По оценке «Лаборатории Касперского», BO Team могла готовить атаку через цепочку поставок, получив доступ к исходникам и серверу подписи.
Платформа подрядчика стала входом для хакеров, которые вывели около 100 млн евро со счёта Arkéa, не затронув деньги клиентов.
Обновление macOS 27.2 не устранило доверие Git к скомпрометированным сертификатам eMudhra и отменило ручную защиту.
Как сообщается, TSMC рассматривает повышение цен на упаковку CoWoS до 20% из-за нехватки мощностей на фоне спроса на ИИ.
Vercel требует отказаться от долгоживущих ключей в Marketplace, хотя инструкция для GitHub Actions пока сохраняет VERCEL_TOKEN.
Microsoft связывает с Storm-0940 атаку через ConnectWise: автоматизация открывала путь к привилегированному доступу менее чем за три часа.
По данным Rank Math, часть пакетов Rank Math PRO содержала вредоносный код, который мог дать злоумышленникам контроль над сайтом.
Минцифры предлагает оценивать российское ПО не только по происхождению, но и по безопасности разработки, сборки и обновлений.
Docker исправила уязвимость Docker Hub, позволявшую злоумышленникам публиковать и удалять чужие образы из-за ошибки при переносе токенов доступа.
Червь Shai-Hulud заразил npm-пакет Tensorlake 0.5.144 и способен красть секреты GitHub Actions и облачные учётные данные.
ИИ-спам заставил Google приостановить приём большинства отчётов, оставив открытым канал для уязвимостей цепочки поставок.
Отчёт ENISA показывает, как взлом подрядчика может превратить локальный инцидент в сбой для множества клиентов.
ИИ-агенты Claude, Codex и Hermes пытались установить вредоносные пакеты из устаревшей документации корпоративных сайтов.
Инфраструктура ИИ-компаний втрое масштабнее списка моделей, а половина организаций не знает происхождение обучающих данных.
КНДР скрытно заразила 108 open-source пакетов, оставив разработчикам бэкдор и стилер вместо привычных обновлений.
