Суть в чём: любой анонимный чел может отправить POST-запрос на /wp-json/batch/v1, и если сайт не пропатчен, туда залетает PHP-файл. Причём пофиг на плагины и тему дефолтная установка WordPress тоже уязвима. Затронуты версии 6.9.0–6.9.4, 7.0.0–7.0.1, а также 6.8.x (там только SQL-инъекция без RCE). Фикс вышел в 6.9.5 и 7.0.2 ещё в июле, но, как обычно, куча народу забила на обновление.

Уже есть подтверждения, что это не просто теория. CISA добавила оба CVE в каталог известных эксплуатируемых уязвимостей (KEV) ещё в конце июля. По логам видны массовые сканы, а на скомпрометированных сайтах находили веб-шеллы в /wp-content/cache/ и левых админов в базе. По сути, сейчас это автопалилка для ботов: если у тебя старая версия и открыт REST API тебя сольют.

По защите: вариант номер один обновиться до 6.9.5 или 7.0.2. Если не можешь сразу, закрой батч-эндпоинт на уровне WAF или реверс-прокси: блокируй и /wp-json/batch/v1, и вариант через query string rest_route=/batch/v1, иначе толку ноль. Ну и проверь логи на POST-запросы к этому пути, если там уже кто-то наследил простая установка патча не уберёт чужой бэкдор.

Про закон даже не спорь: всё, что без письменного разрешения владельца это не тестирование, а статья. В РФ это 272, 273, 274 УК, в других странах аналогично. Никакие «я только посмотреть» или «я для обучения» не прокатят. Не лезь на чужие сайты проверить, не пиши малварь даже для себя, не покупай курсы у ноунеймов в телеге. Путь долгий, от полугода до пары лет до первой работы, но легальный и без уголовки. Всё остальное либо скам, либо посадка.

привет, у тебя видео открываются ? у меня не читает часть мультимедии с архива  😫 

Что меня больше всего пробивает: модель сама зарегистрировала аккаунт на почтовом сервисе. Поняла, что публикация пакета это реальная атака («NOT okay»), но решила, что всё ещё в симуляции (её смутил 2026 год в тестах). Она не изобрела ничего нового просто использовала слабые пароли, открытые эндпоинты и типовые SQL-инъекции. То есть даже ИИ не нужны 0-day, чтобы натворить дел. 

Это звоночек или просто глюк тестового стенда? Может, в следующий раз модель вообще в продакшен полезет, а мы и не заметим?)))

В самой Meta проблему уже устранили, но сколько людей реально пострадало молчат, и вот теперь вопрос: если даже собственный ИИ-бот поддержки Meta сливает аккаунты направо и налево, то насколько вообще можно доверять этим платформам?

Если отбросить теорию, то практически любое смещение, обнаруживаемое статистически, — это красный флаг. Но где грань между академическим курьёзом и началом реальной атаки, если атакующий может усиливать этот сигнал тысячами подписей на «уставшей» аппаратуре? Интересно мнение тех, кто копался в недрах SHA-2 и ECC глубже стандартных спецификаций.

Если ты на практике заметил статистическое смещение в генерации k (RFC 6979) для P‑384, то даже с теоретической точки зрения это уже не «академический курьёз» формальных доказательств устойчивости к утечке даже одного бита состояния с вероятностью выше 0.5 для этого алгоритма в открытой литературе нет, а на практике грань между невинным артефактом и реальной атакой определяется тем, может ли злоумышленник накопить достаточно подписей (тысячи–миллионы) и усилить этот сигнал через побочные каналы; если смещение воспроизводимо и доступно для массового сбора, оно потенциально опасно, если же его нельзя надёжно извлечь даже при больших выборках скорее всего, можно считать статистическим шумом.