Как мы помогли защитить клиентов от уязвимостей в PHP еще до выхода обновления

Вчера вы, скорее всего, видели новости про критические уязвимости в PHP. Это один из самых популярных языков программирования, на котором работают сайты и веб-сервисы по всему миру.

СМИ писали об этих недостатках безопасности громко и массово, вплоть до заголовков о том, что под угрозой до 70% сайтов в мире. С новостями о кибербезе такое бывает нечасто. И не просто так.

Что случилось 🧐

Под удар попал практически любой веб-сервер, использующий уязвимую версию PHP для обработки запросов. Уязвимости позволяют злоумышленнику без логина и пароля выполнить свой код на сервере и потенциально захватить над ним контроль. Опасность каждой из них оценили в 9,2 балла из 10.

Одну из уязвимостей обнаружили с помощью ИИ — модели OpenAI GPT-5.6 Sol. Мы буквально недавно на Positive Security Day обсуждали, как ИИ меняет кибербез, и вот вам наглядный пример.

Почему счет шел на минуты ⏰

Масштаб проблемы огромный — речь о миллионах серверов, сайтов и других систем по всему миру, в том числе в России. Устранять уязвимости нужно было немедленно: в сети быстро появились демонстрации их эксплуатации, а по данным Cloudflare, первые попытки атак начались еще до выхода обновления.

Компании и госучреждения, в том числе в Европе, начали отключать сайты от интернета, чтобы не допустить взлома. Мера рабочая, но крайняя.

Команда PHP объявила о том, что выпустит экстренное обновление. Но когда информация об уязвимостях уже попала в открытый доступ, счет идет не на часы, а на минуты. И защищаться нужно с той же скоростью.

Что сделали мы 😎

Установить обновление — единственный способ полностью устранить уязвимости. Но пока его нет, нужны дополнительные меры защиты.

Наша команда, которая занимается безопасностью приложений, оперативно разобралась, как работают уязвимости, и подготовила защитные правила — за несколько часов до выхода обновления PHP.

Мы добавили их в PT Application Firewall — нашу линейку продуктов для защиты веб-приложений (это в том числе и сайты). Клиенты облачной версии PT AF Cloud могли самостоятельно включить защиту в личном кабинете. А для тех, у кого установлены PT Application Firewall PRO и PT Application Firewall 3, меры защиты и инструкции по их применению стали доступны через нашу техподдержку.

Так мы помогли клиентам снизить риск атак и продолжить работу своих приложений, пока они готовились к выпуску обновления от PHP (оно появилось примерно в 17:00).

Дополнительные правила мы подготовили для PT NAD и PT NGFW. А MaxPatrol VM детектирует эти уязвимости, которые наша команда признала трендовыми.

Почему защищаться нужно быстрее 🏃‍♂️‍➡️

Появление новых критических уязвимостей, затрагивающих миллионы компаний, — вопрос времени. С развитием ИИ находить их становится проще, а времени на реакцию остается все меньше. Поэтому и защищаться нужно быстрее.

Мы стремимся к тому, чтобы наши клиенты были защищены от таких угроз как можно раньше. И готовы оперативно приходить на помощь, не дожидаясь, пока потенциальная угроза превратится в недопустимое событие.

#POSI

Группа Позитив

0 комментариев

посты по тегу

#POSI

Как продать бумаги через год и не платить налог? Разбираю ЛДВ-РИИ

Коллеги, привет! Начнём с самого простого и по итогу, разберём все нюансы — поехали.

ЛДВ-РИИ — льгота на долгосрочное владение бумагами высокотехнологичного (инновационного) сектора экономики.

Расшифровка: ЛДВ — льгота на долгосрочное владение ценными бумагами, РИИ — рынок инноваций и инвестиций (специальный сектор Московской биржи).

Для инвесторов главная фишка — налоговая льгота ЛДВ-РИИ. Держите бумагу из РИИ не меньше года — и прибыль от продажи освобождается от НДФЛ, но в пределах лимита: сейчас это до 50 млн рублей дохода в год для налоговых резидентов России.

Льгота работает не только с акциями: она распространяется и на облигации, и на инвестиционные паи — но только если они официально включены в перечень ценных бумаг высокотехнологичного (инновационного) сектора экономики.

Из чего состоит РИИ и как в него инвестировать?

Сейчас в составе РИИ — 28–29 эмитентов. Общее количество ценных бумаг (с учётом разных выпусков — акций, облигаций и паёв) составляет примерно 35–37 штук.

Состав сектора не является постоянным: он регулярно пересматривается, и в него могут как включаться новые эмитенты, так и исключаться прежние. Например, 20 октября 2026 года в РИИ были включены обыкновенные акции МКПАО «ВК» #VKCO

Важный момент про убытки: если продали бумагу из РИИ в минус, этот убыток нельзя зачесть против прибыли по другим бумагам (сальдировать) и нельзя перенести на будущие периоды.

Также льгота не применяется к дивидендам и купонным выплатам — с этих доходов налог удерживается на общих основаниях.

Актуальные обзоры, которые вы могли пропустить:

• Доходность ОФЗ выросла до 16,7%. Разбор выпусков под разные сценарии
• Флоатеры под КС+3% для всех: где искать высокую доходность?
• Что купить на 3–5 лет и не платить налог? Подборка длинных облигаций
• Редкая возможность зафиксировать под 10% в валюте. Что выбрать?

Пара практических моментов:

• На Московской бирже есть Индекс инноваций (MOEXINN) — в него входят акции из сектора РИИ, и это удобный способ вложиться в весь сектор сразу.

На октябрь 2026 года в базе расчёта — примерно 20 эмитентов. Состав пересматривают каждый квартал: в третью пятницу марта, июня, сентября и декабря, поэтому число бумаг в индексе меняется.

Актуальный состав по весу компаний в индексе:

• Группа Позитив #POSI - 19,92%
• Циан #CNRU - 18,57%
• ОАК #UNAC - 12,42%
• Озон Фармацевтика #OZPH - 9,88%
• Группа Астра #ASTR - 7,1%
• Промомед #PRMD - 7,04%
• Группа Аренадата #DATA - 5,02%
• Элемент #ELMT - 4,74%
• Софтлайн #SOFL - 3,49%
• ГК Базис #BAZA - 3,27%

Для отслеживания состава и весов в реальном времени советую этот ресурс.

Правда, фьючерса или фонда на весь РИИ нет, поэтому инвестировать «целиком» не выйдет — бумаги придётся подбирать точечно.

Несколько нюансов, чтобы не потерять выгоду:

• Дивиденды и купоны под льготу не попадают — налог с них берут на общих основаниях.

• С ИИС совмещать нельзя: если бумаги когда-либо учитывались на ИИС (даже частично), ЛДВ-РИИ к ним не применить. Выбирайте — либо льготы ИИС, либо ЛДВ-РИИ на брокерском счёте.

• При наследовании или дарении срок владения прерывается — новый отсчёт идёт с момента перехода прав к новому владельцу.

• Брокер часто применяет льготу автоматически, но лучше уточнить заранее и при необходимости подписать заявление. Можно оформить и самому через налоговую, подав 3-НДФЛ.

• Храните брокерские отчёты — они понадобятся, если придётся подтверждать срок владения при обращении за вычетом.

Стоит помнить, что льгота применяется только к положительному результату — разнице между ценой продажи и покупки (плюс НКД по облигациям). Продали в убыток или в ноль — льготы нет.

Использовать льготу можно сколько угодно раз: купили бумаги, через год продали с прибылью и применили ЛДВ-РИИ, затем купили другие — и снова воспользовались.

Если хотите не упустить новые подборки и обзоры свежих выпусков, добро пожаловать в мой Телеграм-канал. Найти легко: @kitchen_invest в поиске — и вы там. Также подписывайтесь на MAX. Там делюсь авторскими обзорами по акциям, облигациям, фондам и вообще всем, что кажется интересным. Заходите, будет полезно.

'Не является инвестиционной рекомендацией

комментариев

PHDays Fest 2027 🌟

Юбилейный киберфестиваль пройдет с 20 по 22 мая в «Лужниках». И мы сделаем его великолепным.

В следующем году PHDays исполнится 15 лет. За это время изменился сам фестиваль, изменились технологии и то, насколько сильно они вошли в нашу жизнь.

Но одно осталось прежним: интерес к людям, которые хотят понять, как все устроено, и попробовать сделать по-своему.

Именно эта идея легла в основу концепции юбилейного PHDays Fest — «Технологии — отражение тебя».

В «Лужниках» вновь соберутся все, кому интересно, как устроен цифровой мир: от любопытных новичков до профессионалов индустрии.

Традиционно будет открытая зона для всех желающих, выступления экспертов со всего мира, деловые дискуссии и, конечно, легендарная кибербитва Standoff.

Что мы еще готовим к юбилею — расскажем, как только будем готовы (скоро).

А пока сохраняйте даты в календарях: с нетерпением ждем встречи и обещаем удивлять!

#POSI

комментариев

Владимир Путин рассказал о важности кибербезопасности

Сегодня президент России провел совещание по вопросам повышения уровня цифровой безопасности, назвав эту тему крайне важной и актуальной. Делимся главными тезисами выступления.

▶️ Цифровизация и развитие технологий

От активного внедрения цифровых технологий во многом зависит устойчивое развитие государства и общества.

В России активно распространяются сервисы на основе технологий искусственного интеллекта, внедряются передовые подходы в области хранения, обработки и передачи данных, а также средств коммуникации, идет платформизация экономики.

▶️ Рост киберугроз

С развитием цифровизации на фоне прямой и гибридной внешней агрессии, с которой мы сталкиваемся, на новый уровень выходят и киберугрозы в отношении экономики, логистики, транспорта, социальной сферы и систем жизнеобеспечения и государственного управления.

▶️ Что необходимо для защиты

Для нейтрализации этих угроз необходимо совершенствовать все составляющие отечественной системы цифровой безопасности:

• оценку и анализ рисков
• механизмы мониторинга зависимости от внешних платформ
• инструменты оперативного реагирования на кибератаки

Также необходимо повышать координацию действий правоохранительных органов и спецслужб с операторами связи, финансовыми организациями, интернет-компаниями и другими структурами.

Что уже делается в России 🧐

Мы в Positive Technologies уверены, что сегодня в стране есть все необходимые технологии и экспертиза, чтобы обеспечивать киберзащищенность на разных уровнях — от отдельных компаний до целых отраслей и страны в целом.

Но главное — не останавливаться на достигнутом. Искусственный интеллект усиливает возможности атакующих, поэтому важно уметь противостоять им, не уступая в скорости.

А оценивать риски и реальную защищенность инфраструктуры помогают кибериспытания — с помощью независимых исследователей можно проверить возможность реализации недопустимого события. Причем этот подход уже выходит за рамки отдельных компаний: кибериспытания начинают проводить и на отраслевом уровне.

Уже завтра на Positive Security Day расскажем, как меняются киберугрозы, какие современные технологии помогают им противостоять и что нового мы готовим в наших продуктах.

#POSI

комментариев

Денис Баранов о вызовах и возможностях индустрии кибербеза

Во время главной пленарной сессии форума «Цифровые решения» представители ведущих ИТ-компаний страны вместе с Михаилом Мишустиным и Дмитрием Григоренко говорили о развитии отрасли и повсеместном внедрении ИИ.

Денис рассказал, как меняются ландшафт угроз и модели кибератак, почему злоумышленники все чаще смотрят в сторону российского ПО, а также о перспективах применения ИИ во взломе, защите и глобальной трансформации бизнеса.

Делимся подробностями.

2026-й в кибербезе 👋

Сегодня в России есть все необходимые решения, чтобы обеспечивать киберзащищенность на любом уровне — от отдельных компаний до отраслей и страны в целом.

Например, завершилась многолетняя битва за создание и выход на рынок отечественных NGFW, что было бы невозможно и нерентабельно без ухода западных вендоров. И эту битву мы провели достойно — теперь на рынке есть надежное решение от нас.

Во время сессии Дмитрий Григоренко, заместитель Председателя Правительства РФ — Руководитель Аппарата Правительства РФ, отметил, что российские кибербез-компании — одни из лучших в мире, потому что их решения сразу тестируются в промышленной эксплуатации, а не в опытной.

Вторая история — отрасль приняла концепцию кибериспытаний: чтобы понять, насколько система уязвима, проводятся контролируемые атаки для проверки возможности реализации недопустимого события.

В прошлом году такой эксперимент впервые успешно прошел за рамками платформ багбаунти — в пилотном регионе в электроэнергетике. Его будут масштабировать — до 2036 года на кибериспытания выйдут 500 компаний ТЭК.

Третья история — российский опыт противостояния масштабным киберугрозам вызывает огромный интерес у государств-партнеров. Например, на конференции GISEC в ОАЭ представителей Позитива расспрашивали об этом на всех уровнях — от технических специалистов до представителей министерств.

Вызовы и возможности 🧐

Атакующие больше не бьют сразу в головную компанию: они выстраивают цепочки поставок, ломают самое слабое звено и постепенно добираются до «головы».

В России такие взломы происходят вдвое чаще, чем в других странах, так как цель злоумышленников — не кража, а нанесение неприемлемого ущерба компании или целой отрасли. Поэтому защищать нужно не только себя, но и «того парня», который предоставляет вам услуги.

Второй вызов — новая модель атак. Раньше атаковали высококвалифицированные люди, но этим летом все изменилось: вдвое эффективнее действуют «школьники, усиленные ИИ» — люди со средней подготовкой, которым помогают несколько ИИ-агентов.

Более того, ИИ уже способен действовать самостоятельно ради выполнения поставленной задачи. Если, например, студенту для курсовой нужны свежие данные, агент может попытаться получить их с закрытого портала, обойдя защиту: человеческого понимания того, что хорошо, а что плохо, у него нет.

Михаил Мишустин, Председатель Правительства РФ, также отметил, что ИИ-агенты уже способны проводить кибератаки, и борьба с подобными преступлениями будет требовать скоординированных усилий отраслей ИТ и кибербеза.

Третий вызов — атакующие переключились с зарубежного на импортозамещенное российское ПО, и с точки зрения устранения уязвимостей здесь еще есть над чем поработать.

Перспективы 🤖

Скорость атак выросла радикально. Раньше после выхода патча у вендора было около 72 часов до начала атак, сейчас с системами типа Mythos — всего 40 минут.

Человеческие процессы — тикеты, согласования, исправления — занимают часы и дни. Без пересборки продуктов и процессов противостоять ИИ-атакам уже не выйдет. Это окно возможностей для вендоров: кто перестроится, тот получит огромное преимущество.

И еще один важный момент — люди, которые могут остаться не у дел. В отрасли кибербеза впервые появилась подрывная технология, способная заменить человека во многих ролях и задачах. При прагматичном и быстром подходе до 30% ролей в компаниях потребуют пересмотра, а в перспективе изменения могут затронуть до 2 млрд человек.

Задача — понять, как применить этот высвободившийся человеческий потенциал в новом мире.

#POSI #позитив

комментариев