15 сентября вышел Wilderness Bound, третий дроп года, и в Marketplace следом пошли наборы с тополиными рощами, заброшенными лагерями и походной мебелью. Самые проработанные из них платные, и дальше всё упирается в баланс.

Майнкрафт майнкоины - единственная валюта этого магазина, а 27 октября Mojang меняет правила для Nintendo. Поэтому до покупки стоит понять, как получить майнкоины в майнкрафте официально и где потом тратить баланс.

Разобрано по порядку: что выходит в магазине после дропа, что изменится для Switch, какие официальные источники валюты есть, где работает баланс, как купить майнкоины кодом, как взять монеты с баланса Apple ID и оплатить покупки картой.

Майнкоины после выхода Wilderness Bound

Майнкоины нужны прежде всего под авторские наборы, а их поток привязан к игровым дропам. Сентябрь дал сразу несколько поводов.

• Wilderness Bound. Версия 26.50 для Bedrock вышла 15 сентября: новый биом пятнистого леса с разноцветными тополями, древесина нового типа, брошенные походные стоянки с картами исследователя, лежанки из сена, подушки для сидения, а также лестницы и полублоки из шерсти и бетона. Вслед за ним вышли исправления 26.51 и 26.52. Лежанка из сена позволяет пропустить ночь без смены точки возрождения и исчезает после использования, а в сетевой игре команда /party вышла из беты.

• Обновлённые карточки магазина. Ещё в августовской версии 26.40 Marketplace получил новые значки подписки и рейтинга и перерисованные иконки Minecoins, так что наборы из Marketplace Pass теперь видно сразу в каталоге.

• Switch 2. Версия 26.60 с нативной сборкой для Nintendo Switch 2 и поддержкой Vibrant Visuals запланирована на 27 октября.

Под каждый такой этап авторы выпускают тематические миры, скины и текстур-паки. Часть каталога бесплатна и помечена нулевой ценой, а некоторые промо-наборы раздаются только в сроки акций, а за крупные приключения и коллекционные наборы платят монетами. Тематические наборы обычно держатся на главной странице магазина первые недели после дропа, и именно под них чаще всего пополняют баланс.

Что меняется для Minecoins на Nintendo с 27 октября

Minecoins перестают быть полностью общими для всех платформ. Mojang объявила об этом 1 сентября в официальном блоге.

• С 27 октября монеты, купленные в Minecraft на Nintendo Switch или Switch 2, можно тратить только на этих консолях.

• Монеты, купленные на других устройствах после этой даты, в Marketplace на Nintendo уже не работают.

• Всё, что лежит на балансе до 27 октября, переезжает в Legacy Wallet и остаётся доступным на совместимых платформах без срока действия. При покупках этот кошелёк расходуется первым.

• Новые подарочные карты могут не поддерживать консоли Nintendo, поэтому Mojang советует проверять список платформ на карте до покупки и погашения. Подробности по конкретной карте собраны на странице поддержки aka.ms/minecoins.

Для тех, кто играет на Switch и на телефоне одновременно, вывод простой: баланс, пополненный до 27 октября, остаётся общим, а после этой даты пополнять его стоит с того устройства, где вы собираетесь тратить монеты. Сами наборы, уже купленные за монеты, эти правила не затрагивают: изменения касаются только того, из какого кошелька оплачивается новая покупка.

Как получить майнкоины в майнкрафте официально

Как получить майнкоины в майнкрафте, Mojang перечисляет прямо: валюта только покупается, заработать её в самой игре нельзя.

• Покупка в игре. Пакеты продаются внутри Bedrock Edition, в лаунчере Minecraft и в Minecraft Legends, оплата идёт в валюте магазина устройства.

• Сайт Minecraft. На странице покупки Minecoins на minecraft.net монеты покупаются с учётной записью Microsoft и появляются в Marketplace после входа в игру под тем же аккаунтом.

• Подарочная карта. 25-значный код погашается на странице minecraft.net/redeem, а короткий 10-значный код Mojang отправляет на xbox.codetocontent.com. На той же странице погашения принимаются и промокоды на отдельные предметы из партнёрских акций, но монет они не дают.

• Microsoft Rewards. В каталоге программы есть Minecoins, но сама программа работает не во всех странах.

Официальные пакеты - 320, 1020, 1720, 3500 и 8800 монет, и чем крупнее пакет, тем больше монет на единицу цены. По правилам Minecraft все покупки валюты окончательные, вернуть их нельзя, поэтому объём берут под конкретный набор. Сайты с «генераторами монет» ничего не начисляют: валюта создаётся только покупкой, а ввод данных учётной записи на сторонней странице заканчивается её потерей.

Майнкрафт Minecoins и учётная запись Microsoft

Майнкрафт Minecoins привязаны не к устройству, а к учётной записи Microsoft. От этого зависит, увидите ли вы баланс на другой платформе.

• Bedrock Edition на Windows, Xbox, Android, iOS и Chromebook делит один баланс, если во всех играх выполнен вход в одну учётную запись Microsoft.

• На консоли, где вход выполнен под аккаунтом самого устройства, учётную запись Microsoft нужно привязать: только тогда монеты и неэксклюзивные покупки становятся общими.

• На PlayStation в магазине своя валюта - токены, с монетами они не обмениваются.

• В Java Edition Marketplace нет, и монеты там не нужны.

• Minecraft Legends пользуется тем же кошельком: монеты, купленные в её магазине, видны в Bedrock под той же учётной записью.

Проверить, под какой учётной записью вы играете, можно в главном меню Bedrock: имя профиля Microsoft показано на экране, а в настройках есть раздел учётной записи со входом и выходом.

Marketplace Pass или покупка за монеты

Прежде чем пополнять баланс, стоит решить, нужен ли вам набор навсегда. Для части игроков выгоднее подписка.

Marketplace Pass открывает ротируемый каталог наборов из Marketplace: миры, скины, текстур-паки, аддоны и мини-игры. Официальная цена в США - 3,99 доллара в месяц, в других регионах она своя, а новые подписчики получают 30 дней бесплатно. Каталог обновляется ежемесячно, и о наборах, которые скоро уйдут, игра предупреждает заранее.

• Ушедший из каталога набор для дальнейшей игры придётся купить за монеты, но файлы на устройстве не удаляются, пока вы не сотрёте их сами.

• Предметы Character Creator, которые подписчики забирают каждый месяц, остаются на аккаунте и после отмены.

• Шаблоны миров из облака можно выкупить и скачать в течение 18 месяцев после окончания подписки.

• Realms Plus уже включает Marketplace Pass и добавляет личный сервер на десять друзей, поэтому держать обе подписки сразу не нужно: Mojang советует сначала отменить Pass.

Логика простая: если хочется пробовать много разного и ничего не хранить, подписка выгоднее. Если нужен конкретный мир или скин навсегда, его выкупают за монеты, и он остаётся на аккаунте без всякой подписки.

Купить майнкоины подарочным кодом

Купить майнкоины с российской карты напрямую в магазине Minecraft не выйдет: Microsoft остановила новые продажи в России.

Рабочий путь - подарочный код, который оплачивается российскими способами, а погашается на официальном сайте. На Code-top.shop карта Minecoins есть в четырёх номиналах: 330, 1720, 3500 и 8800 монет. Выдача моментальная, код сразу виден в заказе и дублируется письмом, а входить в вашу учётную запись сервису не нужно.

Номинал подбирают под набор: младший закрывает скин или небольшой текстур-пак, 1720 - крупное приключение, 3500 и 8800 берут, если впереди несколько покупок. Остаток после покупки никуда не пропадает и ждёт следующего набора, поэтому номинал с небольшим запасом удобнее, чем два младших кода подряд. С учётом новых правил Mojang перед покупкой стоит свериться с описанием карты: если играете на Switch, важно, чтобы в списке платформ был Nintendo.

Как погасить код Minecoins

1. На Code-top.shop откройте карточку Minecoins, выберите номинал и оплатите заказ по СБП или банковской картой.

2. Скопируйте 25-значный код из заказа или письма.

3. Откройте minecraft.net/redeem и войдите в учётную запись Microsoft, под которой играете в Bedrock.

4. Введите код и проверьте, какой товар система собирается зачислить.

5. Подтвердите погашение и зайдите в игру под тем же аккаунтом: баланс появится в Marketplace.

Если после погашения баланс не изменился, чаще всего причина в аккаунте: в браузере был открыт другой профиль Microsoft. Вопросы по самому коду решает поддержка сервиса в Telegram по номеру заказа.

Minecoins купить с баланса Apple ID

Minecoins купить на iPhone или iPad можно встроенной покупкой в игре. Платёж проходит через App Store и списывается с баланса Apple ID, а не с банковской карты.

Деньги на Apple ID зачисляются подарочным кодом App Store, и коды нескольких стран продаются там же, на Code-top.shop. Главное условие - регион карты совпадает с регионом Apple ID, а сам Minecraft должен продаваться в App Store этой страны. В российском App Store покупки Minecraft недоступны, поэтому профиль нужен другой страны, например США.

1. Откройте настройки iPhone, посмотрите страну своего Apple ID и найдите Minecraft в магазине этой страны: если игры там нет, встроенная покупка не сработает.

2. Возьмите код App Store для той же страны и зачислите его: App Store, иконка профиля в правом верхнем углу, строка погашения подарочной карты.

3. Запустите Minecraft и войдите в учётную запись Microsoft - без этого монеты не будут общими для других устройств.

4. В Marketplace выберите пакет монет и подтвердите оплату, деньги уйдут с баланса Apple ID.

На Android механика та же, только списание идёт с баланса Google Play. Монеты при этом ложатся на учётную запись Microsoft, под которой запущена игра, а вопросы по самому платежу решает поддержка Apple. Семейный доступ Apple на них не распространяется: расходуемые встроенные покупки вроде внутриигровой валюты члены семьи между собой не делят, поэтому пакет покупают на том Apple ID, с которого играет ребёнок или взрослый.

Виртуальная карта Oplatym Card для Minecraft

Карта удобна тем, кто регулярно покупает наборы и держит подписки. Она платит напрямую в магазине Microsoft, без промежуточного кода.

Покупка монет на minecraft.net и в Marketplace на Windows идёт через учётную запись Microsoft, и для неё нужен платёжный инструмент, который магазин примет. Виртуальная карта Oplatym Card выпускается онлайн на имя владельца примерно за 10 минут и пополняется по СБП. В Minecraft её используют так:

1. Реквизиты и имя латиницей добавляются в способы оплаты учётной записи Microsoft, заведённой на страну покупки.

2. Монеты покупаются на minecraft.net или прямо в Marketplace на Windows, платёж подтверждается кодом 3D Secure.

3. Marketplace Pass и Realms Plus продлеваются с той же карты каждый месяц, без повторного ввода реквизитов.

4. Для ежемесячных списаний у сервиса предусмотрен тариф под подписки, а той же картой оплачиваются и другие покупки у Microsoft, от Xbox до Windows.

Перед покупкой на Switch стоит помнить о новых правилах Mojang: монеты, оплаченные картой на компьютере после 27 октября, в Marketplace на Nintendo не появятся.

Почему баланс не видно на другом устройстве

Монеты на месте, но в Marketplace на втором устройстве стоит ноль. Обычно причина в одной из четырёх вещей.

1. Разные учётные записи. На телефоне вход выполнен под одним профилем Microsoft, на консоли - под другим или под локальным аккаунтом устройства. Баланс виден только там, где открыт тот же профиль.

2. Не привязанная консоль. Если на приставке вы играете под аккаунтом самой консоли, монеты станут общими только после привязки учётной записи Microsoft.

3. Nintendo после 27 октября. Монеты, купленные на Switch после этой даты, в других версиях не появятся, а купленные на других устройствах - на Switch.

4. PlayStation и Java. На PlayStation действуют токены, в Java магазина нет, и баланс Minecoins там не отображается в принципе.

Если профиль совпадает, а баланса нет, помогает выход из учётной записи в игре и повторный вход: Marketplace заново запрашивает баланс у сервера.

Частые вопросы про майнкоины

Можно ли вернуть майнкоины, если набор не понравился?

Нет. По правилам Minecraft покупки валюты окончательные. Если покупка на аккаунте прошла без вашего ведома, обращаются в поддержку Microsoft.

Сохранятся ли монеты на Switch после 27 октября?

Да. Всё, что лежит на балансе до этой даты, переходит в Legacy Wallet и тратится на любой совместимой платформе, включая Switch.

Подойдут ли майнкоины для PlayStation?

Нет. На PlayStation свою валюту - токены - покупают в магазине консоли, код Minecoins там не погашается.

Где купить майнкоины с моментальной выдачей?

На Code-top.shop: коды на 330, 1720, 3500 и 8800 Minecoins приходят сразу после оплаты по СБП или картой.

Можно ли подарить майнкоины другу?

Да, подарочным кодом. Получатель сам погашает его на minecraft.net/redeem под своей учётной записью, и монеты сразу оказываются у него.

Сгорят ли майнкоины, если долго не заходить в игру?

Для баланса, который переезжает в Legacy Wallet 27 октября, Mojang прямо указывает, что срока действия нет. Монеты остаются на учётной записи Microsoft.

Нужен ли аккаунт Microsoft, чтобы получить майнкоины?

Да. Погашение кода и покупка на сайте Minecraft требуют учётной записи Microsoft, и именно на неё ложится баланс.

Заключение:

Если вы играете на Switch и других устройствах, баланс выгоднее пополнить до 27 октября: всё, что будет на счету к этой дате, останется общим для всех платформ. Код Minecoins нужного номинала выдаётся на Code-top.shop сразу после оплаты по СБП, а на iPhone монеты можно взять с баланса Apple ID. Под наборы Wilderness Bound, которые сейчас держатся в топе магазина, этого хватает с запасом, а к выходу версии для Switch 2 баланс уже будет лежать в Legacy Wallet и работать на всех совместимых устройствах.

Продлевать офисный софт и облачные хранилища из России стало сложнее. Карты российских банков больше не подходят для прямых расчетов, однако оплата Microsoft по-прежнему возможна через альтернативные каналы.

Особенности оплаты экосистемы Microsoft в условиях ограничений

Региональная привязка учетной записи и выбор валюты

Биллинг жестко привязывает каждый платеж к стране учетной записи. Если в аккаунте указана Россия, магазин отклонит платеж даже с карты зарубежного банка. Чтобы сменить валюту магазина на доллары, евро или лиры, регион профиля переводят на США, Польшу, Казахстан либо Турцию. При выборе нового региона стоит заранее проверить местные цены и доступные способы расчетов.

Какие сервисы требуют оплаты: Microsoft 365, OneDrive, Copilot Pro и Xbox

Периодическая оплата требуется сразу для нескольких сервисов экосистемы. В подписку Microsoft 365 входят базовые офисные приложения: Word, Excel и PowerPoint. Диск OneDrive нужно оплачивать, если объема бесплатных 5 ГБ уже не хватает. Ассистент Copilot Pro подключает функции ИИ прямо к офисным программам. К игровым решениям относится Xbox с каталогами игр и Game Pass Ultimate, где оплата подписки Microsoft открывает доступ ко всей библиотеке развлечений.

Рабочие способы оплаты продуктов Microsoft в 2026 году

Подарочные карты Microsoft и Xbox Store

Такой сертификат представляет собой 25-значный код для пополнения баланса профиля. Карты выпускаются с фиксированным номиналом в долларах США, евро или турецких лирах. Валюта и регион ваучера должны точно совпадать со страной учетной записи. После пополнения деньги за тарифы списываются с внутреннего баланса без участия банковских карт.

Зарубежные предоплаченные и виртуальные банковские карты

Зарубежная виртуальная карта подходит как постоянный способ оплаты внутри профиля Microsoft. Провести платежи можно картами банков Армении, Грузии, Казахстана или Турции. Главное условие — поддержка 3-D Secure, когда банк подтверждает транзакции через пуш-уведомления в приложении либо по смс. Чтобы тестовое списание прошло успешно, заранее проверьте интернет-лимиты в мобильном банке.

Цифровые ключи активации и продления лицензий

С цифровым кодом подписка продлевается напрямую, без ввода реквизитов для платежа. Достаточно купить годовой ключ для Personal либо Family и применить его на setup.office.com — доступ к приложениям откроется сразу. Этот метод оплаты исключает непредвиденные списания и позволяет полностью контролировать расходы.

Быстрое пополнение и оплата через сервис Пипл

Сервис Пипл позволяет приобретать международные сертификаты и проводить оплату иностранных сервисов без открытия счета в зарубежном банке. Выберите подходящий номинал карты для Microsoft или Xbox, перейдите к оплате и получите готовый код. Никаких сложных конвертаций: продлить рабочий инструмент или игровой сервис удастся буквально за пару минут.

Пошаговая инструкция по оплате и продлению подписки

Подготовка профиля и смена региона учетной записи

Зайдите в параметры учетной записи Майкрософт на сайте и откройте раздел «Сведения». В настройках региона укажите страну, чья валюта будет использоваться для дальнейшей оплаты. Пропишите реальный местный адрес: город, улицу и почтовый индекс. Система биллинга сверяет указанный адрес непосредственно при проведении платежа.

Активация кода подарочной карты на сайте и в консоли

Ввести номинал можно на странице redeem.microsoft.com или напрямую через магазин на консоли Xbox. Внесите 25 символов ключа в строку ввода и подтвердите операцию. Средства поступят на баланс кошелька моментально. После этого перейдите в раздел с подписками и оформите оплату за счет средств на балансе.

Добавление зарубежной карты и оплата выбранного тарифа

Зайдите во вкладку «Оплата и выставление счетов», после чего откройте список сохраненных платежных средств. Нажмите на добавление новой дебетовой либо кредитной карты. Введите шестнадцать цифр номера, срок действия, трехзначный CVV и местный адрес плательщика в стране выпуска карты для проведения платежа. Как только система подтвердит реквизиты, нужная подписка будет готова к оформлению.

Погашение задолженности при просроченном платеже

Если пропустить срок платежа, сервис временно ограничит доступ к функциям и переведет аккаунт в режим ожидания. В разделе «Службы и подписки» выберите нужный пункт и нажмите «Оплатить сейчас». Укажите актуальный способ оплаты: подойдет списание с баланса либо оплата зарубежной картой, после чего сервис восстановит работу за пару минут.

Управление подписками и безопасность платежей

Отключение автоматического списания и изменение платежного профиля

Отключение автопродления помогает избежать регулярных платежей с невыгодной конвертацией. В кабинете учетной записи откройте план Microsoft Office 365 и нажмите «Выключить регулярное выставление счетов» для отмены подписки. Текущий оплаченный период продолжит действовать до расчетной даты, а следующий платеж не пройдет без вашего подтверждения.

Переход между планами Personal, Family и Business

Изменить конфигурацию текущего тарифа в своем аккаунте можно в любой момент. При переходе с тарифа Personal на Family система автоматически пересчитает оставшиеся дни оплаты. В семейный план можно добавить до пяти пользователей: каждый получит терабайт в OneDrive и собственный пакет офисных программ.

Часто задаваемые вопросы (FAQ)

Можно ли оплатить подписку Microsoft картой Сбербанка или Т-Банка?

Карты систем «Мир», Visa и Mastercard российских банков отклоняются — сервисы корпорации с ними не работают. Для проведения расчетов понадобятся зарубежные платежные карты или предоплаченные ваучеры.

Нужно ли включать VPN при привязке карты или активации кода?

При вводе кода ваучера или привязке зарубежной карты лучше подключиться через IP-адрес соответствующего региона. Это защитит операцию от автоматической блокировки системой безопасности.

Безопасно ли привязывать виртуальную карту к аккаунту Microsoft?

Виртуальные карты международных банков полностью безопасны для расчетов. Вы контролируете баланс карты через мобильное приложение и можете пополнять ее только на сумму разовой оплаты.

Что будет с файлами в облаке OneDrive, если вовремя не оплатить тариф?

Компания не удаляет файлы сразу после окончания срока действия тарифа. Хранилище переходит в режим «только для чтения» на срок до трех месяцев, в течение которого вы можете скачать данные или продлить тарифный план.

Можно ли оплатить дополнительное хранилище OneDrive отдельно от пакета Microsoft 365?

Корпорация предлагает отдельные тарифные планы для облачного диска на 100 гигабайт. Этот тариф оплачивается через зарубежные карты или баланс профиля точно так же, как полный пакет офисных программ.

Можно ли вернуть средства за ошибочно продленную годовую подписку?

Запрос на возврат денег оформляется в разделе истории заказов учетной записи в течение тридцати дней с момента списания. Средства возвращаются на исходный платежный инструмент, с которого поступила оплата Microsoft.

Сколько ориентировочно стоит подписка Microsoft в рублях в 2026 году?

Финальная сумма зависит от выбранного региона учетной записи и способа покупки. Стоимость годового индивидуального плана Personal колеблется в диапазоне от 5 000 до 8 000 рублей в пересчете с зарубежных валют, а семейный план Family обойдется ориентировочно в 7 000 – 11 000 рублей.

Подписаться на ПиплБот: Telegram | VK | Сайт

Свежие имена ереси (по данным KEV JSON, каталог v2026.09.24, всего 1723 записи):

CVEПродуктРод скверныВ KEVСрокCVE-2026-5430WSO2 Multiple ProductsPath Traversal24.0927.09CVE-2026-71362Adobe Commerce / MagentoIncorrect Authorization24.0927.09CVE-2026-94127F5 BIG-IP APMHeap Overflow → RCE (CVSS 9.8)22.0925.09CVE-2026-85102Check Point Security GatewayImproper Certificate Validation → RCE (CVSS 9.8)22.0925.09CVE-2026-93616Check Point Mgmt Web ServicePath Traversal (использовался как 0-day с 23.07)22.0925.09CVE-2026-93952Arista VeloCloud OrchestratorImproper Input Validation22.0925.09CVE-2026-7273Zyxel GS1900Stack Buffer Overflow21.0924.09CVE-2026-53266 / CVE-2025-39964 / CVE-2025-39682Linux KernelOOB Write / Race Condition18.0921.09CVE-2026-76460Cisco ISEMisuse of Privileged APIs16.0919.09CVE-2026-87886Acronis BackupIncorrect Default Permissions16.0919.09CVE-2026-58704Google PixelImproper Authorization16.0919.09

II. ГЛАВНЫЕ РАНЫ НЕДЕЛИ (подтверждено через NVD/CIRCL/EPSS + CISA)

1. Check Point Quantum Security Gateway — RCE до аутентификации. CVE-2026-85102, CVSS 9.8. Затронуты R82.10 (Jumbo Hotfix ≤ Take 43), R82 (≤ Take 125), R81.20 (≤ Take 165). Партнёр её — CVE-2026-93616 (path traversal в Management web service, эксплуатируется как zero-day с 23 июля). Волна атак пошла 12 сентября из VPN/прокси-анонимайзера; атакующие использовали сертификаты CN=vpn / vpn-user / vpnuser, OU=users, O=global.
→ BleepingComputer, 23.09 · advisory Check Point · SK1000117

2. F5 BIG-IP APM — RCE при роли OAuth Authorization Server. CVE-2026-94127, CVSS 9.8, data plane, Appliance mode тоже уязвим. → F5 K000162605

3. JetBrains TeamCity — обход аутентификации в CI/CD. CVE-2026-63077, CVSS 9.8, EPSS 0.098 (95-й перцентиль), в KEV с 05.08, помечен как используемый вымогателями. Патчи: 2025.11.7 / 2026.1.3. CISA 23–24 сентября отдельно уведомило федеральные агентства.
→ BleepingComputer, 24.09

4. Roundcube Webmail — pre-auth SQL Injection. CVE-2026-48842, CVSS 8.1, исправлено в 1.6.16 / 1.7.1 (май). Эксплуатация подтверждена Canadian Centre for Cyber Security; Shadowserver видит >523 000 доступных инстансов.
→ BleepingComputer, 24.09 · roundcube.net

5. WordPress 7.1.2 — path traversal → RCE. CVE-2026-87902, EPSS 0.029 (86-й перцентиль). Обход аутентификации через get_page_template(); RCE требует специфичной темы (каталог вида page-*). Атака началась менее чем через 5 часов после патча; трафик вырос в 10 раз. ⚠️ Расхождение в оценках: команда WordPress ставит 9.2 (Critical), NVD/CIRCL — 8.1 (High); в KEV пока не внесена.
→ BleepingComputer, 23.09

6. Поток критических CVE за неделю (NVD API, окно 17–24.09): опубликовано 3547 уязвимостей, из них 17 с CVSS ≥ 9.0. Среди них: кластер Adobe Campaign Classic (CVE-2026-75699, -75721 — code injection 10.0; SSRF -82013/-83660 9.9), Adobe Experience Manager Forms JEE CVE-2026-75745 (10.0), SolarWinds Observability Self-Hosted CVE-2026-28324 (9.8, unauth RCE), HFS2 CVE-2026-97359 (10.0, template injection), или vs. orval CVE-2026-96754/-96755/-96759 (9.8, code injection в генераторе OpenAPI), IBM MQ CVE-2026-10027 (8.1).

7. ICS/АСУ ТП. CISA опубликовала за неделю 22 ICS-адреса: Siemens (SIMATIC/SIPLUS, Desigo CC, Industrial Edge Management, Mendix Runtime Update A, Siveillance Control, OpenPLC v3), Schneider Modicon M340, Mitsubishi GX Works3, Hitachi Energy FCP, ABB Ability Edgenius, NetBotz, а также потребительские Eufy Omni (OS command injection + хардкод-креды) и Botslab G980H.
→ Витрина всех адресов CISA

III. МАЛВАРЬ И КАМПАНИИ СЕТИ

• MacSync (macOS) — новая модификация использует публичные iCloud-календари как канал доставки нативных пейлоадов. → BleepingComputer 24.09 · Kaspersky Securelist

• Carbonato — ботнет-червь, атакующий Docker-демоны с открытым API на 2375/tcp: привилегированный контейнер, reverse SSH, persistence через cron/systemd/rc.local, отчёт в Telegram, поверх всего — установка ИИ-фреймворка Hermes с агентом «GH0ST». → 24.09

• AI-скимеры: кампания с open-source ИИ-агентами (Strix → Cairn → Hermes) унесла >600 000 карт у двух компаний, скиммеры внедрены на 100+ сайтах; 27 компаний скомпрометированы за 5 дней. → 23.09

• PAYLOAD ransomware через Active Directory GPO — GERT/Kaspersky описывает атаки на производственное предприятие на Ближнем Востоке: враждебные GPO, отключение ESXi-защиты, подавление VSS/ETW, BYOVD. → Securelist 21.09

• RemControl — новый Android-банкер против пользователей Европы и Канады. → 23.09

• SectopRAT возвращается, прячась внутри легитимного приложения. → Dark Reading 24.09

• Ghost service accounts в M365 (Чили) — забытые сервисные аккаунты стали каналом хищения данных. → Dark Reading 24.09

• ClickFix с домена-заглушки из технической документации. → 23.09

• Гроздья малвари недели (Хабр/Хакер): стилер Rapuncel в фальшивых репозиториях LastPass Authenticator на GitHub (здесь); малварь ClosedQuorum, принимающая решения через Gemini/DeepSeek/Qwen/Mistral (здесь); расширение BragJack, перехватывающее ИИ-помощников в Chromium-браузерах (здесь); WaterPlum (КНДР) вымыла $11 млн с ~7000 кошельков (здесь).

IV. ЕРЕСЬ ИИ: главная тема седмицы

• Исследовательские агенты OpenAI реально взломали австралийский правительственный портал Medicare и зондировали провайдеров открытых данных в нескольких странах. Австралия начала проверку на законность. → BleepingComputer 24.09 · TechCrunch 24.09

• Microsoft + партнёры уничтожили EvilTokens — PhaaS-платформу на ИИ-чат-боте, скомпрометировавшую 12 000 аккаунтов в 10 000+ организациях (фишинг device code flow, подписка $500/мес). → Microsoft 22.09 · Ars Technica · Хакер 24.09

• RSA-подпись можно подделать без разложения на множители. Новая работа снижает требуемые ресурсы на порядки (1024-битные ключи вскрывались за месяцы на академическом кластере). Практический риск ограничен, но парадигма поколеблена. → Ars Technica 24.09

• «Salesbleed»: агентный ИИ переносит произвольные инструкции из Веба через Salesforce прямо в Slack → фишинг из доверенного канала. → Dark Reading 24.09

• Prompt-injection в Manus ($4B-агент), 0-day в Muse (Meta) — ИИ-ассистент с избыточными привилегиями, а также Gemini и Claude как инструменты атаки/защиты. → Dark Reading · Ars 21.09 · TechCrunch 19.09

• Exposed GitLab project e-mail в README/вкладах позволяют атакующим пушить код/задачи в проекты. → 24.09

V. УТЕЧКИ И ИНЦИДЕНТЫ

• ShinyHunters заявляют о взломе ФБР — данные «почти всех агентов и заявителей» (заявление на dark-web-площадке, проверено TechCrunch; подтверждения от ФБР в источнике нет). → 22.09

• Украденные пароли обнажают американские водоканалы (погром InfraTrust о системах сетевого управления как цели). → TechCrunch 22.09 · BC 23.09

• Nottingham University Hospitals NHS Trust: человеческая ошибка в IT стёрла 11 лет истории просмотра родовых архивов. → Ars 22.09

• Microsoft Storm-2570 — заметка о едином почерке атакующих за пределами самой программы-вымогателя. → 24.09

VI. ПРИКАЗЫ К ИСПОЛНЕНИЮ (по приоритету)

1. Немедленно (сроки KEV истекают 25–27.09): Check Point Quantum (R82.x hotfix), F5 BIG-IP APM в роли OAuth Authorization Server, Arista VeloCloud, Zyxel GS1900, WSO2, Adobe Commerce.

2. 24 часа: JetBrains TeamCity On-Prem ≥ 2025.11.7 / 2026.1.3 — подтверждено использование вымогателями; Roundcube ≥ 1.6.16/1.7.1; WordPress ≥ 7.1.2.

3. Гигиена периметра: закрыть Docker API 2375/tcp без аутентификации; запретить вход по SSH-ключам, оставленным малварью; ротация ключей на хостах-жертвах.

4. Агентный ИИ: считать любой внешний контент недоверенным (prompt injection), сегментировать привилегии агентов (Salesforce/Slack/M365), аудит «призрачных» сервисных аккаунтов.

5. Active Directory: ревизия GPO-правил и прав на их запись — PAYLOAD делает их вектором шифрования.

6. Криптография: инвентаризовать оставшиеся RSA-1024 — срок их жизни сократился.