Новый эксплойт для 0-day в Microsoft Office замечен в реальных атаках

Новый эксплойт для 0-day в Microsoft Office замечен в реальных атаках

Новый эксплойт для 0-day в Microsoft Office замечен в реальных атаках

Специалисты по кибербезопасности бьют тревогу по поводу уязвимости нулевого дня (0-day) в Microsoft Office, которая в ходе эксплуатации позволяет злоумышленникам выполнить код на компьютерах с Windows.

Об эксплойте стало известно после того, как команда исследователей “nao_sec“ наткнулась на документ Word под именем “05-2022-0438.doc“. Согласно доступной информации, на VirusTotal этот файл загрузили с белорусского IP-адреса.

«В документе используется внешняя ссылка для загрузки HTML, после чего задействуется схема “ms-msdt“ для выполнения кода PowerShell», — объясняют эксперты.

По словам Кевина Бомонта, который назвал уязвимость “Follina“, во вредоносном документе используется функция удалённого шаблона для отображения HTML-файла со стороннего сервера.

 

«Самая главная проблема — Microsoft Word выполняет этот код с помощью вспомогательного инструмента msdt, даже если пользователь отключил макросы», — пишет Бомонт.

Описанная уязвимость затрагивает несколько версий Microsoft Office, включая Office, Office 2016 и Office 2021.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

СУБД Postgres Pro сертифицирована ФСТЭК по стандарту ГОСТ Р 56939-2024

Российская компания Postgres Professional, разработчик отечественной СУБД Postgres Pro, получила сертификат ФСТЭК России на соответствие новому стандарту ГОСТ Р 56939-2024 «Разработка безопасного программного обеспечения. Общие требования». Документ был выдан 21 октября 2025 года.

Postgres Professional стала второй компанией в России, успешно прошедшей сертификацию РБПО по новому ГОСТу.

Как отметил генеральный директор компании Иван Панченко, безопасность изначально встроена в процессы разработки:

«Мы давно строим продукт так, чтобы защита была заложена с первых строк кода. Теперь это официально подтверждено сертификатом ФСТЭК России. Для нас и наших корпоративных клиентов это важный шаг».

Сертификация охватывает весь цикл безопасной разработки — от проектирования и анализа требований до тестирования, сборки и эксплуатации. Проверку проводил Институт системного программирования имени В. П. Иванникова РАН.

Наличие сертификата не только подтверждает высокий уровень зрелости процессов компании, но и упрощает внедрение Postgres Pro в инфраструктуру госорганов, объектов КИИ и бюджетных учреждений, где теперь могут требовать сертифицированные процессы разработки.

Панченко добавил, что сертификация — это «инвестиция в будущее»:

«Она позволит ускорить выпуск обновлений сертифицированных версий и сделать процессы более прозрачными для заказчиков».

Подготовка заняла больше года. В компании планируют продолжить развитие культуры безопасной разработки и обмен опытом с российским ИТ-сообществом.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru