Обзор уязвимостей за прошедшую неделю (15–22 октября)
Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: Broadcom, Garmin Connect, SAP, Microsoft RDP, Renault Megane, Toyota Corolla, BMW X2.
Эксперт Positive Labs Алексей Коврижных помог устранить две уязвимости в прошивках высокоскоростных сетевых адаптеров Broadcom, применяемых в серверах и инфраструктуре дата-центров. Проблемы могли позволить злоумышленникам получить доступ к сетевым ресурсам или нарушить работу оборудования, однако после публикации отчёта специалиста производитель оперативно выпустил исправления.
По данным центра расследования киберугроз Solar 4RAYS группы компаний «Солар», в третьем квартале 2025 года доля уязвимостей, зафиксированных в сервисах искусственного интеллекта, достигла 5%. Ранее подобных случаев не наблюдалось. Аналитики связывают рост с популярностью «вайбкоддинга» — генерации кода нейросетями без его проверки и тестирования, что приводит к появлению ошибок в ИИ-платформах.
Ряд популярных онлайн-сервисов, использующих искусственный интеллект, оказался под угрозой после обнаружения критических уязвимостей. Специалисты предупреждают, что через эти дыры хакеры могут перехватывать данные пользователей, просматривать историю диалогов с нейросетями и внедрять вредоносный код в интерфейсы веб-приложений, предназначенные для взаимодействия с ИИ.
Компания Garmin устранила уязвимость в приложении Garmin Connect, найденную экспертом PT SWARM Артёмом Кулаковым. Проблема затрагивала пользователей Android и могла привести к компрометации данных владельцев примерно 300 моделей носимых устройств бренда. Производитель уже выпустил обновление, устраняющее обнаруженный дефект.
SAP провела очередной «День патчей» в октябре 2025 года, представив обновления для 13 новых и четырёх ранее выявленных уязвимостей. Ведущий инженер «Газинформсервиса» и эксперт SafeERP Тимур Цыбденов выделил три наиболее значимые проблемы — CVE-2025-42944, CVE-2025-42937 и CVE-2025-42910. Они потенциально позволяют обойти систему авторизации и нарушить целостность корпоративных данных.
Microsoft исправила критическую уязвимость CVE-2025-58718 в службе удалённого доступа Windows. Ошибка в механизме RDP могла привести к удалённому выполнению кода и ставила под угрозу миллионы пользователей, использующих систему для корпоративных подключений. Исправление уже опубликовано в рамках октябрьского пакета обновлений безопасности.
Американская компания F5 подтвердила кибератаку на внутреннюю инфраструктуру. По предварительным данным, злоумышленники, действующие в интересах государственных структур, получили доступ к исходным кодам продуктов BIG-IP и ряду неопубликованных данных о разрабатываемых уязвимостях. Компания инициировала внутреннее расследование и усилила контроль за доступом к разработческим ресурсам.
Организация Usenix выявила 128 уязвимостей в Bluetooth-модулях современных автомобилей, проведя масштабное исследование с помощью инструмента BlueToolkit. Наиболее уязвимыми оказались Renault Megane 2021, Toyota Corolla и BMW X2. Уязвимости создавали риск перехвата данных и несанкционированного доступа к элементам управления транспортными средствами.
