День постмортемов: вендоры сами рассказывают, как их ломали — и это лучшее чтение недели для любого, кто отвечает за инфраструктуру. Признание с хронологией стоит дороже пресс-релиза «мы приняли меры».
eMudhra: история длиной в полтора года — глазами Яндекса
Александр Яковлев из Яндекса собрал полную ретроспективу инцидента с сертификатами, который мы разбирали на прошлой неделе. Новое и главное: ключи восьми промежуточных центров были числами от единицы до двухсот пятидесяти пяти — исследователь Wayne доказал это, подписав сообщение «We have a problem here»; а через MITM-атаку энтузиасты получили root на Яндекс Станции, после чего Яндекс за три дня обновил миллионы Станций и партнёрских устройств, закрыв отладочный интерфейс. Слабые сертификаты нашлись и в прошивках Sonos, Samsung и Sony. Финал показателен: eMudhra ушла из бизнеса SSL-сертификатов, а полный сброс Станции до сих пор возвращает уязвимую заводскую прошивку. Двадцать лет репутации удостоверяющего центра против одного байта энтропии.
VMmanager: постмортем от ISPsystem
Редкой честоты разбор: вендор публикует хронологию атаки на собственный продукт — с датами, временем и обеими уязвимостями. Первая требовала лишь купить виртуальную машину у хостера (проблема в обработке ISO-образов), вторая — нольдень в платформе: HTTP Request Smuggling через вебсокет-запрос, который nginx принимал за тело первого запроса и пропускал мимо фильтров привилегированный заголовок. Атака шла волнами и, по паттернам, с помощью ИИ-инструментов; зачистку делали вместе с «Лабораторией Касперского», фиксы прогнали на honeypot-стендах — десять тысяч запросов атакующего отражены. Если у вас VMmanager — актуальные версии stable 2026.05.2-12 и regular 2026.09.1-8, и читать постмортем стоит целиком.
CPython убирает экспериментальный JIT
JIT-компилятор ввели в начале 2024-го и прятали за флагом сборки в Python 3.13 — теперь его выносят из кодовой базы совсем. Пятьсот баллов обсуждения на Hacker News: кто-то видит здравое «не тащить то, что не включают», кто-то — откат позиции Python в гонке скорости, где PyPy и компания давно разогнались. Решение честное: эксперимент, не собравший включённых по умолчанию пользователей, рано или поздно становится налогом на сопровождение.
Capcom: 11,7 миллиона аккаунтов через CAPCOM ID
Через единую систему аккаунтов Capcom утекли данные 11 774 247 пользователей: почты, даты регистрации, IP последнего входа. Пароли и карты не пострадали, но у 196 аккаунтов атакующие сменили пароли — Capcom сбросила их принудительно и предупреждает о фишинге. Способ проникновения компания «определила и закрыла», подробностей не раскрывает — что для постмортем-дня особенно контрастно на фоне Яндекса и ISPsystem.