Luka Bezpieczeństwa

Giełda kryptowalut Bitget potwierdziła, że atakujący odpowiedzialni za kradzież 387,5 miliona dolarów wykorzystali lukę typu zero-day w zabezpieczeniach zewnętrznych dostawców. Atak polegał na wykorzystaniu wewnętrznych poświadczeń wysokiego poziomu, co pozwoliło na wydawanie fałszywych poleceń wypłat i obchodzenie systemów kontroli ryzyka. Włamanie, do którego doszło poprzez skompromitowanie produktów zabezpieczeń A i B, dotknęło 11 blockchainów, a wstępne analizy wskazują na zaangażowanie północnokoreańskich grup hakerskich.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Giełda kryptowalut Bitget potwierdziła, że atakujący odpowiedzialni za kradzież 387,5 miliona dolarów wykorzystali lukę typu zero-day w zabezpieczeniach zewnętrznych dostawców. Atak polegał na wykorzystaniu wewnętrznych poświadczeń wysokiego poziomu, co pozwoliło na wydawanie fałszywych poleceń wypłat i obchodzenie systemów kontroli ryzyka. Włamanie, do którego doszło poprzez skompromitowanie produktów zabezpieczeń A i B, dotknęło 11 blockchainów, a wstępne analizy wskazują na zaangażowanie północnokoreańskich grup hakerskich.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Cisco ostrzega przed aktywnym wykorzystywaniem krytycznej luki zero-day CVE-2026-76504 w systemie Cisco Catalyst SD-WAN Manager, która pozwala zdalnym atakującym na obejście uwierzytelniania i przejęcie kontroli nad API jako użytkownik administratora. Luki tej można exploatować poprzez spreparowane żądanie HTTP, nie wymagając żadnych poświadczeń, co stawia w szczególnym ryzyku menedżery wystawione na internet. Cisco udostępniło już poprawki, jednak nadal zaleca ograniczenie dostępu do zarządzanych systemów z niezabezpieczonych sieci.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Cisco ostrzega przed aktywnym wykorzystywaniem krytycznej luki zero-day CVE-2026-76504 w systemie Cisco Catalyst SD-WAN Manager, która pozwala zdalnym atakującym na obejście uwierzytelniania i przejęcie kontroli nad API jako użytkownik administratora. Luki tej można exploatować poprzez spreparowane żądanie HTTP, nie wymagając żadnych poświadczeń, co stawia w szczególnym ryzyku menedżery wystawione na internet. Cisco udostępniło już poprawki, jednak nadal zaleca ograniczenie dostępu do zarządzanych systemów z niezabezpieczonych sieci.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Wykryto lukę o wysokiej szkodliwości w OpenSSL, która może prowadzić do wycieku pamięci sterty lub awarii programu w połączeniach DTLS. Problem związany z resendowaniem komunikatów handshake, gdy większy komunikat jest częściowo wysyłany, został zaadresowany w najnowszych wersjach OpenSSL, choć niektóre starsze gałęzie wymagają płatnego wsparcia. Luka, śledzona jako CVE-2026-84782, jest wykorzystywana do ochrony kanałów danych WebRTC i kluczy szyfrowania rozmów internetowych, a jej wpływ na poufność jest niski, lecz na dostępność wysoki.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Wykryto lukę o wysokiej szkodliwości w OpenSSL, która może prowadzić do wycieku pamięci sterty lub awarii programu w połączeniach DTLS. Problem związany z resendowaniem komunikatów handshake, gdy większy komunikat jest częściowo wysyłany, został zaadresowany w najnowszych wersjach OpenSSL, choć niektóre starsze gałęzie wymagają płatnego wsparcia. Luka, śledzona jako CVE-2026-84782, jest wykorzystywana do ochrony kanałów danych WebRTC i kluczy szyfrowania rozmów internetowych, a jej wpływ na poufność jest niski, lecz na dostępność wysoki.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Firma Kiteworks, działając we współpracy z federalnymi agencjami wywiadowczymi, zidentyfikowała i naprawiła krytyczną lukę bezpieczeństwa, która została odkryta podczas zaplanowanego, dziewięciogodzinnego przestoju zapobiegawczego; luka ta dotyczyła funkcji dostępnej dla mniej niż 1% użytkowników i nie ma dowodów na jej wykorzystanie, a wszystkie produkty Kiteworks zostały dodatkowo zabezpieczone.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Firma Kiteworks, działając we współpracy z federalnymi agencjami wywiadowczymi, zidentyfikowała i naprawiła krytyczną lukę bezpieczeństwa, która została odkryta podczas zaplanowanego, dziewięciogodzinnego przestoju zapobiegawczego; luka ta dotyczyła funkcji dostępnej dla mniej niż 1% użytkowników i nie ma dowodów na jej wykorzystanie, a wszystkie produkty Kiteworks zostały dodatkowo zabezpieczone.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Apple opublikowało aktualizacje bezpieczeństwa dla systemów iOS, iPadOS i macOS, aby załatać lukę w komponencie CoreGraphics (CVE-2026-86950). Ta nieprawidłowość typu “out-of-bounds write” mogła prowadzić do wykonania dowolnego kodu podczas przetwarzania spreparowanego pliku i według producenta mogła być wykorzystywana w zaawansowanych, ukierunkowanych atakach na konkretne osoby. Poprawka została wprowadzona dzięki usprawnionemu sprawdzaniu granic.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Apple opublikowało aktualizacje bezpieczeństwa dla systemów iOS, iPadOS i macOS, aby załatać lukę w komponencie CoreGraphics (CVE-2026-86950). Ta nieprawidłowość typu “out-of-bounds write” mogła prowadzić do wykonania dowolnego kodu podczas przetwarzania spreparowanego pliku i według producenta mogła być wykorzystywana w zaawansowanych, ukierunkowanych atakach na konkretne osoby. Poprawka została wprowadzona dzięki usprawnionemu sprawdzaniu granic.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Giełda kryptowalut Bitget padła ofiarą kradzieży 388 milionów dolarów, spowodowanej wykorzystaniem przez atakującego luki w zewnętrznym produkcie bezpieczeństwa. Przestępca uzyskał dostęp do wewnętrznych danych autoryzacyjnych i wykorzystał je do wysłania fałszywych poleceń wypłaty z portfeli hot i warm, podczas gdy portfele cold pozostały nienaruszone. W wyniku incydentu Bitget przywróciła część operacji, ograniczyła dostęp wewnętrzny, wprowadziła dodatkowe kontrole wypłat i planuje przegląd stosowanych produktów bezpieczeństwa stron trzecich.

Źródło: The Hackers News
Kategoria: Kryptowaluty
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Giełda kryptowalut Bitget padła ofiarą kradzieży 388 milionów dolarów, spowodowanej wykorzystaniem przez atakującego luki w zewnętrznym produkcie bezpieczeństwa. Przestępca uzyskał dostęp do wewnętrznych danych autoryzacyjnych i wykorzystał je do wysłania fałszywych poleceń wypłaty z portfeli hot i warm, podczas gdy portfele cold pozostały nienaruszone. W wyniku incydentu Bitget przywróciła część operacji, ograniczyła dostęp wewnętrzny, wprowadziła dodatkowe kontrole wypłat i planuje przegląd stosowanych produktów bezpieczeństwa stron trzecich.

Źródło: The Hackers News
Kategoria: Kryptowaluty
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Google ostrzega przed wznowioną masową eksploatacją krytycznej luki bezpieczeństwa CVE-2026-35273 w Oracle PeopleSoft, która umożliwia zdalne wykonanie kodu bez uwierzytelnienia. Atakujący z grupy UNC6240, powiązani z ShinyHunters, modyfikują swoje exploity, aby ominąć reguły Web Application Firewall (WAF) poprzez URL-kodowanie jednego znaku w ścieżce żądania, co pozwala na dostęp do wrażliwego punktu końcowego Environment Management Hub (PSEMHUB) i wdrożenie web shelli na dziesiątkach systemów w sektorach od edukacji po administrację rządową, grożąc wyłudzeniem danych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Google ostrzega przed wznowioną masową eksploatacją krytycznej luki bezpieczeństwa CVE-2026-35273 w Oracle PeopleSoft, która umożliwia zdalne wykonanie kodu bez uwierzytelnienia. Atakujący z grupy UNC6240, powiązani z ShinyHunters, modyfikują swoje exploity, aby ominąć reguły Web Application Firewall (WAF) poprzez URL-kodowanie jednego znaku w ścieżce żądania, co pozwala na dostęp do wrażliwego punktu końcowego Environment Management Hub (PSEMHUB) i wdrożenie web shelli na dziesiątkach systemów w sektorach od edukacji po administrację rządową, grożąc wyłudzeniem danych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Kanadyjskie Centrum ds. Cyberbezpieczeństwa ostrzega przed aktywnie wykorzystywaną luką CVE-2026-48842 w webmailu Roundcube, która pozwala atakującym na wstrzyknięcie złośliwego kodu SQL bez uwierzytelnienia, potencjalnie prowadząc do wycieku danych logowania i wiadomości pocztowych. Wydana w maju 2026 łatka dla wersji 1.6.x i 1.7.x powinna zostać jak najszybciej zastosowana, ponieważ dane wskazują na setki tysięcy podatnych na atak instancji.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Kanadyjskie Centrum ds. Cyberbezpieczeństwa ostrzega przed aktywnie wykorzystywaną luką CVE-2026-48842 w webmailu Roundcube, która pozwala atakującym na wstrzyknięcie złośliwego kodu SQL bez uwierzytelnienia, potencjalnie prowadząc do wycieku danych logowania i wiadomości pocztowych. Wydana w maju 2026 łatka dla wersji 1.6.x i 1.7.x powinna zostać jak najszybciej zastosowana, ponieważ dane wskazują na setki tysięcy podatnych na atak instancji.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Cloudflare naprawiło poważną lukę w usłudze Containers, która pozwalała jednym klientom na odczytanie pozostałości danych po innych użytkownikach z tego samego serwera. Problem dotyczył przestrzeni dyskowej, która nie była prawidłowo czyszczona po usunięciu kontenera, a którą wykorzystywały nowe instancje. Firma potwierdziła, że luka została załatana, a klienci nie muszą podejmować żadnych działań, jednocześnie zapewniając, że nie znaleziono dowodów na wykorzystanie tej metody przez osoby trzecie.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Cloudflare naprawiło poważną lukę w usłudze Containers, która pozwalała jednym klientom na odczytanie pozostałości danych po innych użytkownikach z tego samego serwera. Problem dotyczył przestrzeni dyskowej, która nie była prawidłowo czyszczona po usunięciu kontenera, a którą wykorzystywały nowe instancje. Firma potwierdziła, że luka została załatana, a klienci nie muszą podejmować żadnych działań, jednocześnie zapewniając, że nie znaleziono dowodów na wykorzystanie tej metody przez osoby trzecie.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Złośliwi aktorzy już kilka godzin po publicznym ujawnieniu zaczęli aktywnie wykorzystywać krytyczną lukę bezpieczeństwa w WordPress, oznaczoną jako CVE-2026-87902 (CVSS 9.2), która umożliwia nieautoryzowany zdalny wykonanie kodu (RCE). Skuteczne wykorzystanie tej podatności wymaga spełnienia dwóch warunków: aktywny motyw musi posiadać katalog nadrzędny rozpoczynający się od ‘page-’ oraz musi istnieć czytelny plik PHP na serwerze, co może prowadzić do kompromitacji systemu. Firmy zajmujące się bezpieczeństwem odnotowały liczne próby ataków pochodzące z różnych lokalizacji, co podkreśla pilną potrzebę aktualizacji systemów WordPress do wersji 7.1.2 lub nowszej.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Złośliwi aktorzy już kilka godzin po publicznym ujawnieniu zaczęli aktywnie wykorzystywać krytyczną lukę bezpieczeństwa w WordPress, oznaczoną jako CVE-2026-87902 (CVSS 9.2), która umożliwia nieautoryzowany zdalny wykonanie kodu (RCE). Skuteczne wykorzystanie tej podatności wymaga spełnienia dwóch warunków: aktywny motyw musi posiadać katalog nadrzędny rozpoczynający się od ‘page-’ oraz musi istnieć czytelny plik PHP na serwerze, co może prowadzić do kompromitacji systemu. Firmy zajmujące się bezpieczeństwem odnotowały liczne próby ataków pochodzące z różnych lokalizacji, co podkreśla pilną potrzebę aktualizacji systemów WordPress do wersji 7.1.2 lub nowszej.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Odkryto poważną lukę w zabezpieczeniach cPanel, która umożliwia użytkownikowi z dowolnym kontem hostingowym wykonanie kodu z uprawnieniami roota, dając pełną kontrolę nad serwerem. Dodatkowo, druga luka wtyczki WP Toolkit pozwala na manipulację bazami danych innych użytkowników, a trzecia umożliwia podgląd danych kalendarza i kontaktów. Firma cPanel udostępniła już załatane wersje oprogramowania, a odkrycia przypisuje badaczowi Ali Mustafa.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Odkryto poważną lukę w zabezpieczeniach cPanel, która umożliwia użytkownikowi z dowolnym kontem hostingowym wykonanie kodu z uprawnieniami roota, dając pełną kontrolę nad serwerem. Dodatkowo, druga luka wtyczki WP Toolkit pozwala na manipulację bazami danych innych użytkowników, a trzecia umożliwia podgląd danych kalendarza i kontaktów. Firma cPanel udostępniła już załatane wersje oprogramowania, a odkrycia przypisuje badaczowi Ali Mustafa.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Wykryto krytyczną lukę bezpieczeństwa w funkcji Next.js ImageResponse, umożliwiającą atakującym wykonanie kodu na serwerze poprzez spreparowane dane SVG, gdy kontrolowane przez nich wartości są umieszczane w generowanych obrazach. Vercel załatał problem we wrześniu w wersji 16.3.6, a dotyczy ona wersji 16.2.0 do 16.3.5 działających na środowisku Node.js. Zgłoszono brak publicznych ataków, lecz zaleca się aktualizację lub tymczasowe unikanie wstawiania niepewnych danych do SVG.

Źródło: The Hackers News
Kategoria: Oprogramowanie
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Wykryto krytyczną lukę bezpieczeństwa w funkcji Next.js ImageResponse, umożliwiającą atakującym wykonanie kodu na serwerze poprzez spreparowane dane SVG, gdy kontrolowane przez nich wartości są umieszczane w generowanych obrazach. Vercel załatał problem we wrześniu w wersji 16.3.6, a dotyczy ona wersji 16.2.0 do 16.3.5 działających na środowisku Node.js. Zgłoszono brak publicznych ataków, lecz zaleca się aktualizację lub tymczasowe unikanie wstawiania niepewnych danych do SVG.

Źródło: The Hackers News
Kategoria: Oprogramowanie
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

WordPress wydał pilną łatkę bezpieczeństwa (w wersji 7.1.2 i starszych od 4.7) adresującą krytyczną lukę, która pozwala atakującemu bez konta na stronie załadować plik PHP spoza folderów motywu, co na niektórych serwerach może prowadzić do wykonania dowolnego kodu. Luka, oznaczona jako CVE-2026-87902 z oceną CVSS 9.2, wpływa na wersje od 4.7.0 do 7.1.1 i wymaga od administratorów natychmiastowej aktualizacji, ponieważ nie istnieje obejście poza wprowadzeniem łaty.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

WordPress wydał pilną łatkę bezpieczeństwa (w wersji 7.1.2 i starszych od 4.7) adresującą krytyczną lukę, która pozwala atakującemu bez konta na stronie załadować plik PHP spoza folderów motywu, co na niektórych serwerach może prowadzić do wykonania dowolnego kodu. Luka, oznaczona jako CVE-2026-87902 z oceną CVSS 9.2, wpływa na wersje od 4.7.0 do 7.1.1 i wymaga od administratorów natychmiastowej aktualizacji, ponieważ nie istnieje obejście poza wprowadzeniem łaty.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Krytyczna luka w Bifrost, otwartym bramie AI obsługującej ponad 20 dostawców LLM, umożliwia atakującemu bez uwierzytelnienia wykonanie dowolnych poleceń na serwerze bramy za pomocą pojedynczego żądania HTTP, co stanowi poważne zagrożenie bezpieczeństwa ze względu na domyślną konfigurację bez uwierzytelnienia. Dodatkowa luka pozwala na rejestrację niestandardowych wtyczek zdalnie, co również może prowadzić do wykonania kodu lub ataków SSRF, podkreślając potrzebę pilnych aktualizacji i stosowania silnych mechanizmów zabezpieczeń.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Krytyczna luka w Bifrost, otwartym bramie AI obsługującej ponad 20 dostawców LLM, umożliwia atakującemu bez uwierzytelnienia wykonanie dowolnych poleceń na serwerze bramy za pomocą pojedynczego żądania HTTP, co stanowi poważne zagrożenie bezpieczeństwa ze względu na domyślną konfigurację bez uwierzytelnienia. Dodatkowa luka pozwala na rejestrację niestandardowych wtyczek zdalnie, co również może prowadzić do wykonania kodu lub ataków SSRF, podkreślając potrzebę pilnych aktualizacji i stosowania silnych mechanizmów zabezpieczeń.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

W systemach VeloCloud Orchestrator (VCO) firmy Arista, zarządzających urządzeniami Edge w ramach SD-WAN, wykryto krytyczną lukę (CVE-2026-93952) o ocenie CVSS 10.0, która pozwala atakującym na zdalne uzyskanie uprawnień i potencjalne przejęcie kontroli nad całym hostem VCO. Luka dotyczy wyłącznie urządzeń skonfigurowanych do uwierzytelniania za pomocą certyfikatów i jest już aktywnie wykorzystywana, co stanowi poważne zagrożenie dla bezpieczeństwa sieciowego. Arista udostępniła już poprawki dla niektórych wersji, jednocześnie zalecając tymczasowe środki zaradcze dla użytkowników, którzy nie mogli jeszcze zaktualizować swoich systemów.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

W systemach VeloCloud Orchestrator (VCO) firmy Arista, zarządzających urządzeniami Edge w ramach SD-WAN, wykryto krytyczną lukę (CVE-2026-93952) o ocenie CVSS 10.0, która pozwala atakującym na zdalne uzyskanie uprawnień i potencjalne przejęcie kontroli nad całym hostem VCO. Luka dotyczy wyłącznie urządzeń skonfigurowanych do uwierzytelniania za pomocą certyfikatów i jest już aktywnie wykorzystywana, co stanowi poważne zagrożenie dla bezpieczeństwa sieciowego. Arista udostępniła już poprawki dla niektórych wersji, jednocześnie zalecając tymczasowe środki zaradcze dla użytkowników, którzy nie mogli jeszcze zaktualizować swoich systemów.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Odkryto poważną lukę w kodzie KVM jądra Linuksa dla procesorów ARM64, oznaczoną CVE-2026-89775, która pozwala maszynom wirtualnym (gościom) na odczyt i zapis pamięci hosta, a nawet na ucieczkę z gościa i wykonanie kodu na maszynie fizycznej. Problemem dotknięte są wersje jądra od 6.16, lecz naprawiono go w 6.18.51, 7.2.5 i 7.3-rc1, przy czym jest on aktywny od wersji 6.17. Luka wymaga włączonej wirtualizacji zagnieżdżonej, co jest eksperymentalnym trybem, nieaktywnym domyślnie i wymagającym specyficznego sprzętu Armv8.4 z funkcją FEAT_NV2. Wirtualizacja ta nie jest oferowana przez głównych dostawców chmury dla maszyn ARM.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto poważną lukę w kodzie KVM jądra Linuksa dla procesorów ARM64, oznaczoną CVE-2026-89775, która pozwala maszynom wirtualnym (gościom) na odczyt i zapis pamięci hosta, a nawet na ucieczkę z gościa i wykonanie kodu na maszynie fizycznej. Problemem dotknięte są wersje jądra od 6.16, lecz naprawiono go w 6.18.51, 7.2.5 i 7.3-rc1, przy czym jest on aktywny od wersji 6.17. Luka wymaga włączonej wirtualizacji zagnieżdżonej, co jest eksperymentalnym trybem, nieaktywnym domyślnie i wymagającym specyficznego sprzętu Armv8.4 z funkcją FEAT_NV2. Wirtualizacja ta nie jest oferowana przez głównych dostawców chmury dla maszyn ARM.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacz ujawnił, że poważna luka w zabezpieczeniach SharePoint (CVE-2026-65660), którą Microsoft początkowo zidentyfikował jako problem ze spoofingiem o niskim priorytecie, w rzeczywistości umożliwia zdalne wykonanie kodu przez uwierzytelnionych użytkowników, podnosząc jej ocenę CVSS do 8.8. Microsoft już wydał poprawki, które eliminują zagrożenie, choć pierwotnie nie docenił powagi luki, która może być łączona z innymi słabościami w celu osiągnięcia wykonania kodu przed uwierzytelnieniem.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacz ujawnił, że poważna luka w zabezpieczeniach SharePoint (CVE-2026-65660), którą Microsoft początkowo zidentyfikował jako problem ze spoofingiem o niskim priorytecie, w rzeczywistości umożliwia zdalne wykonanie kodu przez uwierzytelnionych użytkowników, podnosząc jej ocenę CVSS do 8.8. Microsoft już wydał poprawki, które eliminują zagrożenie, choć pierwotnie nie docenił powagi luki, która może być łączona z innymi słabościami w celu osiągnięcia wykonania kodu przed uwierzytelnieniem.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Nowa luka w rdzeniu WordPress, nazwana Comment2Shell i oznaczona jako CVE-2026-93485, umożliwiała anonimowemu użytkownikowi wstawienie ukrytego skryptu do komentarza, który po otwarciu strony przez zalogowanego administratora mógł pozwolić na wykonanie kodu po stronie serwera. Podatność ta istniała w luce między etapem sprawdzania a formatowania komentarza, a trafiła do WordPress w wersji 7.1.1 dnia 17 września, gdzie została naprawiona. Choć nie odnotowano jej aktywnego wykorzystania w atakach, była oceniona na 7.1/10 w skali CVSS, a możliwość jej obejścia była możliwa nawet przy włączonej moderacji komentarzy.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)