IT-KB 🤖

Новая инженерия разработки: ИИ-агенты, quality gates и безопасный код

ИИ-агенты уже не просто генерируют фрагменты кода — они получают доступ к инструментам разработки, используют экспертизу команд и самостоятельно выполняют инженерные задачи. Но как контролировать качество их работы, масштабировать агентскую разработку и не допустить появления уязвимостей?

На вебинаре эксперты поделятся опытом внедрения ИИ-агентов в Яндексе: обсудят инфраструктуру, код-ревью, оценку качества кода и новые роли инженеров.

— Дмитрий Лавров, разработчик в Яндекс: «ИИ-разработка в Яндексе. Внедрение, нагрузка, качество и новые роли»
— Глеб Асламов, developer advocate PVS-Studio: «Loop engineering как окно в мир безопасной разработки для ИИ»

17 ноября в 15:00

Регистрация и подробности — по ссылке. Всем зарегистрированным пришлем запись вебинара.

Оставайтесь в курсе последних новостей о статическом анализе:
— PVS-Studio (TG)
— MAX

#реклама
О рекламодателе

👩‍💻 PostgreSQL выпустил новые релизы для устранения 52 уязвимостей безопасности и более 140 ошибок

Сегодня выпущены PostgreSQL 18.7, 17.12, 16.16, 15.20, 14.25 и 19 RC2 в связи с раскрытием информации о 52 новых проблемах безопасности.

➡️Читать полностью

#PostgreSQL

ForensicArtifacts — это справочник, который подсказывает, где на компьютере искать данные для расследования: нужные файлы, журналы событий и записи реестра.

Например, если нужно проверить автозапуск Windows, в нём можно найти список соответствующих разделов реестра, а для системного журнала — путь к файлу с событиями. Сам репозиторий ничего не сканирует и не ищет взломщиков: он описывает, где находятся данные, а собираете и анализируете их уже вы или отдельная программа.Питоновский код в этом репозитории нужен прежде всего для валидации — проверки того, что описания артефактов в YAML составлены по правилам проекта, а не для поиска следов на вашем компьютере.

Описания хранятся в YAML — структурированных текстовых файлах, поэтому их можно читать вручную или использовать в своих скриптах для автоматического сбора данных.

📌

Пригодится администраторам и специалистам по безопасности, чтобы не искать каждый путь с нуля и ускорить время сбора информации при разборе подозрительной активности.

#ForensicArtifacts

Ноябрьский Microsoft Patch Tuesday. Всего 1093 уязвимости. Для сравнения, в октябре их было 1409, снижение на 22,4%. Для 10 продуктов исправлено 20 и более уязвимостей: Microsoft Office Excel (64), Microsoft Office Word (61), Microsoft SQL Server (50), Windows Advanced Rasterization Platform (37), Windows Installer (36), Windows Graphics Kernel (35), Windows Kernel (28), Microsoft Office SharePoint (26), Windows DNS (21), Windows Print Spooler Components (20). Вместе они составляют 378 уязвимостей, т.е. чуть более трети (34,6%) от общего числа.

❗️Есть одна уязвимость с признаком эксплуатации в реальных атаках:

🔻 Spoofing - Microsoft Outlook (CVE-2026-124194).

Microsoft Outlook - это приложение от Microsoft для работы с электронной почтой, управления календарём, планирования встреч, организации контактов и настройки напоминаний. Злоумышленник отправляет специально сформированное сообщение и убеждает пользователя открыть его. После этого Outlook подключается к сетевому ресурсу, контролируемому злоумышленником, не отображая стандартного предупреждения о загрузке внешнего содержимого. В результате раскрывается хеш NTLMv2 пользователя, который злоумышленник может использовать для аутентификации от имени пользователя. Область предварительного просмотра (Preview Pane) не является вектором атаки. Для уязвимости доступен публичный эксплойт на GitHub.

⚠️Есть две уязвимости с публичными эксплоитами, но пока без признаков эксплуатации в атаках:

🔸 EoP - Microsoft Windows App Store (CVE-2026-119987).

Microsoft Store (Windows App Store) - это официальный магазин приложений Microsoft для поиска, скачивания и установки программ, игр и другого цифрового контента на устройства Windows. Уязвимость, связанная с использованием недоверенного пути поиска (Untrusted Search Path) в Microsoft Windows App Store, позволяет авторизованному злоумышленнику повысить привилегии локально. PoC был опубликован на GitHub, но впоследствии удалён. Копия доступна на Vulners.

🔸 EoP - Windows AppX Deployment Service (CVE-2026-116714).

Windows AppX Deployment Service - это системная служба Windows, обеспечивающая установку, обновление и удаление приложений. В случае успешной эксплуатации уязвимости злоумышленник может получить привилегии уровня SYSTEM.

Из остальных уязвимостей можно выделить:

🔹 RCE - Windows LDAP (CVE-2026-119958).

Windows LDAP - это служба и протокол, используемые для поиска и управления информацией о пользователях, компьютерах и других ресурсах в корпоративной сети. Уязвимость записи за пределами выделенной области памяти (Out-of-bounds Write) позволяет неавторизованному злоумышленнику выполнить произвольный код, отправив специально сформированные LDAP-запросы по сети.

🔹 RCE - Windows Search / Exchange Server (CVE-2026-116928).

Неаутентифицированный злоумышленник может воспользоваться уязвимостью компонента Windows Search, используемого Microsoft Exchange Server (серверная платформа Microsoft для организации корпоративной электронной почты, календарей, контактов и совместного планирования встреч), отправив электронное письмо со специально сформированным вложением. Exchange автоматически обрабатывает вложение для индексации, поэтому получателю не требуется открывать ни письмо, ни вложение. Успешная эксплуатация уязвимости может позволить злоумышленнику выполнить произвольный код с привилегиями службы, обрабатывающей вложение.

🔹 RCE - Microsoft Exchange (CVE-2026-118207).

Злоумышленник, прошедший аутентификацию и имеющий ограниченные права доступа к уязвимому серверу, может отправить специально сформированный запрос для выполнения произвольного кода на сервере. Взаимодействие с пользователем не требуется.

➡️Подробнее на сайте

➡️Полный отчёт Vulristics

💻Microsoft - Nov 2026 Security Updates

#Microsoft #PatchTuesday