МИД РФ: статья Устава ООН о самообороне применима в киберпространстве

МИД РФ: статья Устава ООН о самообороне применима в киберпространстве

Ранее группа правительственных экспертов ООН по итогам трех раундов консультаций представила доклад, в котором согласовала предварительные нормы поведения государств в киберпространстве. В разработке документа принимали участие специалисты из 20 стран, включая РФ, США, КНР.

Крутских опроверг сообщения американских СМИ, что Россия и ряд других участников Группы правительственных экспертов ООН заблокировали идею США внести в доклад положение о том, что 51-я статья Устава ООН, гарантирующая государству право на самооборону в случае, если на него осуществлено вооруженное нападение, применима к киберпространству.

"О блокировании чьих-либо инициатив речь не шла. Был найден устроивший всех переговорщиков компромисс: в докладе сказано, что все статьи Устава ООН применимы к информационному пространству, что подразумевает и 51-ю статью", — сказал он в интервью газете "Коммерсант".

Спецпредставитель президента РФ пояснил, что "в 51-й статье Устава ООН речь идет о "вооруженном нападении", но сегодня в мире нет общего представления, что понимать под "вооруженным нападением" применительно к сфере использования ИКТ (информационно-коммуникационных технологий — ред.)".

"И если мы, не задумываясь, запишем, что 51-я статья Устава ООН применима к сфере ИКТ, то дадим сильным странам возможность использовать любую хакерскую атаку как повод к ответному применению силы, то есть к войне", — добавил Крутских.

Крутских сообщил, что "с учетом возникающих в этой связи рисков мы и целый ряд других стран и были против вычленения 51-й статьи". "В качестве компромисса мы согласились на констатацию того, что все положения Устава ООН применимы к киберпространству. При этом в докладе особо подчеркивается, что мировому сообществу нужно договориться о ключевых терминах и понятиях в сфере использования ИКТ. Это включает и такие понятия, как "вооруженное нападение", — подчеркнул он.

Критическая дыра в Elementor Pro позволяет захватывать WordPress-сайты

В плагине Elementor Pro для WordPress обнаружили критическую уязвимость CVE-2026-32475, позволяющую без аутентификации загрузить на сервер PHP-файл и выполнить произвольный код. Под угрозой находятся версии до 4.2.2. Проблема скрывается в модуле загрузки файлов.

Как выяснили специалисты Patchstack, проверка и сохранение вложений выполняются разными циклами, которые неодинаково реагируют на пустое имя файла.

Атакующий может отправить специально подготовленный запрос из нескольких частей. В первой будет файл без имени, а во второй — PHP-бэкдор. Проверка споткнётся о пустую запись и завершится, так и не добравшись до полезной нагрузки.

А обработчик загрузки, наоборот, пропустит пустышку и заботливо сохранит следующий файл в публичном каталоге wp-content/uploads/elementor/forms/.

После этого остаётся определить имя загруженного файла и открыть его по прямой ссылке. Сервер запустит PHP-код с правами веб-сервера, и сайт фактически перейдёт под управление атакующего.

Имя можно подобрать по времени создания, а в некоторых конфигурациях точный адрес файла способен утечь через письмо автоответчика.

Для атаки на сайте должна быть опубликована форма Elementor Pro с полем загрузки и включённой возможностью прикреплять несколько файлов. Эта настройка по умолчанию отключена. Бесплатная версия Elementor, насчитывающая более 10 млн установок, уязвимости не подвержена.

Разработчики закрыли брешь в Elementor Pro 4.2.2. Администраторам советуют немедленно обновить плагин и проверить каталог загрузок на PHP-файлы и другие незнакомые сюрпризы. Само обновление уже заброшенные бэкдоры не удалит.

Активных атак пока не зафиксировано. Но теперь, когда технические подробности опубликованы, они не заставят себя ждать.

RSS: Новости на портале Anti-Malware.ru