Wally HUBhttps://wally-news.ruСеверокорейцы ограбили Binance через отравленный Homebrew и фейковое собеседование, CISA заставила патчить WordPress и Android, а Beget потерял контроль над инфраструктурой и бинарные бэкапы — день напоминает, что supply chain и офсайт-бэкапы — это не теория.Wed, 04 Nov 2026 11:28:07 +0000Binance потерял $6,4 млрд через поддельный Homebrew и фейковое собеседованиеhttps://thehackernews.com/2026/11/binance-reveals-how-fake-job-interviews.html19a35a6714f9breachСеверокорейские хакеры компрометировали два рабочих места инженеров Binance через зараженную версию Homebrew и социальную инженерию под видом кодинг-собеседования. Атака длилась месяцы и позволила получить доступ к инфраструктуре кошельков обмена. — Самый дорогой хак в истории крипты начался не с нуль-дея, а с отравленного пакетного менеджера и HR-ловушки.Обновления cPGuard отравлены через взломанный сервер OpsShieldhttps://www.securityweek.com/malicious-cpguard-updates-served-in-opsshield-supply-chain-attack/9726794b0c18supplyЗлоумышленники, используя украденные учётные данные, получили доступ к серверам обновлений OpsShield и заразили несколько версий cPGuard бэкдором и стилером данных. Пострадавшие получали вредоносный код через легальный автообновлятор. — Система защиты сайтов сама стала вектором атаки — классический supply chain в чистом виде.CISA добавила CVE-2026-119977 в каталог эксплуатируемых уязвимостей WordPresshttps://thehackernews.com/2026/11/cisa-confirms-hackers-exploiting.html349817163ae5cveУязвимость TOCTOU в ядре WordPress с CVSS 8.1 активно эксплуатируется для удалённого выполнения кода во время обновлений. CISA требует устранить её до 25 ноября. — Race condition в процессе обновления — идеальная ловушка для админов, которые верят в автообновления.Google патчит критический RCE в Android (CVE-2026-58868) без взаимодействия пользователяhttps://thehackernews.com/2026/11/google-patches-critical-android-flaw.html32c90d2f0958cveУязвимость в Android 14–17 позволяет удалённо выполнить код на телефоне без действий жертвы. Исправление в уровне патча 2026-11-01, но поставщики раздают его по своим графикам. — Zero-click RCE в мобильной ОС — это когда твой телефон взламывают, пока он просто лежит в кармане.Beget признал: хакеры получили контроль над управляющим контуром и стерли VPS клиентовhttps://habr.com/ru/articles/1103474/?utm_campaign=1103474&utm_source=habrahabr&utm_medium=rss62a9f29e1b46breachВ ночь на 2 ноября атакующие захватили управляющую инфраструктуру хостинга, запустили скрипты обнуления — бинарные бэкапы VPS утеряны полностью. Восстановление возможно только из файловых бэкапов или офсайт-копий клиентов. — Хостинг, который теряет и продакшн, и бэкапы за одну ночь — кошмар любого сисадмина.Российские хакеры используют n-day эксплойты для zero-click атак на iOS и Androidhttps://www.bleepingcomputer.com/news/security/hackers-use-n-day-exploits-in-zero-click-attacks-on-ios-android-devices/955f969e9daecveМасштабная кампания watering hole через скомпрометированные и поддельные сайты доставляет эксплойты на мобильные устройства без действий пользователя. Используются известные уязвимости, для которых есть патчи. — Не нужен нуль-дей, когда пользователи не обновляют браузеры и ОС — старые дыры работают идеально.mSecure требует сменить пароли, сбросить 2FA и пасклю — но молчит о причинахhttps://thehackernews.com/2026/11/msecure-warns-users-to-change-passwords.html9ca07b46843bbreachРазработчик пароль-менеджера mSecure рассылает письма с требованием срочно ротировать все секреты из-за «подозрительной активности», деталей инцидента не раскрывает. — Пароль-менеджер просит сжечь свои же секреты — это либо превентивная мера, либо признак серьезного компрометации.