Перейти к содержанию

Дайджест · неделя 44 · 26 октября – 1 ноября 2026

Ноутбук админа, ядро и сертификаты

Три события недели и что они значат для инфраструктуры.

1. Binance: $6,3 млрд через ноутбук DevOps-инженера

29 октября с горячих кошельков Binance на десяти блокчейнах за 20 минут вывели около $6,3 млрд — крупнейшая кража в истории крипты (предыдущий рекорд — Bybit, около $1,5 млрд в 2025 году). По предварительным данным Binance, атака началась с компрометации ноутбука DevOps-инженера: через него атакующий попал в сервисный контейнер и отправил несанкционированные транзакции вывода. TRM Labs связывает атаку с северокорейской группой TraderTraitor. Почти $3 млрд заморожено, Binance обещает покрыть потери.

Что это значит для инфраструктуры. Взломали не криптографию и не периметр, а рабочее место человека с доступом к проду — как и в случае Bybit. Ноутбук администратора теперь главная цель, и защищать его нужно как сервер: аппаратный ключ вместо пароля и TOTP, короткоживущие токены вместо постоянных ключей, доступ к проду через бастион с записью сессий, а действия, которые двигают деньги или данные, — только с подтверждением второго человека.

2. CVE-2026-98432: удалённый root через TCP-стек Linux

Use-after-free в коде IPv4 TCP, затронуты ядра начиная с 4.4. Атакующий по сети без аутентификации может получить root. CVSS — 9,8 у разработчиков ядра и Ubuntu, 8,1 у Red Hat, Oracle и SUSE. Debian, Oracle Linux, SUSE и Amazon Linux 2023 уже выпустили исправления; Ubuntu 22.04–26.10 и RHEL 8–10 на 29 октября — без исправленного ядра. Эксплуатации в дикой природе нет. Эксплойт для уязвимости, по заявлению Anthropic, построила их неопубликованная модель Claude — удалённый root примерно за 50 минут.

Что это значит для инфраструктуры. Окно между публикацией уязвимости и рабочим эксплойтом сокращается: модели находят и эксплуатируют баги быстрее людей, и это доступно обеим сторонам. Выигрывает тот, у кого обновление ядра — рутина, а не проект: инвентарь хостов с версиями ядра, заранее согласованные окна перезагрузки, livepatch там, где перезагрузка дорогая. Пока исправления нет — закрыть файрволом всё, чему не нужен доступ из интернета (pro fix CVE-2026-98432 --dry-run на Ubuntu покажет, что затронуто). Отключение MPTCP сужает поверхность атаки, но не защищает: баг в общем коде IPv4 TCP.

3. eMudhra уходит с рынка TLS

17 октября исследователь сообщил о слабых ключах у восьми промежуточных CA eMudhra — с такими ключами можно было выпустить сертификат на любой домен. Chrome, Firefox и Apple заблокировали эти CA, 27 октября Chrome перестал доверять корню emSign ECC Root CA – G3, а компания уходит с глобального рынка TLS. Поддельных сертификатов от этих CA в логах Certificate Transparency не нашли.

Что это значит для инфраструктуры. Доверие к сертификату решают браузеры и ОС, и решают за часы. Сертификат может стать недействительным не по вашей вине: в ту же неделю GoDaddy массово отозвала около 404 тыс. сертификатов из-за несоответствия своей политике. Вывод один — перевыпуск должен быть автоматическим, через ACME, и с запасным CA: с марта 2026 года сертификат и так живёт не больше 200 дней. И отдельная ловушка на Mac: curl, git и openssl проверяют сертификаты по /etc/ssl/cert.pem и блокировку Apple не видят — до обновления macOS Apple советует убрать emSign ECC Root CA – G3 из этого файла вручную.

Источники