Обзор уязвимостей за прошедшую неделю (11-18 марта)
Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: Chrome, Firefox, iPhone, Android, Zombie ZIP, Coruna, CryptoWaters, Google Gemini.
Компания Google срочно обновила браузер Chrome, устранив 2 уязвимости нулевого дня, которые уже использовались злоумышленниками в атаках. В официальном сообщении указано, что речь идёт о проблемах с идентификаторами CVE-2026-3909 и CVE-2026-3910, для которых уже существуют рабочие эксплойты.
Специалист по информационной безопасности Крис Азиз из Bombadil Systems продемонстрировал новую технику атак под названием Zombie ZIP. Метод позволяет внедрять вредоносный код в ZIP-архивы таким образом, что защитные решения, в том числе антивирусы и EDR-системы, не обнаруживают угрозу.
Разработчик из Мексики сообщил на Reddit, что его компания столкнулась с серьёзными финансовыми потерями после компрометации API-ключа Google Gemini. Неизвестные лица за 48 часов полностью израсходовали доступный лимит, что привело к счёту на сумму более 82 000 долларов США.
В рамках мартовского обновления безопасности Microsoft устранила более 80 уязвимостей. Среди них обнаружены 2 уязвимости нулевого дня, информация о которых была раскрыта публично, а также 8 критических проблем, затрагивающих различные компоненты продуктов компании.
Компания Anthropic заявила, что модель Claude Opus 4.6 выявила 22 уязвимости в браузере Firefox во время совместной работы с Mozilla. Из них 14 получили высокий уровень опасности, 7 оценены как средние, и 1 признана малозначительной. Все найденные проблемы устранены в версии Firefox 148.
OpenAI представила инструмент Codex Security, предназначенный для автоматического поиска уязвимостей. В ходе бета-тестирования система проанализировала более 1,2 млн коммитов и обнаружила 792 критические и 10 561 серьёзную уязвимость в популярных проектах с открытым исходным кодом.
Группа Google Threat Intelligence Group обнаружила сложный эксплойт-кит Coruna, также известный как CryptoWaters, который ориентирован на устройства iPhone с версиями iOS от 13.0 до 17.2.1. В составе набора присутствуют 5 полноценных цепочек атак и 23 уязвимости. При этом инструмент не работает против актуальных версий системы.
Компания Google выпустила мартовские обновления безопасности для Android, устранив 129 уязвимостей. Среди них выявлена 0-day проблема в компоненте Qualcomm, которая уже применяется в реальных атаках.
