⚡️Обнаружена критическая уязвимость в External Secrets Operator (CVE-2026-22822)

Уровень опасности уязвимости оценивается как высокий: CVSS 9.3

Проблема кроется в функции getSecretKey, которая при создании ExternalSecret позволяет злоумышленникам получать доступ к секретам Kubernetes из любых неймспейсов, обходя стандартные политики безопасности.

Последствия эксплуатации уязвимости:

▪️Несанкционированный доступ к конфиденциальной информации
▪️Повышение привилегий в кластере
▪️Компрометация сервисных учетных записей

Рекомендуемые действия:

Полное устранение: Обновите оператор до версии 1.2.0 или новее, где уязвимая функция getSecretKey была полностью удалена.

Временная защита: Если немедленное обновление невозможно, используйте инструменты политик безопасности (Kyverno, OPA) для блокировки любых попыток использования функции getSecretKey в конфигурациях ExternalSecret.

❗️Обновление оператора является приоритетной мерой для обеспечения безопасности кластера.

#USSC_expert

✨Квартирник по безопасной разработке: часть вторая

Мы снова собираем камерную встречу профессионального сообщества DevSecOps. В этот раз встречаемся в Москве!

С момента проведения первого квартирника DevSecOps заметно повзрослел: появилось больше практики и зрелых кейсов. Поэтому, если вам есть что рассказать, предлагаем стать спикером этого вечера.

Нам интересны доклады про:
▪️Процессы, решения и неизбежные компромиссы
▪️Управление рисками и принятые архитектурные выборы
▪️Реальные результаты, цифры и выводы

Подать заявку на участие можно до 16 февраля.

До встречи!

#УЦСБ_квартирник

📜 Подготовили свежий обзор регуляторных изменений за декабрь 2025

Разбираем:

✨ КИИ
— Правила проверки сведений о категорировании объектов КИИ в атомной отрасли
— Изменения в положении о НКЦКИ
— Порядок обмена информацией между субъектами КИИ РФ и информирования ФСБ России о компьютерных инцидентах

✨ ПДн
— Порядок идентификации иностранных абонентов операторами связи

✨ ФСТЭК России
— Методика анализа защищенности ИС
— Положение о системе сертификации СрЗИ
— Список обновленных перечней и реестров ФСТЭК России

✨ Иное
Изменения в 149-ФЗ, требования к ПАК для включения в Реестр российского ПО, судебная практика за 4 квартал 2025 и многое другое.

Предыдущие обзоры по хештегу #УЦСБ_аналитика

⚡️В Kyverno обнаружена критическая уязвимость CVE-2026-22039 (CVSS 9.9)

Проблема кроется в apiCall внутри namespaced Policy: через подстановку переменных в urlPath можно заставить Kyverno выполнить произвольные запросы к Kubernetes API вне своего namespace под ServiceAccount admission controller.

Последствия:

▪️ Несанкционированный доступ к секретам и конфиденциальным данным в других неймспейсах 
▪️ Повышение привилегий в кластере Kubernetes 
▪️ Компрометация сервисных учетных записей и утечка критически важной информации

Рекомендации:

✅Обновить Kyverno до исправленных версий — 1.16.3 и выше или 1.15.3 и выше.
✅ Пересмотреть RBAC-настройки, особенно права на создание политик.
✅ Провести аудит существующих apiCall в политиках на предмет подозрительной подстановки urlPath.

Классификация уязвимости:

Тип ошибки: Improper Privilege Management (CWE-269) и возможный SSRF-аналог (CWE-918).
CVSS v3.1: 9.9 (Critical)

🛡 10 февраля встречаемся на вебинаре, чтобы поговорить о концепции ZTNA и найти ответ на вопрос:

Как убедиться, что в корпоративной сети нет «чужих»?

Обсудим, почему 802.1X и VPN не всегда помогают, особенно при удаленке и работе с внешними командами. И на реальном сценарии посмотрим, как это решается через принципы нулевого доверия.

🔗 Регистрация

#УЦСБ_вебинар

❗️ Скомпрометирована инфраструктура хостинг-провайдера проекта Notepad++

Злоумышленники получили возможность перехватывать трафик домена notepad-plus-plus[.]org и перенаправлять пользователей на вредоносные серверы.

Атака оставалась незамеченной с июня по декабрь 2025 и была выборочной. Исходный код редактора не затрагивался.

Основная уязвимость была обнаружена в механизме обновлений WinGUp: не хватало проверки целостности загружаемых файлов, из-за чего обновления могли подменяться вредоносными.

⚡️Как защититься?

▪️Полностью удалить Notepad++ и переустановить версию 8.8.9 или новее из доверенного источника.

▪️Если ранее устанавливался корневой самоподписанный сертификат Notepad++ — удалить его из хранилища доверенных сертификатов.

🔒 Если у субъекта КИИ часть ИТ-функций передана подрядчику, важно помнить:

Аутсорсинг ≠ перенос ответственности перед государством.

Когда в договоре четко не прописаны обязанности по защите информации, при инциденте или проверке ФСТЭК субъект КИИ может получить неприятные последствия: от административных штрафов до уголовной ответственности.

Светлана Мадина, аналитик направления аудитов и соответствия требованиям ИБ, в своей статье объясняет, как:

▪️Грамотно оформить взаимодействие с подрядчиком
▪️Распределить ответственность и закрепить ее документально
▪️Настроить контроль работ подрядчика так, чтобы сохранить управляемость

🛡 Читаем на нашем сайте

💻 Хакеры — тоже люди. А значит их инструменты, привычки и процессы не идеальны

Что, если использовать это против самих атакующих — и превратить атаку в полосу препятствий, где каждый шаг злоумышленника оставляет артефакты, а защита получает больше возможностей заранее заметить вторжение и сбить сценарий?

Именно эту идею разворачивает новая книга Андрея Жукова, ведущего специалиста по анализу защищенности — «Хакерская самооборона».

Андрей предлагает хакерский взгляд на защиту: как, понимая логику проникновения и уязвимости инструментов, можно противостоять злоумышленникам. По мере сюжета вы проходите все этапы атаки и учитесь отвечать на каждом из них стандартными средствами ОС и доступными утилитами.

🛡 Самооборона должна быть по силам каждому — таков главный принцип книги.

🔗 Узнать подробнее можно здесь

🎁 В связи с этим запускаем розыгрыш!

Рандомно выберем трех человек и подарим новую книгу Андрея Жукова «Хакерская самооборона. Приемы обнаружения и предотвращения хакерских атак».

Условия участия:
▪️Быть подписанным на наш телеграм-канал
▪️Нажать на кнопку «Участвую!»

Победителей определим 13 февраля 👍

🆕 17 февраля собираемся в прямом эфире, чтобы обсудить, как сегодня выглядит DevSecOps в России — от требований ФСТЭК для КИИ до стандартов безопасности ИИ.

В программе:
▪️Приказ №117 ФСТЭК: что важно учесть разработчикам ПО в КИИ и ГИС
▪️Shift Left на практике, SCA, SBOM, отечественные анализаторы
▪️Безопасность ИИ: стандарты, доверенные данные, ИИ в ИБ
▪️Импортозамещение, кадровый голод, баланс скорости и безопасности
▪️Прогноз на 2026–2027 и экономика безопасности

Регистрация