полностью
Kandinsky AI научился генерировать изображения с кириллическим текстом, интегрированным в объекты (вышивка, мох, тесто), на основе датасета из 10+ млн изображений.
Kandinsky научился генерировать надписи на русскомСвершилось! Kandinsky теперь умеет генерировать изображения с кириллическим текстом. Да, можно создавать котов в свитерах с надписью «ИГРИСТОЕ» — кажется, именно для этого и создавался ИИ.Главное, что это не просто текст поверх картинки: надпись может быть вышита, сделана из мха или теста на пироге. Это результат обучения на уникальном датасете из 10+ млн изображений. Модель пока не идеальна, но уже способна на многое.Посмотрим на галерею кру...
Читать полностью
Хакерская группировка Scattered Lapsus$ Hunters шантажирует Red Hat, опубликовав образцы украденных отчетов о клиентах и требуя выкуп.
Хакеры шантажируют Red Hat, угрожая опубликовать украденные данныеГруппировка Scattered Lapsus$ Hunters шантажирует компанию Red Hat. На сайте злоумышленников появились образцы похищенных у компании отчетов о взаимодействии с клиентами, и хакеры утверждают, что потребовали у Red Hat выкуп, но пока не получили ответа.https://xakep.ru/2025/10/08/red-hat-blackmail/
Читать полностью
История о Фреде Рамсделле, который ушёл в поход без связи и пропустил звонок о присуждении Нобелевской премии по медицине за открытие регуляторных Т-клеток — пример идеального work-life balance.
Представьте, что вы закрыли все таски, поставили в мессенджерах статус «в отпуске» и ушли в поход без связи. А в это время вам присуждают Нобелевскую премию по медицине. Именно это и произошло с Фредом Рамсделлом — ему не могут дозвониться ни из Стокгольма, ни из его собственной лаборатории.А ведь повод серьёзный: премия за фундаментальное открытие «телохранителей» иммунной системы — регуляторных Т-клеток. Это прорыв для лечения аутоиммунных заболеваний.Оказалось, в момент объявления он «жил сво...
Читать полностью