Коли Apple випустила macOS 26 Tahoe 15 вересня 2025 року, користувачі очікували на чергову еволюцію улюбленої операційної системи. Проте вже через три тижні після релізу стає зрозуміло: цей запуск виявився одним із найпроблемніших за останні роки.

Проблеми з встановленням та оновленням

Перші проблеми почалися ще на етапі встановлення. Власники Mac Studio з процесором M3 Ultra зіткнулися з критичним багом, який повністю блокує можливість оновлення до Tahoe. За даними MacRumors, інсталятор завантажує драйвер для Apple Neural Engine, але потім перевірка обладнання провалюється і процес установки аварійно завершується.

Інші користувачі скаржаться на проблеми з нестачею вільного місця та зависання під час підготовки оновлення. Деякі додатки, такі як Adobe та OBS Studio, взагалі відмовляються запускатися після апгрейду системи.

Нестабільна робота додатків

Сумісність програмного забезпечення стала справжнім головним болем. На форумах Apple Community користувачі повідомляють про випадкові збої та дивну поведінку програм. Firefox раптово втрачає збережені автозаповнення, Linear Mouse відмовляється запускатися навіть при ручному запуску, а деякі вікна браузерів стають повністю недоступними.

Додаток Preview несподівано вилітає при використанні, а нова заміна Launchpad — додаток Apps — не показує всі встановлені програми. Spotlight тепер часто повертає лише результати веб-пошуку, ігноруючи локальні файли.

Liquid Glass: краса чи каламутність?

Новий дизайн Liquid Glass, який Apple позиціонує як революційний, викликав неоднозначну реакцію. Прозорі панелі та ефекти заломлення світла виглядають вражаюче на маркетингових матеріалах, але в реальному використанні створюють проблеми з читабельністю та навігацією.

На форумі Apple Community один користувач зазначає численні проблеми з дизайном та інтерфейсом, включно з некоректним відображенням елементів та складністю орієнтації в оновленому середовищі.

Прощавай, FireWire та інші технології

Apple офіційно поховала підтримку FireWire у Tahoe, що стало неприємною несподіванкою для користувачів професійного обладнання. Хоча технологія застаріла, багато студій звукозапису та відеомонтажу все ще покладаються на пристрої з цим інтерфейсом.

Підтримка AFS теж йде в минуле — хоч і не відразу, а в наступній версії, але попередження вже прозвучало.

Time Machine та проблеми з резервним копіюванням

Користувачі повідомляють про серйозні проблеми з Time Machine. Зовнішні диски для резервного копіювання, які ідеально працювали в macOS Sequoia, тепер не відображаються у Finder після оновлення до Tahoe. При цьому diskutil підтверджує, що диски присутні та не пошкоджені.

Батарея та продуктивність

Як і після багатьох великих оновлень, користувачі скаржаться на погіршення часу автономної роботи та тимчасові просідання продуктивності. Поки незрозуміло, чи це стандартна поведінка після індексування системи, чи справжні баги macOS Tahoe.

Чому експерти радять зачекати

Технічний блог OSXDaily прямо заявляє про рішення відкласти оновлення до виходу перших патчів. Автор зазначає, що хоча деякі скарги можуть бути типовими для будь-якого великого оновлення, кількість та серйозність проблем у Tahoe перевищує звичайний рівень.

На форумі MacRumors користувачі називають це “найбагатішим на баги оновленням macOS за весь час”, порівнюючи з легендарно проблемними Mac OS 8 та OS X Lion.

Що робить Apple?

Apple випустила перше оновлення, яке виправило критичний баг з Mac Studio M3 Ultra, але більшість фундаментальних проблем залишаються невирішеними. Компанія продовжує збирати звіти про помилки через офіційні канали та форуми.

Рекомендації

Якщо ваш Mac зараз працює стабільно на попередній версії системи — краще зачекайте з оновленням до виходу macOS Tahoe 26.1 або навіть 26.2. Для тих, хто вже встановив систему і зіткнувся з проблемами, існує можливість відкату до попередньої версії через Time Machine.

macOS Tahoe нагадує, що навіть Apple не застрахована від поспішних релізів. Амбітний редизайн та нові функції виявилися недостатньо протестованими, а користувачі змушені виконувати роль бета-тестерів. Залишається сподіватися, що наступні оновлення виправлять ситуацію та Tahoe стане такою системою, якою мала бути з самого початку.

Ця стаття macOS Tahoe: що з нею не так? раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Програмне забезпечення керує критичною інфраструктурою — від банківських систем до ядерних об’єктів, отже питання безпеки коду стає надважливим. Кожен рік кіберзлочинці завдають мільярдних збитків, експлуатуючи вразливості, які часто виникають через прості помилки програмування.

Ця стаття розглядає найбільш критичні помилки, які роблять розробники, створюючи потенційні “чорні ходи” для хакерів. Розуміння цих помилок — перший крок до написання безпечного коду.

1. SQL-ін’єкції: коли база даних стає зброєю проти вас

SQL-ін’єкція залишається однією з найпоширеніших та найнебезпечніших вразливостей. Вона виникає, коли програма формує SQL-запити, безпосередньо підставляючи в них дані від користувача без належної перевірки.

Як це працює

Уявіть просту форму входу, де програма перевіряє логін та пароль таким чином:

SELECT * FROM users WHERE username = '$username' AND password = '$password'

Якщо зловмисник введе як ім’я користувача рядок admin' --, запит перетвориться на:

SELECT * FROM users WHERE username = 'admin' --' AND password = ''

Символи -- в SQL означають початок коментаря, тому перевірка пароля просто ігнорується. Атакуючий отримує доступ до облікового запису адміністратора без знання пароля.

Наслідки

SQL-ін’єкції можуть призвести до:

• Крадіжки всієї бази даних
• Видалення критичних даних
• Модифікації записів (наприклад, зміни балансів рахунків)
• Отримання повного контролю над сервером бази даних

Як запобігти

Головне правило — ніколи не довіряйте даним від користувача. Використовуйте параметризовані запити або підготовлені вирази (prepared statements), які розділяють SQL-код від даних:

# Правильно
cursor.execute("SELECT * FROM users WHERE username = ? AND password = ?", (username, password))

# Неправильно
cursor.execute(f"SELECT * FROM users WHERE username = '{username}' AND password = '{password}'")

2. Переповнення буфера: коли пам’ять виходить з-під контролю

Переповнення буфера — це класична вразливість, особливо характерна для мов програмування низького рівня, таких як C та C++. Вона виникає, коли програма записує дані за межі виділеного буфера пам’яті.

Механізм експлуатації

Коли програма виділяє буфер фіксованого розміру, але не перевіряє розмір даних, що записуються:

char buffer[10];
strcpy(buffer, user_input); // Небезпечно!

Якщо user_input містить більше 10 символів, зайві дані перезапишуть сусідні ділянки пам’яті. Це може включати адреси повернення функцій, що дозволяє атакуючому перенаправити виконання програми на свій код.

Чому це критично

Переповнення буфера може дозволити:

• Виконання довільного коду з правами програми
• Обхід механізмів аутентифікації
• Крах програми (DoS-атака)
• Ескалацію привілеїв до рівня системного адміністратора

Методи захисту

Використовуйте безпечні функції, які враховують розмір буфера:

// Замість strcpy використовуйте strncpy
strncpy(buffer, user_input, sizeof(buffer) - 1);
buffer[sizeof(buffer) - 1] = '\0';

// Або ще краще - безпечні функції з перевіркою меж
strlcpy(buffer, user_input, sizeof(buffer));

Також важливо використовувати сучасні механізми захисту на рівні компілятора та операційної системи: DEP (Data Execution Prevention), ASLR (Address Space Layout Randomization), та canary values.

3. Cross-Site Scripting (XSS): коли браузер стає ворогом

XSS-атаки дозволяють зловмисникам впроваджувати JavaScript-код на веб-сторінки, які переглядають інші користувачі. Це одна з найпоширеніших вразливостей веб-додатків.

Види XSS

Reflected XSS: зловмисний скрипт передається через URL або форму і одразу виконується:

<!-- Вразливий код -->
<p>Результати пошуку для: <?php echo $_GET['search']; ?></p>

<!-- Атака через URL -->
site.com/search?q=<script>steal_cookies()</script>

Stored XSS: зловмисний код зберігається на сервері (наприклад, у коментарях) і виконується кожного разу, коли хтось переглядає сторінку.

DOM-based XSS: атака відбувається повністю на стороні клієнта через маніпуляції з DOM.

Потенційна шкода

XSS може призвести до:

• Крадіжки сесійних cookies та викрадення облікових записів
• Фішингових атак від імені довіреного сайту
• Встановлення кейлогерів для крадіжки паролів
• Поширення хробаків через соціальні мережі

Захист від XSS

Основний принцип — екранування всіх даних перед виведенням:

// Функція для безпечного виведення тексту
function escapeHtml(text) {
    const map = {
        '&': '&',
        '<': '&lt;',
        '>': '&gt;',
        '"': '&quot;',
        "'": '&#039;'
    };
    return text.replace(/[&<>"']/g, m => map[m]);
}

// Використання
document.getElementById('output').textContent = userInput; // Безпечно
// АБО
document.getElementById('output').innerHTML = escapeHtml(userInput);

Також важливо використовувати Content Security Policy (CSP) заголовки для обмеження виконання скриптів.

4. Небезпечна десеріалізація: коли дані стають кодом

Десеріалізація — це процес перетворення даних (наприклад, JSON, XML, бінарних форматів) назад в об’єкти програми. Небезпечна десеріалізація виникає, коли програма десеріалізує дані з ненадійних джерел без належної перевірки.

Приклад атаки

У багатьох мовах програмування (Java, Python, PHP) десеріалізація може викликати виконання коду:

import pickle
# НІКОЛИ не робіть так з даними від користувача!
user_data = request.get_data()
obj = pickle.loads(user_data)  # Небезпечно!

Атакуючий може створити спеціально сформований об’єкт, який при десеріалізації виконає довільний код.

Масштаб проблеми

Небезпечна десеріалізація може дозволити:

• Віддалене виконання коду (RCE)
• Повний контроль над сервером
• Обхід логіки додатку
• DoS-атаки через створення ресурсомістких об’єктів

Рекомендації щодо захисту

Найкращий захист — уникати десеріалізації даних від користувачів. Якщо це неможливо:

# Використовуйте безпечні формати даних
import json
user_data = request.get_json()  # JSON безпечніший за pickle

# Валідуйте структуру даних
schema = {
    "type": "object",
    "properties": {
        "name": {"type": "string"},
        "age": {"type": "number"}
    }
}
validate(user_data, schema)

5. Облікові дані зашиті в код: відкриті двері для атакуючих

Зберігання паролів, API-ключів та інших секретів прямо в коді — це як залишити ключі під килимком. Це одна з найпростіших для виявлення, але досі дуже поширена помилка.

Чому це проблема

# НІКОЛИ не робіть так!
DATABASE_PASSWORD = "SuperSecret123"
API_KEY = "sk-1234567890abcdef"

def connect_to_database():
    return psycopg2.connect(
        host="db.example.com",
        password=DATABASE_PASSWORD
    )

Проблеми:

• Секрети потрапляють у систему контролю версій (Git)
• Будь-хто з доступом до коду отримує доступ до ресурсів
• Неможливо змінити паролі без зміни коду
• Складно використовувати різні облікові дані для різних середовищ

Наслідки витоку

Жорстко закодовані секрети можуть призвести до:

• Несанкціонованого доступу до баз даних
• Використання платних API за ваш рахунок
• Компрометації всієї інфраструктури
• Витоку конфіденційних даних клієнтів

Правильний підхід

Використовуйте змінні середовища або спеціалізовані сервіси управління секретами:

import os
from dotenv import load_dotenv

# Завантаження з файлу .env (не комітіть його!)
load_dotenv()

DATABASE_PASSWORD = os.environ.get('DATABASE_PASSWORD')
API_KEY = os.environ.get('API_KEY')

# Або використовуйте сервіси управління секретами
# AWS Secrets Manager, HashiCorp Vault, Azure Key Vault

6. Відсутність перевірки та валідації вхідних даних

“Ніколи не довіряйте даним від користувача” — це мантра безпечного програмування. Відсутність належної валідації вхідних даних є коренем багатьох вразливостей.

Типові помилки

// Поганий приклад
app.post('/transfer', (req, res) => {
    const amount = req.body.amount;
    const toAccount = req.body.toAccount;
    
    // Прямо використовуємо дані без перевірки
    transferMoney(amount, toAccount);
});

Проблеми:

• Що якщо amount = -1000? (негативний переказ = крадіжка)
• Що якщо amount = “not_a_number”?
• Що якщо toAccount не існує або має неправильний формат?

Комплексний підхід до валідації

// Правильний підхід
app.post('/transfer', (req, res) => {
    const amount = parseFloat(req.body.amount);
    const toAccount = req.body.toAccount;
    
    // Валідація типу та діапазону
    if (isNaN(amount) || amount <= 0 || amount > 10000) {
        return res.status(400).json({error: "Invalid amount"});
    }
    
    // Валідація формату
    if (!/^\d{10}$/.test(toAccount)) {
        return res.status(400).json({error: "Invalid account number"});
    }
    
    // Додаткова бізнес-логіка
    if (amount > getUserBalance(req.user)) {
        return res.status(400).json({error: "Insufficient funds"});
    }
    
    transferMoney(amount, toAccount);
});

Принципи безпечної валідації

Завжди перевіряйте:

• Тип даних (число, рядок, масив)
• Діапазон значень (мінімум, максимум)
• Формат (регулярні вирази для email, телефонів)
• Довжину рядків
• Наявність обов’язкових полів
• Бізнес-правила (чи має користувач право на цю операцію)

7. Небезпечне використання криптографії

Криптографія — це складно. Навіть досвідчені розробники часто роблять помилки, які повністю нівелюють захист.

Типові помилки

Використання слабких алгоритмів:

import hashlib
# НЕ використовуйте MD5 або SHA1 для паролів!
password_hash = hashlib.md5(password.encode()).hexdigest()

Власні криптографічні рішення:

# НІКОЛИ не придумуйте власну криптографію!
def my_encrypt(text):
    return ''.join(chr(ord(c) + 3) for c in text)  # Це НЕ шифрування!

Неправильне зберігання паролів:

# Погано - просте хешування
password_hash = hashlib.sha256(password.encode()).hexdigest()

# Добре - з сіллю та повільним алгоритмом
import bcrypt
password_hash = bcrypt.hashpw(password.encode(), bcrypt.gensalt())

Наслідки поганої криптографії

• Паролі можуть бути зламані за лічені хвилини
• “Зашифровані” дані легко розшифровуються
• Підробка цифрових підписів
• Man-in-the-middle атаки

Правильний підхід

# Для паролів використовуйте bcrypt, scrypt або Argon2
import bcrypt

def hash_password(password):
    return bcrypt.hashpw(password.encode(), bcrypt.gensalt(rounds=12))

def verify_password(password, hash):
    return bcrypt.checkpw(password.encode(), hash)

# Для шифрування використовуйте перевірені бібліотеки
from cryptography.fernet import Fernet

key = Fernet.generate_key()
cipher = Fernet(key)
encrypted = cipher.encrypt(data.encode())
decrypted = cipher.decrypt(encrypted).decode()

8. Проблеми з аутентифікацією та управлінням сесіями

Навіть якщо ви правильно перевіряєте паролі, помилки в управлінні сесіями можуть звести нанівець всі зусилля з безпеки.

Поширені вразливості

Передбачувані токени сесій:

# Погано - передбачуваний ID
session_id = str(user_id) + str(int(time.time()))

# Добре - криптографічно стійкий випадковий токен
import secrets
session_id = secrets.token_urlsafe(32)

Відсутність таймаутів:

# Сесії повинні мати обмежений термін дії
SESSION_TIMEOUT = 3600  # 1 година
if time.time() - session['created_at'] > SESSION_TIMEOUT:
    invalidate_session(session_id)

Незахищена передача:

• Використання HTTP замість HTTPS
• Відсутність флагів Secure та HttpOnly для cookies
• Передача токенів у URL

Комплексний захист сесій

# Правильне налаштування cookies
response.set_cookie(
    'session_id',
    session_token,
    secure=True,        # Тільки через HTTPS
    httponly=True,      # Недоступний для JavaScript
    samesite='Strict',  # Захист від CSRF
    max_age=3600        # Термін дії
)

# Регенерація ID сесії після входу
def login_user(username, password):
    if verify_credentials(username, password):
        # Створюємо нову сесію для запобігання session fixation
        old_session_data = get_session_data()
        invalidate_current_session()
        new_session_id = create_new_session()
        restore_session_data(new_session_id, old_session_data)

9. Race Conditions: коли час має значення

Race conditions виникають, коли результат виконання програми залежить від порядку або часу виконання операцій. У багатопоточних або розподілених системах це може призвести до серйозних проблем безпеки.

Класичний приклад

# Вразливий код для зняття грошей
def withdraw(amount):
    balance = get_balance()
    if balance >= amount:
        # Між перевіркою та оновленням може пройти час!
        time.sleep(0.1)  # Імітація затримки
        new_balance = balance - amount
        update_balance(new_balance)
        return True
    return False

Якщо два запити прийдуть одночасно, обидва можуть пройти перевірку до того, як баланс буде оновлений, дозволяючи зняти більше грошей, ніж є на рахунку.

Експлуатація в реальному світі

Race conditions можуть дозволити:

• Подвійне використання промокодів або купонів
• Перевищення лімітів (наприклад, кількості спроб входу)
• Обхід перевірок безпеки
• Дублювання транзакцій

Методи захисту

import threading

# Використання блокувань
balance_lock = threading.Lock()

def withdraw_safe(amount):
    with balance_lock:
        balance = get_balance()
        if balance >= amount:
            new_balance = balance - amount
            update_balance(new_balance)
            return True
    return False

# Або використання транзакцій бази даних
def withdraw_atomic(amount):
    with database.transaction():
        # База даних гарантує атомарність
        cursor.execute("""
            UPDATE accounts 
            SET balance = balance - %s 
            WHERE id = %s AND balance >= %s
        """, (amount, account_id, amount))
        return cursor.rowcount > 0

10. Недостатнє логування та моніторинг

Відсутність належного логування — це як керувати автомобілем із зав’язаними очима. Ви не знаєте, що відбувається, поки не станеться катастрофа.

Чому це критично

Без логування ви не можете:

• Виявити атаки в реальному часі
• Розслідувати інциденти
• Зрозуміти масштаб компрометації
• Довести факт атаки для правоохоронних органів

Що потрібно логувати

import logging
from datetime import datetime

# Налаштування логування
logging.basicConfig(
    level=logging.INFO,
    format='%(asctime)s - %(name)s - %(levelname)s - %(message)s',
    handlers=[
        logging.FileHandler('security.log'),
        logging.StreamHandler()
    ]
)

security_logger = logging.getLogger('security')

# Логування спроб аутентифікації
def login(username, password, ip_address):
    if verify_credentials(username, password):
        security_logger.info(f"Successful login: user={username}, ip={ip_address}")
        return create_session(username)
    else:
        security_logger.warning(f"Failed login attempt: user={username}, ip={ip_address}")
        # Додаткова логіка для виявлення брутфорсу
        check_brute_force(username, ip_address)
        return None

# Логування критичних операцій
def delete_user_data(user_id, admin_id):
    security_logger.critical(
        f"Data deletion: target_user={user_id}, admin={admin_id}, "
        f"timestamp={datetime.utcnow().isoformat()}"
    )
    # Виконання операції

Що НЕ логувати

Ніколи не записуйте в логи:

• Паролі (навіть хешовані)
• Номери кредитних карток
• Персональні дані без необхідності
• Токени доступу та API-ключі

Моніторинг та алерти

# Автоматичне виявлення аномалій
def check_suspicious_activity(user_id):
    recent_actions = get_user_actions(user_id, last_hour=1)
    
    if len(recent_actions) > 100:
        alert_security_team(f"Unusual activity: {len(recent_actions)} actions in 1 hour")
    
    failed_logins = count_failed_logins(user_id, last_minutes=10)
    if failed_logins > 5:
        temporary_block_user(user_id)
        alert_security_team(f"Possible brute force attack on user {user_id}")

Висновки та рекомендації

Безпека програмного забезпечення — це не одноразова дія, а постійний процес. Кожна з розглянутих помилок може стати критичною вразливістю, але знання про них — це перший крок до створення безпечного коду.

Ключові принципи безпечного програмування:

1. Принцип найменших привілеїв: надавайте мінімально необхідні права доступу
2. Захист в глибину: використовуйте кілька рівнів захисту
3. Fail securely: у разі помилки система повинна залишатися в безпечному стані
4. Не довіряйте нікому: перевіряйте всі вхідні дані
5. Простота: складний код важче захистити

План дій для розробників:

1. Проведіть аудит існуючого коду на наявність описаних вразливостей
2. Впровадьте автоматизовані інструменти перевірки безпеки (SAST, DAST)
3. Організуйте регулярне навчання команди з питань безпеки
4. Включіть тестування безпеки в процес розробки (DevSecOps)
5. Створіть та дотримуйтесь coding standards з урахуванням безпеки

Пам’ятайте: безпека — це не витрата, а інвестиція. Вартість усунення вразливості зростає експоненційно з часом її існування. Краще запобігти проблемі на етапі написання коду, ніж виправляти наслідки злому.

Безпечний код — це не просто технічна вимога, це відповідальність перед користувачами, які довіряють нам свої дані та своє цифрове життя.

Ця стаття ТОП-10 найбільш небезпечних помилок програмування раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Експерти відібрали 75 додатків з топ-100 найбільш завантажуваних в категоріях “спосіб життя” і “Соціальні мережі” для користувачів 17+.

Apple недавно зробила кроки для боротьби з наругою над дітьми та пошуку фотографій із зображенням дитячої порнографії на iPhone. Однак, як показало нове дослідження Tech Transparency Project (TTP), у самого магазину додатків Apple App Store є проблеми із забезпеченням безпеки дітей.

Експерти відібрали 75 додатків з топ-100 найбільш завантажуваних в категоріях “спосіб життя” і “Соціальні мережі” для користувачів 17+. Далі вони перевірили в кожному додатку можливість реєстрації малолітніх дітей через Apple ID і обліковий запис Facebook, а в разі, коли реєстрація дитини через Apple ID і Facebook була неможлива, – за допомогою електронної адреси та номера телефону. Потім дослідники вивчили ці додатки в пошуках інших загроз безпеці малолітніх користувачів. Для чистоти експерименту механізми батьківського контролю не були ввімкнені (в iPhone вони відключені за замовчуванням).

Як виявилося, в більшості випадків малолітні користувачі можуть без зусиль обійти обмеження за віком.

Особливе побоювання викликають:

Додатки для знайомств (зокрема, UberHoney), що відкривають порноматеріали до того, як запитати вік користувача;

Наповнені еротичними зображеннями чати “для дорослих” (Anonymous, Hippo – Random Live Video Chat), які ніколи не питають вік користувача;

Додатки online-казино, які дозволяли неповнолітнім реєструватися, робити депозити і виводити гроші.

37 вивчених додатків допускали реєстрацію дітей в віці 14 років і молодше за допомогою Apple ID, хоча Apple знала, що ідентифікатор був зареєстрований на неповнолітнього. Якщо додатки запитували вік користувача, неповнолітній міг просто ввести 18, і знову ж таки, Apple не перешкоджала цьому. Серед додатків були HOO – Adult Hook Up & Friend Finder, Hahanono – Chat&Get Naughty і Tinder.

Дослідники також відзначили, що в низці випадків Apple дозволяла показ реклами більше 17 додатків казино в тестовому обліковому записі неповнолітнього, в тому числі в грі “Тетріс”, яка не є додатком до вікових обмежень.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

Чому три випадкових слова – це найкращий пароль? ІНСТРУКЦІЯ

Як не стати жертвою програм-вимагачів? ПОРАДИ

Якими будуть нові смартфони Galaxy Z Fold 3 та Z Flip 3? ОГЛЯД

Як уникнути шахрайських схем із використанням deepfake-відео? ПОРАДИ

Навіщо інші антивіруси, якщо у Вас є Windows Defender? ПОРАДИ

Як налаштувати режим “Не турбувати” на телефонах Samsung Galaxy? – ІНСТРУКЦІЯ

Нагадаємо, ізраїльський виробник рішень для верифікації та забезпечення прозорості в мобільних та online-екосистемах GeoEdge повідомив про виявлення першої у світі кібератаки на домашні IoT-пристрої з використанням шкідливої реклами.

Також баг на офіційному сайті виробника автомобілів Ford Motor відкривав конфіденційні дані, доступ до яких міг отримати будь-який хакер. Серед інформації були бази даних клієнтів, відомості про співробітників тощо.

Окрім цього, американська трубопровідна компанія Colonial Pipeline виплатила 4,4 мільйона доларів хакерам, які викрали особисті дані майже 6 тисячам нинішніх та колишніх працівників компанії. Colonial Pipeline була вимушена сплатити викуп через ймовірність загрози газової кризи.

І майже анекдотична ситуація трапилася із розробником шкідливих програм, який розпочав їх тестування у своїй системі, щоб випробувати нові функції, а згодом дані потрапили на розвідувальну платформу хакерів. Мова йде про розробника Raccoon – трояна-викрадача інформації, який може збирати дані з десятків програм.

Ця стаття В App Store є купа додатків для дорослих, які дозволяють реєструватися в них дітям раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Спеціаліст Trustwave SpiderLabs виявив спосіб, що дозволяє користувачам Telegram для Mac назавжди зберігати повідомлення, які повинні самі знищуватися і переглядати їх без відома відправника.

Для забезпечення більшої конфіденційності користувачів в месенджері Telegram передбачена можливість створювати свої власні приватні бесіди з додатковими функціями приватності. Коли користувач спілкується в закритому чаті з іншим користувачем, трафік між ними захищений за допомогою наскрізного шифрування, а всі повідомлення, вкладення і медіафайли стають такими, які повинні самі знищуватися і через деякий час видаляються з усіх пристроїв автоматично. Однак виявлена ​​експертом уразливість дозволяє зберігати ці повідомлення і вкладення.

Медіафайли та інші вкладення зберігаються в папці кеша, що знаходиться в директорії /Users/Admin/Library/Group Containers/  XXXXXXX.ru.keepcoder.Telegram/appstore  account-1271742300XXXXXX/postbox/media, де XXXXXX – унікальний номер облікової записи.

Telegram не завантажує вкладені в повідомлення файли (текстові документи text, doc, і pdf, аудіо- та відеофайли), поки абонент не спробує їх відкрити. Швидше за все, це пов’язано з великим розміром документів.

Коли одержувач читає повідомлення або переглядає вкладення, запускається таймер самознищення, і коли користувач перестає читати, контент автоматично видаляється. Проте, спеціаліст виявив, що файли не видаляються з папки кешу, і користувачі можуть зберегти їх звідти в будь-яке місце на жорсткому диску.

Дослідник в належному порядку повідомив Telegram про уразливість, і вона була виправлена ​​у версії Telegram для macOS 7.7 (215786) та пізніших. Однак є ще один баг, що дозволяє зберігати такі повідомлення.

Коли голосові і відеоповідомлення, зображення або геолокація автоматично завантажуються в кеш, користувач може просто скопіювати їх з папки кешу до того, як відкриє в самому Telegram. Крім того, одержувач може прочитати повідомлення в кеші, не відкриваючи в месенджері. В такому випадку відправник не буде знати, що користувач вже прочитав повідомлення.

Як повідомили представники Telegram, другу уразливість виправити неможливо, оскільки немає ніякої можливості захистити папку додатки від безпосереднього доступу. Однак дослідник не згоден з цим. На його думку, Telegram може виправити помилку, обробляючи всі медіа так само, як вкладення, і не завантажувати їх в локальну файлову систему, поки вони не будуть відкриті.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

В Україні користувачів Android та iOS атакує небезпечне шкідливе ПЗ

Як перевірити шкідливий чи безпечний сайт? – ПОРАДИ

Як змусити AirPods повідомляти про дзвінки та сповіщення на iPhone? – ІНСТРУКЦІЯ

Як перевірити, які програми на iPhone Ви використовуєте найчастіше? – ІНСТРУКЦІЯ

До речі, користувачі ніколи не зможуть встановити Windows 11 на несумісні пристрої. Групова політика не дозволить Вам обійти обмеження апаратного забезпечення для установки Windows 11.

Apple має намір додати підтримку системи розпізнавання осіб Face ID на комп’ютери Mac протягом наступних двох років. Про це повідомив оглядач Bloomberg.

Зловмисники все частіше використовують безкоштовний месенджер Discord як канал для поширення шкідливих програм.

Окрім цього, стало відомо про великий витік даних учасників Clubhouse. Провідний експерт з кібербезпеки Джіт Джайн повідомив, що повна база телефонних номерів Clubhouse виставлена ​​на продаж в Darknet.

Також стало відомо, що операційна система Windows 11, яка ще офіційно не вийшла, але вже доступна для скачування і попереднього знайомства, використовується зловмисниками, які намагаються підсунути користувачеві шкідливе ПЗ під виглядом нової ОС.

Ця стаття В Telegram для Mac є баг, що дозволяє назавжди зберігати повідомлення, які повинні самі знищуватися раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Microsoft офіційно анонсувала Windows 11 в якості наступника Windows 10, і ця нова операційна система пропонує величезні поліпшення для всіх. Раніше Microsoft опублікувала новий інструмент PC Health Check, щоб допомогти користувачам підготувати свої пристрої до роботи з новою ОС.

Відповідно до інформації від користувачів і читачів Cybercalm, засіб перевірки працездатності ПК із Windows 11 неправильно працює і просто повертає повідомлення про помилку “Запуск Windows 11 на цьому комп’ютері неможливий” без будь-якого належного пояснення.

Помилка спостерігалася і на високопродуктивних комп’ютерах, і система перевірки працездатності ПК не повідомляла користувачам причини, за якими їх комп’ютери не відповідають вимогам Windows 11.

Ми також перевіряли PC Health Check. Параметри ноутбука були такими:

Інформація була невтішною: “Запуск Windows 11 на цьому комп’ютері неможливий”.

Також були повідомлення про те, що:

“Якщо Ви отримуєте повідомлення про те, що ваш ПК не може запустити Windows 11, є велика ймовірність, що це пов’язано з безпечним завантаженням або модулем надійної платформи (TPM). Це функції безпеки, які можуть спричинити, що програма Health Check бачить Ваш ПК небезпечним і, отже, несумісним з Windows 11”.

Потому з’явилися інформація:

Тепер програма перевірки працездатності ПК була оновлена, і вона може сказати Вам причину, по якій Ваш пристрій не підтримує для Windows 11. Засіб перевірки працездатності ПК версії 2.3 містить нові спливаючі вікна, які допомагають користувачам визначити основну причину проблем сумісності і їх обхідні шляхи.

“Ми тільки що оновили додаток PC Health Check. Тепер він надає більш детальну інформацію про невиконані вимоги”, – сказали в Microsoft.

Згідно з оновленим інструментом, пристрої з наступними проблемами не можуть оновитися до Windows 11:

• TPM 2.0 є обов’язковою вимогою для роботи Windows 11. Ми рекомендуємо Вам перевірити, чи включений TPM 2.0.
• Системний диск повинен мати 64 ГБ або більше. Хоча цей комп’ютер не відповідає системним вимогам для запуску Windows 11, ви продовжите отримувати оновлення Windows 10.
• Цей процесор не підтримується.
• ПК повинен підтримувати безпечну завантаження (Secure Boot).

Це нове оновлення для PC Health Check Tool допоможе користувачам, які припускали, що проблеми сумісності з Windows пов’язані з TPM.

Для тих, хто не знає, основні вимоги до нової операційної системи включають “TPM 2.0”, процесор з тактовою частотою 1 ГГц або вище, 2+ ядра, 4 ГБ оперативної пам’яті, системну прошивку з підтримкою UEFI і Secure Boot, сумісність з DirectX 12 і Ваш пристрій повинен мати мінімум 9-дюймовий HD-дисплей (720p).

Навіть якщо Ви не відповідаєте вищевказаним вимогам, ви все одно можете запускати нову операційну систему на пристроях з процесорами Intel, AMD і Qualcomm.

Щоб оновити засіб перевірки працездатності ПК, вам необхідно завантажити нову версію і запустити інсталятор .msi, який автоматично замінить стару версію.

Пам’ятайте, що нова операційна система все ще перебуває в стадії попередньої версії, і Microsoft планує випустити оновлення для споживачів в кінці цього року.

Важливо: Незважаючи на оновлення додатку, нам і далі видає неможливість встановлення Windows 11.

Завантажити PC Health Check можливо за посиланням.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

Як віддалено вийти з Gmail на загубленому пристрої? ІНСТРУКЦІЯ

Майнінг криптовалют: що таке Taproot та який захист у Bitcoin

До речі, Wi-Fi зі специфічною назвою мережі виводить з ладу iPhone. Як виявилося, якщо підключитися до бездротової мережі з символьною назвою, то модуль зависає, при цьому потім його можна включити. Проблема стосується всіх моделей iPhone, в тому числі найновіших. Збій можна перемогти тільки за допомогою повного скидання налаштувань.

Також у продуктах Microsoft в 2020 році виявлено 1268 уразливостей, що є рекордним числом. У період з 2016 по 2020 рік кількість уразливостей в рішеннях американської компанії збільшилася на 181%.

Microsoft оновлює OneDrive в Інтернеті та Android основними функціями редагування фотографій. Серед функцій редагування, які зараз підтримує OneDrive, Ви можете обрізати, обертати та вносити коригування світла та кольору у фотографії. Microsoft також пропонує кілька інших функцій для версії програми OneDrive для Android. Тепер Ви можете передавати фотографії на пристрій із підтримкою Chromecast і дозволяти іншим спостерігати, як Ви гортаєте їх у прямому ефірі.

Окрім цього, в Україні заблокували мережу сall-центрів РФ, які збирали особисті дані українців. Організатори залучали до роботи до 150 операторів, які працювали у дві зміни.

Ця стаття Чому перевірка готовності Вашого ПК до Windows 11 видає неможливість встановлення? раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Браузер вилітає випадковим чином, і користувач просто бачить робочий стіл. Іноді система надсилає повідомлення про аварійне завершення Google Chrome. Користувачам не вдається закрити браузер, не працюють деякі вкладки і розширення.

Закономірності виявленої помилки браузера постраждалі поки не виявили. Експерти прийшли до висновку, що проблема виникає на останній версії Chrome 90 для Windows 10 і у деяких користувачів Linux, при цьому нова версія браузера для macOS продовжує функціонувати коректно.

Google опублікувало рішення виявленої проблеми:

21 травня ми почали отримувати повідомлення про несподівані збої Chrome для деяких користувачів Windows і Linux. Провівши розслідування, ми визначили основну причину і випустили оновлення, що усуває проблему.

Щоб отримати оновлення для Chrome і усунути проблеми необхідно виконати всього три кроки:

• Закрити всі вікна Chrome.
• Перезапустіть Chrome і залиште його відкритим близько 5 хвилин, навіть якщо він не працює.
• Через 5 хвилин вийти і перезапустити Chrome.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

Як завантажити дані Google Maps? ІНСТРУКЦІЯ

Психічне здоров’я у дітей від соцмереж і смартфонів не страждає – ДОСЛІДЖЕННЯ

Як створити надійний пароль? ПОРАДИ

Як вберегти свої банківські рахунки від кіберзлочинців? ПОРАДИ

Що таке FLoC Google і як він буде відстежувати Вас в Інтернеті?

До речі, пандемія спричинила нову хвилю цифрової трансформації у всьому світі. І державні установи не залишилися осторонь цього процесу. Завдяки розширенню цифрової інфраструктури, зокрема створенню нових додатків та сервісів, віддалених робочих місць та переходу в хмарне середовище, кількість потенційних векторів атак збільшилася.

Також повністю модульний ноутбук з ОС Windows від Framework тепер готовий до попереднього замовлення за базовою ціною у $999. Клієнти можуть розміщувати замовлення на веб-сайті Framework. 13,5-дюймовий ноутбук складається повністю з модульних деталей, включаючи материнську плату, яку ви можете легко поміняти та замінити.

Кілька редакцій Windows 10 версій 1803, 1809 та 1909 досягли кінця обслуговування (EOS), починаючи з травня , про що Microsoft нагадала нещодавно. Пристрої з випусками Windows 10, які досягли EoS, більше не отримуватимуть технічну підтримку, а також щомісячні виправлення помилок та безпеки, щоб захистити їх від останніх виявлених загроз безпеки.

Окрім цього, після вступу в силу нової політики Google в описі додатків з’явиться додатковий розділ з інформацією про те, до яких даними має доступ продукт. У розробників буде можливість розповісти користувачам про те, для чого додаткам потрібен доступ до тих або інших даних і як їх обробка впливає на загальну функціональність.

Ця стаття В Windows 10 виявлені серйозні проблеми з Google Chrome раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Лютневий набір патчів для продуктів Adobe виправляє півсотні уразливостей, зокрема, недоліки в Acrobat і Reader, які давно експлуатують зловмисники. Вийшли оновлення безпеки також для Magento, Photoshop, Animate, Illustrator і Dreamweaver.

Про спроби зловмисної експлуатації уразливості CVE-2021-21017 в Adobe Reader на Windows, згідно з бюлетенем, розробники дізналися з анонімного джерела. Проблема пов’язана з помилкою переповнювання буфера і загрожує виконанням довільного коду в контексті поточного користувача.

Такого ж результату дозволяє досягнути успішне використання 15 інших уразливостей у цьому продукті. Усі вони визнані критичними, як і CVE-2021-21045, а це неадекватно контрольований доступ, що відкриває можливість для підвищення привілеїв.

Примітно, що п’ять з 16 небезпечних проблем виявили учасники минулорічного змагання Tianfu Cup. Решта шість багів в Acrobat/Reader оцінені як істотні. Їх використання дозволяє підвищити привілеї, отримати доступ до закритої інформації або викликати стан відмови в обслуговуванні (DoS).

Нові проблеми актуальні для Acrobat/Reader DC версій 2020.013.20074 і нижче, Acrobat/Reader 2020.001.30018 і нижче, Acrobat/Reader 2017.011.30188 і нижче. Користувачам настійно рекомендується негайно оновити продукт на обох платформах (Windows і macOS), встановивши збірку 2021.001.20135, 2020.001.30020 або 2017.011.30190 відповідно.

Оновлення для CMS-системи Magento 2 усувають 18 уразливостей, зокрема, сім критичних. Три нових “прогалини” у безпеці дозволяють провести XSS-атаку і загрожують виконанням шкідливого JavaScript-коду в браузері відвідувачів сайту.

Наявність проблем підтверджено для обох версій движка – комерційної і з відкритим вихідним кодом. Патчі включені до складу збірок 2.4.2, 2.4.1-p1 і 2.3.6-p1. Встановити їх рекомендують протягом місяця, оскільки продукт належить до групи підвищеного ризику.

У графічному редакторі Adobe Photoshop для Windows і macOS усунули п’ять небезпечних вразливостей, що дозволяють через маніпуляцію даними в пам’яті виконати будь-який код з привілеями поточного користувача. Аналогічні помилки були виявлені в додатках Animate і Illustrator.

Оновлення для HTML-редактора Dreamweaver 20.2 і 21.0 містить патч для уразливості, що загрожує розкриттям конфіденційної інформації. Патчам для цих чотирьох програм присвоєно пріоритет 3; відповідно до системи ранжування Adobe, їх можна встановлювати в терміни на свій розсуд.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

Як не стати жертвою кіберзлочину, якщо працюєш вдома? ПОРАДИ

Що таке спуфінг і як запобігти атаці? ПОРАДИ

Чи варто користуватися WhatsApp? П’ять правил безпеки від найбільш розшукуваного хакера світу

Як перенести бесіди з WhatsApp у Telegram на Android? – ІНСТРУКЦІЯ

Як перенести історію чату з WhatsApp у Telegram для iPhone? – ІНСТРУКЦІЯ

Як змінити на Android обліковий запис Google за замовчуванням? – ІНСТРУКЦІЯ

Як дізнатися, які дані Google знає про Вас і видалити їх? – ІНСТРУКЦІЯ

Діяльність одного з найбільших у світі фішингових сервісів для атак на фінансові установи різних країн припинили правоохоронці. Від фішингових атак цього сервісу, який створив та адміністрував 39-річний мешканець Тернопільщини, постраждали 11 країн світу.

Досліднику у галузі кібербезпеки вдалося зламати внутрішні системи понад 35 найбільших компаній, серед яких були Microsoft, Apple, PayPal, Shopify, Netflix, Yelp, Tesla та Uber. У цьому фахівцеві допомогла нова атака на ланцюжок поставок софту.

Для обходу захисних поштових шлюзів і фільтрів автори адресних фішингових листів використовують новаторський спосіб приховування шкідливого вмісту сторінки. Теги JavaScript, впроваджувані в HTML-код, шифруються з використанням азбуки Морзе.

Нове сімейство програм-вимагачів під назвою Vovalex поширюється через піратський софт, замаскований під популярні утиліти для Windows – наприклад, CCleaner. Одна цей шифрувальник має певну особливість, що відрізняє його від інших “шкідників” подібного класу.

Ця стаття Півсотні критичних уразливостей виправили у продуктах Adobe – варто оновитися раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

Експерти попереджають про ризики, пов’язані з виявленням низки уразливостей в технології Thunderbolt, які відомі під назвою Thunderspy. Використовуючи їх, зловмисники можуть змінити і навіть вимкнути систему захисту інтерфейсу Thunderbolt на комп’ютері користувача.

Як результат, кіберзлочинці з фізичним доступом до певного пристрою здатні викрасти дані з нього, навіть у разі використання повнодискового шифрування і блокування за допомогою пароля або перебування пристрою у режимі енергозбереження.

“Хоча про дослідження й стало відомо громадськості через інтерес до нового вектора атаки, однак поки що мало інформації про те, як захиститися або навіть визначити, чи не стали Ви потенційною жертвою”, — розповідає Ар’є Горецький, провідний дослідник ESET.

Варто зазначити, що Thunderbolt — це інтерфейс для забезпечення швидкісних з’єднань між комп’ютерами та периферійними пристроями, такими як зовнішні накопичувачі RAID, камери, дисплеї з високою роздільною здатністю тощо.

Атаки з використанням Thunderbolt трапляються рідко, оскільки здебільшого вони є цілеспрямованими.

Існує два типи атак, націлених на безпеку Thunderbolt. Перший вид передбачає копіювання інформації про пристрої Thunderbolt, яким комп’ютер вже довіряє. Другий тип пов’язаний з вимкненням безпеки Thunderbolt назавжди з неможливістю повторного увімкнення.

“Атака з використанням копіювання подібна до методів злодіїв, які викрали ключ і зробили копію. Після цього вони можуть використовувати скопійований ключ кілька разів для відкриття замка. Друга атака є формою вимкнення мікросхеми. У цьому випадку остаточно вимикається рівень безпеки Thunderbolt і забезпечується захист від змін для неможливості їх скасування”, — пояснює Ар’є Горецький.

Обидві атаки здійснити непросто, оскільки потрібен особистий доступ до пристрою, а також інструменти для розбирання комп’ютера, приєднання програматора, зчитування вбудованого програмного забезпечення з мікросхеми SPI flash ROM, зміна коду і запис назад до мікросхеми.

Необхідність фізичного доступу до комп’ютера звужує коло потенційних жертв до особливо важливих цілей. Жертвами можуть стати керівники бізнесу, інженери, адміністративний персонал або інші співробітники, якщо зловмисник має комерційний мотив, наприклад, діє в цілях промислового шпигунства. У країнах з репресивними режимами цілями таких сучасних загроз, як Thunderspy, можуть бути політики, громадські організації та журналісти.

Для захисту від подібних атак запобігайте будь-якому несанкціонованому доступу до комп’ютера. Також потурбуйтеся про захист усі відповідних інтерфейсів та портів, наприклад, USB-C.

Рекомендацій, які допоможуть захиститися від крадіжки даних з використанням Thunderspy:

• Оновлюйте операційну систему та вбудоване програмне забезпечення комп’ютера до актуальних версій. У випадку з останнім недостатньо обмежуватися лише BIOS або UEFI. Також оновлення потребує вбудоване ПЗ відеочипів, мережевих інтерфейсів, сенсорної панелі, контролерів рідкокристалічних дисплеїв тощо. Крім цього, смартфони, планшети, роутери та модеми мають власне вбудоване ПЗ, яке необхідно регулярно оновлювати.
• Обмежте використання сплячого режиму чи інших гібридних режимів відключення, а краще повністю вимикайте комп’ютер, коли він не використовується. Такі дії можуть запобігти атакам з використанням пам’яті пристрою за допомогою Thunderspy.
• Використовуйте повнодискове шифруваннядля внутрішніх накопичувачів і змінних носіїв. Хоч за даними досліджень технологію можна обійти, якщо комп’ютер заблокований або перебуває у сплячому режимі, однак повністю вимкнений пристрій залишався в безпеці.
• У разі покупки нового комп’ютера подумайте про придбання пристрою без DMA-інтерфейсів, таких як порти Thunderbolt, ExpressCard та FireWire. Хоча вони часто можуть бути вимкнені під час налаштування вбудованого ПЗ, зловмисник із тривалим доступом до пристрою може спробувати їх повторно увімкнути.
  Використовуйте надійне рішення для захисту з можливістю сканування інтерфейсу UEFI — одне з місць, де зберігається інформація про безпеку Thunderbolt.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

• Як за допомогою задньої панелі iPhone швидко запускати дії чи команди? – Інструкція
• Як уникнути схем шахрайства в Інтернеті? Поради для користувачів старшого покоління
• Інтернет-шахраї та псевдоволонтери: як розпізнати благодійну аферу? Поради
• Яких заходів потрібно вживати компаніям для протидії та відновленню у випадку кібератак? Поради

Нагадаємо, нову уразливість, яка дозволяє зловмисникам отримати майже повний контроль над Wіndows або Linux системами, виявила компанія Eclypsium. За її словами, уразливими є мільярди пристроїв – від ноутбуків, настільних ПК, серверів і робочих станцій до банкоматів, верстатів з програмним управлінням, томографів та іншого обладнання спеціального призначення, яке використовується в промисловій, медичній, фінансовій та інших галузях.

Окрім цього, команда дослідників з Рурського університету в Бохумі (Німеччина) виявила нові методи атак на підписані PDF-файли. Так звана техніка Shadow Attack дозволяє хакеру приховувати і замінювати вміст в підписаному PDF-документі, не зачіпаючи цифровий підпис. Організації, урядові установи, підприємства та приватні особи часто підписують документи в форматі PDF для запобігання несанкціонованих змін. Якщо хтось вносить зміни в підписаний документ, підпис стає недійсним.

До речі, нову фішингову кампанію, націлена на користувачів WhatsApp, виявили фахівці з кібербезпеки. Цього разу зловмисники розсилають фішингові повідомлення, використовуючи бренд Nespresso. Жертву запрошують перейти за посиланням і відповісти на кілька запитань, щоб отримати в подарунок кавоварку.

Також співробітники компаній і організацій, які використовують програмне забезпечення Microsoft Office 365, стали жертвами фішинговою кампанії, в рамках якої зловмисники використовують повідомлення-приманки, замасковані під автоматичні повідомлення SharePoint, для крадіжки облікових даних.

Зауважте, що користувачі Microsoft Office 365 звинуватили компанію Microsoft в тому, що вона нібито ділиться бізнес-даними своїх клієнтів з розробниками додатків Facebook, партнерами та субпідрядниками, порушуючи політику конфіденційності.

Ця стаття Ризики та способи захисту від атак на з’єднання між ПК та зовнішніми пристроями раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Звіти про цю конкретну помилку, яку вперше помітив MacRumors, перевіряючи розділ “Акумулятор” програми “Налаштування”, щоб отримати інформацію про те, що відбувається зі смартфоном.

Користувач Reddit ritty84 опублікував скріншот свого розряду акумулятора протягом 24 годин, і це показало, що програма “Музика” швидко розряджає акумулятор.

Користувачі повідомляють, що це відбувається, навіть якщо вони не використовують додаток.

Крім того, переглядаючи деякі скріншоти, iPhone в режимі низької заряду не сповільнює споживання батареї.

І оновлення не допомагає, оскільки помилка з’являється також на iPhone із найновішою версією iOS 13.5.1.

Деякі користувачі стверджують, що проблема полягає в додатку Music, який намагається синхронізуватися з Apple Watch, і що проблема усувається, якщо Apple Watch відключено від iPhone. Інші кажуть, що потрібно вимкнути фонове оновлення для програми “Музика” ( Налаштування> Загальне> Оновити фоновий додаток, а потім увімкнути перемикач на ” Музика” ).

Деякі кажуть, що вони відслідковували проблему, щоб відстежувати доріжки, завантажені з iTunes Match.

Як виправити?

Найбільш надійним тимчасовим “виправленням” для цієї помилки, здається, є видалення програми “Музика” (натискайте на неї, поки не спливе меню і виберіть ” Видалити додаток” ). Досить радикально, але, здається, це єдиний варіант, який працює для тих, хто найбільше постраждав від цієї помилки.

Очевидно, що існує проблема, і, сподіваємось, iOS 13.6, яке зараз знаходиться в бета-версії, буде з виправленням.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

ЯК ОЧИСТИТИ КЕШ ТА ФАЙЛИ COOKIES У БРАУЗЕРІ FIREFOX? – ІНСТРУКЦІЯ

ПОРАДИ ЩОДО ОРГАНІЗАЦІЇ СВОЇХ ДОДАТКІВ ДЛЯ IPHONE АБО IPAD

ЯК ЗАПОБІГТИ ДЕФРАГМЕНТАЦІЇ ТВЕРДОТІЛОГО НАКОПИЧУВАЧА SSD? ІНСТРУКЦІЯ

НАВІЩО ПОТРІБЕН МЕНЕДЖЕР ПАРОЛІВ ТА ЯК ПРАВИЛЬНО ЙОГО ОБРАТИ?

ЯК ЗАБОРОНИТИ GOOGLE ЗБИРАТИ ВАШІ ДАНІ ТА НАЛАШТУВАТИ ЇХНЄ АВТОВИДАЛЕННЯ? ІНСТРУКЦІЯ

Ноутбук та рідина – це погана комбінація, але трапляються випадки, коли вони все ж таки “об’єднуються”. Про те, що робити, якщо це сталося, читайте у статті.

Також після тестування стало відомо, що надзвичайно популярний сьогодні додаток – TikTok, зберігає вміст буфера обміну кожні кілька натискань клавіш. Цей факт насторожив багатьох користувачів, але TikTok лише один із 53 додатків, які зберігають інформацію про користувачів таким чином.

Стало відомо, що мешканець Житомирщини підмінив міжнародного мобільного трафіку на понад півмільйона гривень. Крім цього, встановлено інші злочинні осередки які здійснюють підміну міжнародного трафіку в різних регіонах країни.

До речі, чутки виявилися правдою: Apple поступово відходить від Intel і віддає перевагу власним процесорам – Apple Silicon ARM. Варто зауважити, що цей процес несе у собі певні зміни для всіх користувачів Mac. Наприклад, з’явиться можливість власного запуску програм iOS та iPadOS в системі macOS.

У версії macOS 11 Big Sur, запланованої до виходу восени нинішнього року, компанія Apple видалить можливість встановлення конфігурації профілю macOS із командного рядка.

Ця стаття Як виправити помилку споживання ресурсів акумулятора додатком Apple Music? раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Cisco попередила про доступність експлойтів для трьох уразливостей в пристроях Cisco Small Business 220 Series Smart Switches, виправлених на початку серпня. Компанія також виправила більше 30 критичних і небезпечних уразливостей, виявлених в її програмному забезпеченні.

Перша уразливість є проблемою віддаленого виконання коду (CVE-2019-1913), а друга – вразливістю обходу аутентифікації (CVE-2019-1912). Віддалений неавторизований зловмисник може проексплуатувати їх для виконання довільного коду з правами суперкористувача і завантаження довільних файлів. Третя уразливість (CVE-2019-1914) потенційно може дозволити аутентифікуватися віддаленим зловмисникам і здійснити атаку з впровадженням команд.

Компанія також виправила більше 30 критичних і небезпечних вразливостей, виявлених в її програмному забезпеченні Integrated Management Controller (IMC) і Cisco Unified Computing System (UCS). Чотири з них (CVE-2019-1938 , CVE-2019-1974 , CVE-2019-1937 і CVE-2019-1935) отримали оцінку 9,8 бала за шкалою CVSS v3.0. Їх експлуатація дозволяє зловмисникам здійснювати прості атаки за допомогою спеціально сформованих шкідливих запитів, а також шляхом використання дефолтних облікових даних для авторизації на уразливому пристрої.

Користувачам рекомендується оновитися до Integrated Management Controller Supervisor до версії 2.2.1.0 і вище, UCS Director до версії 6.7.2.0 і пізніших (рекомендується: 6.7.3.0) і UCS Director Express for Big Data до версії 3.7.2.0 і вище (рекомендується: 3.7.3.0).

До речі, в офіційному магазині Google Play виявили шкідливий додаток зі шпигунським функціоналом. Програма-шпигун була замаскована під додаток Radio Balouch, який використовувався для прослуховування радіо в онлайн-режимі.

Нагадаємо, що програми Microsoft Paint та WordPad перестануть бути обов’язковими після оновлення Windows 10 Spring 2020 року.

Також Google збільшила кількість часу, який необхідний новій програмі Android, щоб пройти процедуру затвердження Play Store.

Стало відомо, що дослідники з компанії Avanan, що займається питаннями безпеки електронної пошти, виявили нову фішингову кампанію. Зловмисники за допомогою повідомлень голосової пошти Microsoft Voicemail намагаються змусити жертву відкрити вкладення HTML, що перенаправляє на фішингові web-сторінки.

Окрім цього, Google видалила 85 додатків для Android із магазину Google Play після того, як дослідники виявили, що це рекламне програмне забезпечення (adware), яке вдає з себе нормальні додатки.

У операторів ботнету Neutrino з’явилася нова тактика. За їх словами, вони вже більше року атакують web-оболонки інших кіберзлочинців і заражають їх сервери.

Зверніть увагу, в Microsoft виявили незвичайну фішингову кампанію, в якій використовуються кастомні сторінки з помилками 404. Таким чином зловмисники намагаються обманом змусити потенційних жертв видати свої облікові дані.

У програмі VLC Media Player було виявлено 15 уразливостей. Дві з них мають високий рівень серйозності, п’ять – середній, три – низький, а решта поки не отримали оцінку.

Незважаючи на те, що в iOS 12 і 13 Apple привнесла безліч поліпшень, деякі важливі функції так і не були додані розробниками. Одну з таких функцій, Ви знайдете у статті.

Ця стаття З’явилися 33 способи зламати продукти Cisco раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Експерти з кібербезпеки з компанії Positive Technologies виявили уразливість, експлуатація якої дозволяє зловмисникам обійти обмеження на списання великих сум безконтактним способом із карт Visa.

Зазвичай безконтактні картки не дозволяють провести оплату великої суми без PIN-коду. Наприклад, для користувачів у Великобританії необхідно вводити PIN-код при покупці від £ 30. Якщо злочинці вкрадуть карту і спробують провести кілька транзакцій на великі суми, то банк заблокує картку.

За словами експертів із Positive Technologies, існує два способи обійти це обмеження. У першому випадку вони скористалися апаратом для перехоплення і заміни повідомлень в каналі зв’язку між картою і зчитувальним пристроєм. З його допомогою на карту посилався помилковий сигнал про списання суми менше £ 30, а на термінал – повідомлення про верифікації, проведені іншим способом. Ця уразливість зачіпає тільки карти Visa, оскільки в інших платіжних системах великі транзакції підтверджуються тільки PIN-кодом.

У другому варіанті дослідники використовували два мобільних телефони. Один телефон збирав з карти так звану криптограму платежу, що гарантує справжність майбутніх транзакцій. Другий – брав криптограму і імітував карту.

Компанія Visa не планує вживати заходів щодо припинення цих видів шахрайства. На думку компанії, для здійснення махінації зловмисникам необхідно мати карту на руках, а таке рідко трапляється. Однак дослідники не згодні з тим, що карту потрібно обов’язково красти. Як показали результати експерименту, зловмиснику досить ненадовго підібратися близько до карти жертви і зчитати платіж.

До речі, баги і помилки властиві будь-якій операційній системі, і лагодять їх розробники, на жаль, не завжди відразу. Якщо Ви зіткнулися на Android із проблемою підключення до мережі, то з цією проблемою Вам допоможе ця стаття.

Нагадаємо, версія Microsoft Edge, встановлена в Windows 10, відправляє повну URL-адресу сайтів, які відвідує користувач, компанії Microsoft. Ці дані містять не тільки інформацію про сторінку, а й ідентифікатор безпеки.

Також незабаром вийде на ринок Windows 11, і стане вона новою найкращою в світі ОС для електронних пристроїв, стверджують розробники.

Стало відомо, що компанія “Viber”, яка володіє однойменним месенджером, планує відкрити в Україні офіс і набирає штат працівників.

Окрім цього, навіть правоохоронні органи втратять можливість прослуховувати мобільні пристрої з запуском технологій 5G.

Якщо смартфон став Вашим цифровим помічником у повсякденному житті й у роботі, пропонуємо добірку мобільних сервісів для монтажу відео. Вони стануть Вам у нагоді, коли Ви перебуваєте на цікавій події, за кордоном, маєте гарні кадри але не маєте часу, щоб змонтувати їх у непростому Premiere Pro, радять фахівці громадської організації “Інтерньюз-Україна“.

Зверніть увагу, дослідник з компанії Cure53 Алекс Інфюр (Alex Inführ) повідомив, що патч для недавно виправленої уразливості в офісному пакеті LibreOffice можна обійти. Для виконання коду на системі зловмиснику досить змусити жертву відкрити шкідливий документ.

Аналітики Mangrove Capital Partners заявляють, що Apple представить операційну систему SiriOS в 2020 році. Вона буде використовуватися в пристроях “інтернету речей”.

Майже чотири мільйони доларів обходиться компаніям один інцидент витоку даних внаслідок хакерських атак.

Ця стаття З’явилися способи безконтактно красти великі суми з карток Visa раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Intel виправила 34 уразливості в своїх продуктах, в тому числі критичну уразливість в підсистемі CSME. Сім уразливостей є дуже небезпечними, 21 – середньої небезпеки і п’ять – безпечними.

Ці баги не пов’язані з гучними уразливостями ZombieLoad, Fallout, RIDL і Store-to-Leak Forwarding, і для них випущені окремі виправлення.

Критична уразливість (CVE-2019-0153) існує в підсистемі CSME, яку використовують для реалізації технології Intel Active Management System. У свою чергу ця технологія використовується для віддаленого управління комп’ютером за межами виділеної пам’яті. За допомогою уразливості неавторизований зловмисник може підвищити свої привілеї.

Уразливість пов’язана з переповненням буфера і за системою оцінювання небезпеки CVSS отримали 9 балів. Проблема зачіпає версії CSME 12 аж до 12.0.34.

У список уразливостей високої небезпеки увійшли:

• CVE-2019-11085 – зачіпає Kernel Mode Driver у графічних процесорах Intel i915 для Linux (до версії 5) і дозволяє локальному атакуючому підвищити свої привілеї;
• CVE-2019-11094 – зачіпає прошивку Intel NUC і дозволяє локальному атакуючому підвищити свої привілеї, викликати відмову в обслуговуванні і розкрити інформацію;
• CVE-2019-0126 – зачіпає Intel Xeon Scalable Processor і сімейство процесорів Intel Xeon Processor D і дозволяє привілейованому користувачеві підвищити привілеї і викликати відмову в обслуговуванні.

Решта дуже небезпечних уразливостей зачіпають Intel Server Platform Services (CVE-2019-0089), Intel CSME (CVE-2019-0090), ПО Dynamic Application (CVE-2019-0086) і підсистему Dynamic Application Loader (CVE-2019-0170).

До речі, в офіційному магазині Google Play поширюють низку фальшивих криптовалютних гаманців. Один з таких підробних додатків маскується під відомий апаратний гаманець криптовалюти та пов’язаний з іншою шкідливою програмою, яка здатна викрадати гроші у довірливих користувачів.

Нагадаємо, кіберполіція викрила незаконну ретрансляцію телеканалів, яку була замаскована під легальний сигнал компанії. Понад 5 тисяч користувачів навіть не підозрювали, що щомісячно сплачують за піратський контент.

Також понад сто тисяч маршрутизаторів TP-Link уразливі через помилку, яку можна використовувати для віддаленого управління пристроєм. Уразливість дозволяє будь-якому недосвідченому зловмисникові віддалено отримати повний доступ до маршрутизатора.

Окрім цього, після восьми місяців тестування некомерційна організація Tor Project представила офіційну версію браузера Tor для ОС Android. Поряд з Tor для Android команда також випустила версію Tor 8.5 для Windows, Mac і Linux. На даний момент офіційна версія браузера для iOS відсутня.

Ця стаття Intel виправила десятки багів у своїх продуктах раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин