Эксперт выложил эксплойт для второй 0-day в Chrome и Edge за неделю

Эксперт выложил эксплойт для второй 0-day в Chrome и Edge за неделю

Эксперт выложил эксплойт для второй 0-day в Chrome и Edge за неделю

Не успели разработчики устранить уязвимость нулевого дня в основанных на Chromium браузерах, в Twitter сразу слили PoC-эксплойт для второй 0-day. Таким образом, всего за одну неделю в Сети появилась информация о двух опасных дырах.

Код proof-of-concept опубликовала исследователь в области кибербезопасности, использующая псевдоним Frust и работающая в команде китайской компании Qihoo 360. Помимо упоминания бреши в Twitter, Frust опубликовала её технические подробности (на китайском языке).

Что особенно плохо — патча для этой уязвимости на данный момент не существует; это подтвердил Митя Колсек, сооснователь 0patch. То есть версии браузеров Google Chrome и Microsoft Edge, вышедшие на этой неделе, уязвимы перед 0-day. Боле того, брешь на сегодняшний день даже ещё не получила CVE-идентификатор.

Согласно описанию специалиста, уязвимость затрагивает движок JavaScript v8, который используют Chromium-браузеры. Разработчики самого Chromium достаточно оперативно поправили код, но проблема в том, что исправления пока не дошли до Google Chrome и Microsoft Edge.

 

Как отметил Колсек, раскрытая Frust брешь позволяет выполнить произвольный код в контексте процесса уязвимого браузера. Для успешной эксплуатации потенциальную жертву достаточно заманить на вредоносный сайт.

Однако эксперты подчеркнули, что уязвимость сработает только в том случае, если у пользователя отключена песочница интернет-обозревателя. Второй возможный вариант для злоумышленника — связать эту брешь с методом обхода песочницы.

Напомним, что ранее на этой неделе в Twitter опубликовали информацию об ещё одной 0-day в Chrome и Edge. Эту дыру, к счастью, уже залатали.

Украинец получил 5 лет за помощь КНДР во внедрении в компании США

Украинец получил пять лет тюрьмы за помощь северокорейским айтишникам, которые под чужими именами устраивались в американские компании. 39-летний Александр Диденко из Киева признал вину ещё в ноябре 2025 года, ему вменили кражу личных данных при отягчающих обстоятельствах и участие в мошенническом сговоре.

Задержали его в Польше в мае 2024-го. Теперь суд в США приговорил его к 60 месяцам лишения свободы и году надзора после освобождения.

Кроме того, Диденко согласился конфисковать более 1,4 млн долларов (наличными и в криптовалюте), изъятыми у него и его сообщников.

По версии (PDF) следствия, он похищал данные граждан США и продавал их через онлайн-платформу UpWorkSell (её впоследствии изъял Минюст США). Эти «цифровые личности» использовали зарубежные ИТ-специалисты, связанные с КНДР, чтобы устраиваться на удалённую работу в американские компании. В общей сложности речь идёт о 40 фирмах из Калифорнии и Пенсильвании.

Масштаб впечатляет: следствие говорит как минимум о 871 подставной личности и аккаунтах на трёх фриланс-платформах. Параллельно работала сеть так называемых «ферм ноутбуков» — в Вирджинии, Теннесси, Калифорнии, Флориде, Эквадоре, Польше и Украине. С их помощью создавалась иллюзия, что сотрудники физически находятся в США, хотя на деле работали из других стран.

Одной из таких «ферм» управляла 50-летняя Кристина Мари Чэпмен из Аризоны, прямо из собственного дома. Её обвинили в мае 2024 года, а в июле 2025-го она признала вину и позже получила 102 месяца тюрьмы.

В ФБР подчёркивают: речь идёт не просто о мошенничестве с трудоустройством. По словам представителя нью-йоркского офиса ФБР Джеймса Барнакла, схема не только открывала несанкционированный «чёрный ход» на рынок труда США, но и помогала финансировать режим страны-противника.

Американские власти предупреждают о подобных схемах как минимум с 2023 года. По данным ФБР, Северная Корея системно использует армию ИТ-специалистов, которые под украденными именами устраиваются в западные компании и переводят заработанные средства государству.

RSS: Новости на портале Anti-Malware.ru