В macOS нашли критическую уязвимость в приложении Команды

В macOS нашли критическую уязвимость в приложении Команды

В macOS нашли критическую уязвимость в приложении Команды

В приложении Shortcuts («Команды»), которое предустановлено в macOS, нашли критически опасную уязвимость. С её помощью злоумышленник мог бы получить полный контроль над компьютером: читать, менять или удалять любые файлы.

Если заражённый ноутбук был подключён к корпоративной сети, это могло бы обернуться проникновением во внутреннюю инфраструктуру компании.

Уязвимость получила идентификатор BDU:2025-02497 и очень высокий балл по шкале опасности CVSS — 9,8 из 10. Проблему обнаружил Егор Филатов из Positive Technologies в версии Shortcuts 7.0 (2607.1.3).

Apple уже выпустила патч. Чтобы обезопасить себя, пользователям рекомендуют обновиться до macOS Sequoia 15.5 или новее. Тем, кто не может установить апдейт, стоит быть особенно осторожными: тщательно проверять загруженные команды или вообще отказаться от их использования.

Напомним, что «Команды» появились в macOS ещё в 2021 году. С помощью этого приложения можно автоматизировать действия — например, включать музыку, запускать таймер или превращать текст в аудио.

Кроме того, в нём есть библиотека готовых макросов, которые можно скачивать из интернета. И вот как раз через такие макросы атакующие и могли воспользоваться уязвимостью — жертве было бы достаточно запустить заражённый шаблон.

До того как проблему исправили, уязвимость позволяла обойти встроенные механизмы защиты macOS и выполнить произвольный код — то есть, по сути, полностью управлять системой.

Что могло случиться в случае атаки:

  • кража или удаление личных данных;
  • запуск вредоносных программ;
  • установка бэкдоров (чтобы сохранить доступ к системе даже после обновлений);
  • заражение шифровальщиком;
  • сбои в работе компании, если был скомпрометирован рабочий компьютер.

Эксперты также отмечают, что определять подобные уязвимости всё сложнее, особенно если речь идёт о приложениях с автоматизированными сценариями. Поэтому главное правило — осторожность при загрузке и запуске неизвестных файлов, даже если это просто «удобная команда для быстроты».

Карты с бензином под подозрением: Минэнерго заявило о риске сбора данных

Минэнерго России призвало автомобилистов осторожнее относиться к сайтам и сервисам, которые показывают наличие топлива на заправках. В ведомстве считают, что такие площадки могут быть опасны из-за возможного незаконного сбора персональных данных.

По данным министерства, с конца июня 2026 года резко выросла активность интернет-ресурсов, где пользователям предлагают смотреть, на каких АЗС есть бензин или другое топливо. Информация на таких сервисах якобы добавляется самими автомобилистами.

Но в Минэнерго настроены скептически. Ведомство заявило, что анализ опубликованных данных указывает на их недостоверность. Кроме того, специалисты заметили манипуляции сведениями о наличии топлива на заправках.

Проще говоря, если сервис показывает, что где-то точно есть бензин, это еще не значит, что он там действительно есть. Зато риск оставить свои данные на сомнительной площадке вполне реальный.

Предупреждение появилось на фоне сообщений СМИ о быстром росте популярности подобных проектов. Один из них — сервис «ГдеБенз» — якобы собрал около 2 млн посетителей всего за три дня.

При этом сам сервис утверждает, что не требует регистрации, не просит скачивать приложения и не собирает пользовательские данные.

Тем не менее Минэнерго советует не доверять таким ресурсам безоговорочно. Ведомство указывает, что информация о наличии топлива может быть неточной, а сами площадки — использовать интерес автомобилистов для сбора данных или распространения недостоверных сведений.

На днях мы также сообщали о новом зловреде для Android, который маскируется под видом сервиса поиска топлива.

RSS: Новости на портале Anti-Malware.ru