Обзор уязвимостей за прошедшую неделю (30 января – 4 февраля)
Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: Chat & Ask AI, MongoDB, OpenClaw, Microsoft Office, Office 2016, Microsoft 365 Apps for Enterprise, GNU InetUtils telnetd, Websoft HCM, GitLab Community Edition, GitLab Enterprise Edition, Zendesk.
Разработчики популярного ИИ‑сервиса Chat & Ask AI с аудиторией около 50 млн пользователей допустили серьёзную ошибку конфигурации, из‑за которой в открытом доступе оказались сотни миллионов личных диалогов. Среди опубликованных сообщений — обращения с суицидальными мыслями, просьбы составить прощальные письма, вопросы о наркотиках и попытках взлома различных приложений.
Киберпреступники продолжают массово атаковать незащищённые экземпляры MongoDB в рамках автоматизированных вымогательских кампаний. После удаления или шифрования данных владельцам баз предлагают заплатить сравнительно небольшой выкуп за их восстановление.
В проекте OpenClaw, ранее известном как ClawdBot и Moltbot, продолжается работа по закрытию уязвимостей. На этот раз специалисты выявили цепочку эксплойтов, позволяющую злоумышленнику выполнить произвольный код на устройстве жертвы всего за один клик по вредоносной веб‑странице.
Компания Microsoft выпустила экстренные обновления для устранения критической уязвимости в Office, которая уже используется в реальных атаках. Проблема затрагивает практически весь продуктовый ряд — от Office 2016 до Microsoft 365 Apps for Enterprise.
Эксперты Shadowserver Foundation зафиксировали активную эксплуатацию критической уязвимости CVE‑2026‑24061 в серверном компоненте telnetd из состава GNU InetUtils. В зоне риска находятся почти 800 000 IP‑адресов по всему миру.
Специалисты Positive Technologies обнаружили опасные уязвимости в российской HR‑платформе Websoft HCM. Наиболее серьёзные из них позволяли атакующему без аутентификации получить полный контроль над сервером и доступ к конфиденциальным данным.
Разработчики GitLab устранили несколько серьёзных уязвимостей, среди которых критический баг, позволявший обходить двухфакторную аутентификацию. Уязвимость затрагивала как Community, так и Enterprise‑версии продукта.
Пользователи из разных стран сообщают о волне спама, источником которого стали неправильно защищённые системы поддержки Zendesk. Адресаты получают сотни писем с необычными и иногда тревожными темами, что указывает на масштабную проблему с безопасностью таких инстансов.
