Типичный Сисадмин

🚨 Ахтунг! Группа Астра просит всех отключить Multipath TCP в Astra Linux. Патчей пока нет, но вы держитесь.

Отечественный энтерпрайз в лице Группы Астра расчехлил пачку экстренных бюллетеней (для всех актуальных веток от 1.6 до 1.8 и спецсборок). Полноценного патча пока нет.

Всё из-за CVE-2026-98432. Взлом строится через протокол MPTCP (Multipath TCP) и механизм миграции сокетов входящих соединений.

Для тех, кто в танке... MPTCP это фича, позволяющая агрегировать несколько сетевых каналов в одно TCP-соединение и бесшовно перекидывать сокеты между интерфейсами. Архитектурно круто, но теперь это технологическое отверстие через которое вас могут... 👌

Астра предлагает рубить функционал топором через параметры ядра. Да, отказоустойчивость и балансировка по нескольким каналам идут по бороде, но это лучше, чем рут-шелл извне. Предлагается следующее:
echo "net.mptcp.enabled=0" | sudo tee -a /etc/sysctl.d/mptcp.conf
echo "net.ipv4.tcp_migrate_req=0" | sudo tee -a /etc/sysctl.d/mptcp.conf
sudo sysctl -p /etc/sysctl.d/mptcp.conf

Если у вас на серваке крутится софт, написанный на Go (версии 1.24 и старше), то тот тоже плохие новости... рантайм Go активирует поддержку MPTCP автоматически. Админам предлагается пройтись топором по всем systemd-юнитам в проде и вкорячить туда костыль Environment=GODEBUG=multipathtcp=0.
Либо дописывать это в go.mod и пересобирать релизы. Идеальное занятие на выходные 🙂

Если вы сидите на КИИ и sysctl вам мало, то в биллютенях запилен список дополнительных рекомендаций. Чтобы хацкер точно не закрепился:
🟢 Врубить МКЦ (мандатный контроль целостности) на ФС.
🟢 Поднять ЗПС (замкнутую программную среду).
🟢 Загрузить модуль ядра lkrg для защиты пространства памяти.
🟢 Запретить создание файла /dev/mem.
🟢 И... полностью заблокировать интерпретатор bash. Нет работающего баша - нет проблем.

БЮЛЛЕТЕНЬ № 2026-1030SE17MD
БЮЛЛЕТЕНЬ № 2026-1030SE18MD
БЮЛЛЕТЕНЬ № 2026-1030SE47MD
БЮЛЛЕТЕНЬ № 2026-1030SE48MD
БЮЛЛЕТЕНЬ № 20261030SE16MD
БЮЛЛЕТЕНЬ № 2026-1030SE38MD

Патч обещают "по мере готовности", так что пока живем без миграции сокетов. Держитесь там, всего хорошего 🫡

Типичный 🟢 Сисадмин

😮 Хацкеры вынесли Binance через ноут Девопса.

Они прокинули бэкдор на ноут Девопса, а оттуда с ноги залетели во внутреннюю сеть и проникли в служебный контейнер системы подписания транзакций.

Важно понимать, что приватные ключи никто не крал.
Ключи заперты в аппаратных HSM-модулях или на холодных нодах. Хацкеры просто угнали сам сервис-оракул, который эти ключи дергает. Т.е. если ты контролируешь процесс, который просит HSM подписать транзакцию, тебе не нужен сам ключ... просто скармливаешь системе свой вредоносный пейлоад, и она ставит подпись.

⚙️ Для угона горячего ETH-кошелька заюзали свежую фичу EIP-7702 из недавнего хардфорка Pectra. Они заранее скрафтили 50 подписанных разрешений с последовательными нонсами. Как только один из нонсов залетел и сработал, управление кошельком биржи было делегировано на вредоносный смарт-контракт.
Далее ровно 3 минуты.
Улов в167 464 ETH, 1.6 млрд USDT и пачка альтов.

⚙️ При сливе BTC и TRON даже эксплойты не понадобились. Через захваченный сервис подписания тупо прогнали обычные транзакции на вывод. Система их подписала, думая, что это обычный флоу биржи.

Рынок, кстати, на эту потерю особо не отреагировал... походу криптозима этого года приучила лудиков и не к такому.

Представьте лицо того Девопса, когда его разубудили.

Типичный 🟢 Сисадмин

💥 Симуляция сыплется по всем фронтам...

Биржа Бинанс взломана, вывели 3,5 ярда $.

Биржа KuCoin выпиливает юзеров из РФ и РБ. Это уже четвертая биржа за две недели (после Bitget, MEXC и HTX).

Тут же Polymarket (где лудики ставят крипту на всё подряд) сегодня ночью поймал маслину. Сейчас там работает только режим отмены заявок.

Гугл сегодня отлетел на 12%... за день испарилось $500 млрд капитализации. Эффективные менеджеры всадили в новые ЦОДы и чипы $51 миллиард только за третий квартал, получив отрицательный свободный денежный поток впервые за 22 года.

Интел улетел вслед за Гуглом... т.к прогнозы провалены, продажи ЦП на дне.

И это всё менее чем за сутки. Конечно же это совпадение и архитекторы этого слоя абстракции никакой условный глобальный скрипт очистки кэша не запустили.

Самое время обнять свой локальный NAS... только локалхост, опенсорс, дрова.

Типичный 🟢 Сисадмин

🚨 Опять кого-то взломали пингом 🚨

Подъехал эпичнейший архитектурный факап (CVE-2026-97631) в реализации UEFI. На минуточку, это фундамент, на котором крутятся прошивки AMI, Phoenix, Insyde и майкрософтовский форк Mu. То есть, дырявое примерно… вообще всё серверное железо.

Суть бага возвращает нас в благословенные девяностые. Я хз, но почему-то матерые сишники из энтерпрайза забыли базовое правило... никогда не доверяй инпуту из сети.

В UEFI есть драйвер UefiPxeBcDxe. Как понятно из названия, он отвечает за сетевую загрузку по PXE. Когда сервер пытается забутиться по сети, он обрабатывает прилетающие ICMP-сообщения об ошибках. И вот тут начинается магия...
под входящее сообщение хардкодится буфер ровно на 504 байта. А фактический размер того, что прилетело из сети - никто не проверяет 🤡

Кидаем в тазик специально скрафченный ICMP-пакет размером больше 504 байт -> невместившийся хвост переполняет буфер и перезаписывает соседние структуры в памяти -> хацкер получает исполнение произвольного кода.

Исполнение происходит ДО передачи управления загрузчику ОС. Secure Boot, TPM и прочие - отдыхают, потому что малварь уже закрепилась на уровне железа и сама контролирует процесс верификации.

Отдельный вид искусства как это утекло в паблик. Гугл и Антропик нашли дыру и договорились держать молчание до января 2027 года 🤝. Но какой-то сверхразум случайно закоммитил публичный pull-реквест с фиксом в открытый репозиторий. Хацкеры посмотрели на патч, поржали и моментально поняли, где именно было технологическое отверстие 👌. Сила опенсорса, беспощадная и бессмысленная...

Получился идеальный вектор для вскрытия корпоративных ноутов и серверов с Full Disk Encryption. Нужно просто подсунуть по PXE правильный пейлоад, UEFI просит TPM расшифровать диск (даже PIN не спросит, среда-то доверенная) и сливает ключи прямо по сетке. Профит.

Панически ыыпиливать из ядра ICMP не стоит, т.к. сломаете PMTU discovery и IPv6 (NDP). Но вот глушить мусорный ICMP на фаерволах и изолировать PXE-сегменты сети - мастхэв. Если у вас PXE торчит в интернет или в гостевой VLAN, то вы сами себе злобные буратино.

Типичный 🟢 Сисадмин

ЦОДы уходят под землю. Минцифры выкатило гайд по защите от БПЛА.

ИМХО, гайд когда-то превратится в требование.
Теперь все ЦОДы в стране делятся на три касты:

🔴 К1 (Стратегические).
Допустимый отвал не больше часа, иначе ложатся ключевые госфункции. Для этих узлов Минцифры рекомендует... скальное, подземное и бункерное размещение.

🟡 К2 (Региональные\отраслевые).
Допускается даунтайм до 4 часов. Здания должны быть из бетона.

🟢 К3 (Корпоративные).
Можно дальше хоститься в сэндвич-панелях 🔥. Бизнесу будет больно, но всем остальным глубоко пофиг. Спасение утопающих - дело рук самих утопающих.

А теперь золотой фонд костылестроения по технической реализации на практике в уже готовых ангарах:

• Снижать заметность с воздуха.... натягивая маскировочные сети и тд.
• Внедрять локальные комплексы РЭБ и антидроновые сетки. Электромагнитная совместимость? 🤔
• Укреплять машинные залы, чтобы стойки выдерживали ударную волну и осколки.
• Операторы ЦОДов теперь обязаны иметь прямую линию коннекта с Минобороны, Росгвардией и МЧС.

Собственно, то, о чем мы ванговали пару недель назад, стало ГОСТом. Будущее суверенного рунета - за подземными катакомбами. Чет захотелось пересмотреть Fallout ☢️

Естественно, этот банкет безопасности оплатят юзеры. Участники рынка вангуют рост ценников на услуги всего на 10% к прайсу... к дефициту железа, новым тарифам на ЭЭ теперь добавляется амортизация РЭБа и заливка бетоном.

Так что готовимся натягивать рабицу на сервера...

Типичный 🟢 Сисадмин

👮‍♂️ РКН торжественно внёс Apple и Microsoft в реестр ОРИ (Организаторов распространения информации).

Очередной прорыв в суверенном киберпанке. Теперь, по закону Яровой, они обязаны:

🟢 Хранить метаданные всех российских юзеров 3 года. Физически. На серверах внутри РФ.
🟢 Хранить само содержимое... тексты, войсы, кружочки, видосы и нюдсы из iMessage и Teams до 6 месяцев. Тоже физически в РФ.
🟢 По запросу выдавать всё это добро уполномоченным органам вместе с ключами шифрования.

За отказ хранить данные предусмотрен штраф... от 800к до 1 млн рублей. Закон дает 15 дней на устранение.

Но если без шуток, то очевидно, что это не попытка собрать логи, а классическая юридическая артподготовка. Алгоритм обкатан годами:
1️⃣ Внесли в реестр.
2️⃣ Отправили запрос на логи и ключи шифрования.
3️⃣ Получили в ответ оглушительную тишину.
4️⃣ Выписали штраф.
5️⃣ Дали 15 дней на устранение нарушений.
6️⃣ Подали в суд на блокировку.
7️⃣ ПРОФИТ!

Понятно, что завтра рубильник никто не дернет. Истинный смысл этого мува - повесить на стену заряженное ружье. Создать повод, чтобы в час Хэ (или когда ТСПУ окончательно донастроят) легально забанить одним кликом, сославшись на неисполнение законодательства.

Прикиньте сколько будет шума если положить эппловские пуши APNs.

Типичный 🟢 Сисадмин

Банки просят зашить сертификаты Минцифры в каждый телефон.

Эффективные менеджеры из Ассоциации банков России (АБР) написали письмо главе Минцифры с просьбой... давайте сделаем установку отечественных корневых TLS-сертификатов (НУЦ) обязательной на всех устройствах.

Что предлагают эффективные манагеры:

🟢 Обязать производителей электроники (китайцев) вшивать корневой сертификат Минцифры в смартфоны, ПК и планшеты еще на этапе конвейера завода.
🟢 Принудительно интегрировать серты во все сборки российских операционных систем, а для Windows и Linux выкатить удобный установщик.
🟢 Сделать кнопку автоматической установки сертификата прямо на Госуслугах.
🟢 Построить новую систему удостоверяющих центров (аналог CA/Browser Forum) вместе с дружественными странами БРИКС.

А как заставить Apple вшивать НУЦ на заводе? 🤔

Типичный 🟢 Сисадмин

💚 Сегодня 25 лет легендарной Windows XP, которая еще переживет всех нас... четверть века без телеметрии и подписок.

Зумеры не поймут, но до 2001 года домашние юзеры жили в аду. Windows 98 и поехавший линолеум (Win ME) могли вывалиться в БСОД просто от того, что ты слишком быстро пошевелил мышкой. И тут MS выкатывает XP, принося ядро NT в массы. Внезапно оказалось, что компьютер может работать неделями без перезагрузки, а зависшее приложение можно прибить через диспетчер, не роняя всю систему.

Поначалу многие плевались от интерфейса Luna, но когда вышли SP2, а затем SP3 - система стала идеальной и любимой. Она просто работала. Без телеметрии, без облаков.

Это была великая эпоха сборников на болванках... ZverCD, Chip XP, RePack от Фила и SamLab. Это пиво, сухарики и калым за переустановку винды соседке. Это эпоха расцвета локалок.

За ту самую Безмятежность, которую мы потеряли 🍺

Типичный 🟢 Сисадмин