Глава Instagram* снова уверяет: Meta** не подслушивает вас через микрофон

Глава Instagram* снова уверяет: Meta** не подслушивает вас через микрофон

Глава Instagram* снова уверяет: Meta** не подслушивает вас через микрофон

Руководитель Instagram (принадлежит корпорации Meta, признанной экстремистской и запрещённой в России) Адам Моссери решил в очередной раз развеять старый миф о том, что корпорация якобы тайно «подслушивает» пользователей через микрофоны смартфонов для вывода точечной рекламы.

По словам Моссери, эта теория заговора не раз всплывала в разговорах с друзьями и даже в семье — его собственная жена тоже задавалась вопросом, не подслушивает ли компания их телефон.

«Это было бы грубым нарушением приватности, да и пользователи сами заметили бы: загорелся бы индикатор или быстрее бы садилась батарея», — объяснил он.

Ирония в том, что слова Моссери прозвучали на фоне новости: Meta собирается собирать ещё больше данных о пользователях. Теперь компания планирует использовать информацию из взаимодействий людей с её ИИ-сервисами для таргетинга рекламы.

Иными словами: если раньше Meta не нужно было включать микрофон, чтобы угадывать ваши интересы, то теперь у неё появятся ещё более мощные инструменты. Ведь общаясь с чат-ботами, люди раскрывают куда больше деталей о своих увлечениях, идеях и планах.

Meta уже много лет официально отрицает «подслушку». В 2016-м компания выпустила заявление, что не использует микрофоны для таргетинга. Позже Марк Цукерберг лично говорил об этом в Конгрессе США. Но подозрительно точная реклама продолжает порождать слухи и шутки о том, что Meta читает мысли.

Моссери же настаивает: никакого шпионажа, просто работающие алгоритмы, совпадения и психология. Иногда вы видите рекламу до того, как обсудили тему, но не фиксируете этого.

* принадлежит корпорации Meta, признанной экстремистской и запрещённой в России

** признанна экстремистской и запрещена в России

Критическая уязвимость в плагине WPvivid Backup затронула 900 000 сайтов

Уязвимость, выявленная в популярном WordPress-плагине для создания резервных копий, позволяет без аутентификации загрузить на сайт вредоносный код PHP и запустить его на исполнение. Патч включен в состав WPvivid Backup & Migration 0.9.124.

Уязвимости подвержены все прежние версии продукта. Ввиду высокой опасности и масштабности проблемы (на счету WPvivid Backup уже свыше 900 тыс. установок) пользователям настоятельно рекомендуется произвести обновление.

Правда, в блог-записи Wordfence сказано, что CVE-2026-1357 (9,8 балла CVSS) критична лишь для тех, у кого настройки плагина предусматривают обработку сгенерированным ключом — в обеспечение загрузки резервных копий с других сайтов. По умолчанию эта возможность отключена, а срок действия ключа ограничен 24 часами.

Согласно описанию, причин появления уязвимости две: неадекватная обработки ошибок при расшифровке по RSA и отсутствие санации пути при записи загруженных файлов.

Как оказалось, когда плагин тщетно пытался расшифровать сеансовый ключ, он не завершал выполнение, а передавал ложное значение $key в phpseclib для инициализации шифрования.

Криптобиблиотека воспринимала его как строку нулевых байтов, что открыло возможность для шифрования полезной нагрузки дефолтным, легко угадываемым 0-байтовым ключом.

 

Ситуацию усугубило отсутствие проверок типа файлов и их расширений в функции send_to_site(). Это провоцировало выход за пределы защищенного каталога резервных копий — загрузку на сервер произвольного PHP-кода с записью в публично доступные места с тем, чтобы он каждый раз отрабатывал в браузере.

Апдейт, устраняющий эти недостатки, вышел 28 января. Автор опасной находки получил 2145 долларов в рамках программы Wordfence Bug Bounty.

RSS: Новости на портале Anti-Malware.ru