The Hackers News

W tym tygodniu rynek bezpieczeństwa cyfrowego jest dynamiczny – od rozbicia przez władze kanadyjskie grupy wykorzystującej fałszywe wieże komórkowe do wysyłania phishingu, po odkrycie poważnych luk w popularnym oprogramowaniu medycznym OpenEMR i ataki na dane deweloperów poprzez złośliwe pakiety npm. Obserwujemy również legalne pozyskiwanie i sprzedaż danych użytkowników przez rozszerzenia przeglądarek oraz nowe, wyrafinowane zestawy phishingowe i narzędzia do zdalnego zarządzania wykorzystywane przez cyberprzestępców.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacze bezpieczeństwa odkryli zaawansowany backdoor w Pythonie o nazwie DEEP#DOOR, który umożliwia trwały dostęp do systemu i kradzież wrażliwych danych, takich jak hasła do przeglądarek i usług chmurowych. Malware wykorzystuje skrypty wsadowe do obchodzenia zabezpieczeń systemu Windows, a następnie komunikuje się z usługą tunelowania “bore[.]pub” do zdalnego sterowania i szpiegowania, stosując przy tym liczne techniki unikania wykrycia i utrudniania analizy.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Odkryto nową lukę w jądrze Linuksa, nazwaną ‘Copy Fail’ (CVE-2026-31431), która pozwala nieuprzywilejowanemu użytkownikowi lokalnemu na uzyskanie pełnych uprawnień administratora (root). Podatność, obecna w algif_aead od 2017 roku, wykorzystuje błąd logiczny do modyfikacji pamięci podręcznej (page cache) plików z uprawnieniami setuid, umożliwiając wykonanie złośliwego kodu z uprawnieniami roota za pomocą prostego skryptu Python, co stanowi poważne zagrożenie dla wielu popularnych dystrybucji Linuksa, w tym dla środowisk kontenerowych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Google naprawiło krytyczną lukę o maksymalnym priorytecie (CVSS 10.0) w pakiecie @google/gemini-cli oraz przepływie pracy google-github-actions/run-gemini-cli, która umożliwiała atakującym zdalne wykonanie dowolnego kodu na systemach hosta poprzez manipulację plikami konfiguracyjnymi. Dodatkowo, narzędzie AI Cursor zostało załatane po ujawnieniu luk, w tym tej pozwalającej na wykonanie kodu poprzez wstrzyknięcie prompta i luki umożliwiającej wyciek danych przez rozszerzenia.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Eksperci ds. cyberbezpieczeństwa ostrzegają przed nową kampanią ataku łańcucha dostaw “mini Shai-Hulud”, która celuje w pakiety npm związane z SAP, dystrybuując złośliwe oprogramowanie kradnące dane uwierzytelniające. Atakujący wykorzystali skompromitowane wersje pakietów, takie jak mbt, @cap-js/db-service i @cap-js/postgres, aby zainfekować środowiska deweloperskie i CI/CD, kradnąc tokeny, klucze API i inne poufne informacje, które następnie były szyfrowane i wysyłane do publicznych repozytoriów GitHub.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Złośliwe kampanie cybernetyczne prowadzone przez północnokoreańskich hakerów wykorzystują pakiety npm z wstrzykniętym złośliwym kodem, często generowanym przez AI, a także fałszywe firmy i oferty pracy, aby dostarczyć zdalny dostęp (RAT) i kraść dane, w tym kryptowaluty i własność intelektualną, świadcząc o rosnącej złożoności i skuteczności ich działań.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Złośliwi aktorzy coraz częściej wykorzystują niestandardowe systemy AI do automatyzacji ataków na etapie “kill chain”, co stawia tradycyjne, opóźnione procesy obronne przed ogromnym wyzwaniem. Webinar “Autonomous Exposure Validation” z ekspertami z Picus Security przedstawi nowy paradygmat obronny, który pozwala na szybkie wykrywanie zagrożeń, automatyzację symulacji ataków i koordynację napraw, eliminując silosy między zespołami CTI, Red i Blue.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Artykuł omawia cztery główne podejścia do zarządzania ekspozycją w cyberbezpieczeństwie: połączone portfolio, agregacja danych, platformy specjalistyczne i zintegrowane, podkreślając znaczenie integralnego podejścia do skutecznej redukcji ryzyka.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Amerykańska Agencja ds. Bezpieczeństwa Cybernetycznego i Infrastruktury (CISA) dodała dwie aktywnie wykorzystywane luki bezpieczeństwa do swojego katalogu znanych luk wykorzystywanych (KEV): jedną w ConnectWise ScreenConnect (CVE-2024-1708), która umożliwia zdalne wykonanie kodu, oraz drugą w systemie Microsoft Windows (CVE-2026-32202), która pozwala na podszywanie się w sieci. Działanie to podkreśla rosnące zagrożenia ze strony grup APT i związane z nimi ataki ransomware, takie jak Medusa.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Wykryto krytyczną lukę bezpieczeństwa w oprogramowaniu cPanel i WebHost Manager (WHM), która umożliwia atakującym uzyskanie nieautoryzowanego dostępu do panelu kontrolnego. Dotyczy ona wszystkich wspieranych wersji, a firma cPanel wydała już aktualizacje łatające problem. Zaleca się pilne wdrożenie tych poprawek.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Krytyczna luka SQL Injection oznaczona jako CVE-2026-42208 została aktywnie wykorzystana w pakiecie Python LiteLLM firmy BerriAI zaledwie 36 godzin po jej publicznym ujawnieniu. Podatność pozwala nieautoryzowanemu atakującemu na modyfikację bazy danych proxy LiteLLM, co może prowadzić do kradzieży wrażliwych danych uwierzytelniających do usług LLM. Zaleca się pilne aktualizacje do najnowszej wersji lub wdrożenie środka zaradczego zaleconego przez twórców.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Zidentyfikowano krytyczną lukę bezpieczeństwa w GitHub.com i GitHub Enterprise Server (CVE-2026-3854, ocena CVSS 8.7), która pozwala uwierzytelnionemu użytkownikowi na zdalne wykonanie kodu poprzez pojedyncze polecenie “git push” z powodu niewłaściwego sanitizowania opcji push, co może prowadzić do przejęcia kontroli nad instancją lub nawet odczytu milionów repozytoriów w architekturze wielodostępnej.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Brazylijska grupa cyberprzestępcza LofyGang, aktywna od 2021 roku, wznowiła działalność po ponad trzech latach z nowym narzędziem typu stealer o nazwie LofyStealer, podszywającym się pod modyfikację do gry Minecraft ‘Slinky’. Grupa, która wcześniej wykorzystywała luki w rejestrze npm i sprzedawała skradzione dane, teraz atakuje graczy bezpośrednio, celując w ich dane logowania, dane kart płatniczych i inne wrażliwe informacje poprzez złośliwe oprogramowanie infekujące komputery przez fałszywe pliki gry, a następnie wysyłające zebrane dane na serwer C2.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Nowe zagrożenie VECT 2.0, działające bardziej jak niszczyciel danych niż typowe ransomware, nieodwracalnie usuwa pliki większe niż 131KB na systemach Windows, Linux i ESXi, uniemożliwiając odzyskanie danych nawet po zapłaceniu okupu. Program oparty na modelu RaaS z opłatą wejściową i partnerstwem z BreachForums oraz TeamPCP, pomimo ambitnego profilu, cierpi na krytyczną wadę techniczną uniemożliwiającą odzyskanie zaszyfrowanych danych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badania wskazują, że ignorowane wąskie gardło w programach Zero Trust to nie tożsamość czy punkty końcowe, ale sam ruch danych. Pomimo rosnącego ryzyka cybernetycznego i przyspieszenia AI, wiele organizacji, zwłaszcza w sektorze publicznym, nadal opiera się na manualnych procesach transferu wrażliwych informacji, co tworzy znaczącą lukę między potrzebą szybkości a realnymi możliwościami kontroli i bezpieczeństwa.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto poważną lukę w zabezpieczeniach platformy LeRobot firmy Hugging Face (CVE-2026-25874), umożliwiającą atakującemu spoza sieci zdalne wykonanie kodu poprzez niebezpieczną deserializację danych za pomocą formatu pickle. Luka ta, znajdująca się w komponentach policy server i robot client, pozwala na przejęcie kontroli nad serwerem, wpływanie na podłączone roboty oraz kradzież wrażliwych danych, stwarzając ryzyko fizycznego bezpieczeństwa.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Sztuczna inteligencja, w tym model Claude Mythos, drastycznie skraca okno czasowe na łatanie luk bezpieczeństwa, zmuszając organizacje do przejścia na model “zakładanej kompromitacji” (assume-breach). Kluczowe stają się teraz szybkie wykrywanie, analiza i izolacja zagrożeń w czasie rzeczywistym, z wykorzystaniem zaawansowanych platform NDR i automatyzacji procesów.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Chiński obywatel Xu Zewei, powiązany z grupą hakerską Silk Typhoon, został ekstradowany z Włoch do Stanów Zjednoczonych w związku z zarzutami o przeprowadzanie cyberataków na amerykańskie organizacje badawcze i agencje rządowe w latach 2020-2021. Celem ataków, rzekomo kierowanych przez chińskie Ministerstwo Bezpieczeństwa Państwowego, było wykradzenie informacji dotyczących szczepionek przeciw COVID-19 i wykorzystanie luk w zabezpieczeniach, w tym w serwerach Microsoft Exchange.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Wykryta przez Silverfort luka w roli administratora dla agentów AI w Microsoft Entra ID pozwalała na eskalację uprawnień i przejęcie tożsamości. Użytkownik z rolą Agent ID Administrator mógł przejąć dowolne Service Principals, dodając własne dane uwierzytelniające, co otwierało drogę do ataków z wykorzystaniem ich uprawnień. Microsoft po zgłoszeniu wprowadził poprawkę, która blokuje takie działania.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Microsoft potwierdził, że luka bezpieczeństwa CVE-2026-32202 w Windows Shell, umożliwiająca atakującemu pozyskanie poufnych informacji poprzez spoofing, była aktywnie wykorzystywana w praktyce przed jej załataniem. Podatność ta jest powiązana z niewystarczającą łatką dla CVE-2026-21510 i pozwala na kradzież poświadczeń poprzez mechanizm uwierzytelniania NTLM, nawet po zastosowaniu częściowych poprawek.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Firma Checkmarx ujawniła, że dane związane z incydentem bezpieczeństwa w łańcuchu dostaw zostały opublikowane w dark web przez grupę cyberprzestępczą, prawdopodobnie pochodzące z repozytorium GitHub, do którego dostęp uzyskano w wyniku ataku z 23 marca 2026 roku. Choć dane te nie pochodzą ze środowiska produkcyjnego klientów, firma podjęła kroki w celu zabezpieczenia repozytorium i prowadzi dochodzenie w celu określenia zakresu naruszenia, zapowiadając powiadomienie klientów w przypadku stwierdzenia zaangażowania ich informacji.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Tydzień przyniósł odświeżone zagrożenia i nowe metody ataków, w tym malware Fast16 z lat sprzed Stuxneta, które manipuluje wynikami obliczeń, oraz kampanię UNC6692 podszywającą się pod pomoc techniczną Teams. Władze USA wykryły nowy backdoor FIRESTARTER w systemie federalnym, a na Wenezueli zastosowano niszczycielskie malware Lotus Wiper. Zaobserwowano również szybki rozwój grup ransomware, takich jak The Gentlemen, oraz ataki na łańcuchy dostaw, czego przykładem jest skompromitowanie pakietu Bitwarden CLI.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Sztuczna inteligencja Mythos firmy Anthropic, choć rewolucyjna w wykrywaniu luk bezpieczeństwa, ujawnia poważną lukę między szybkim odkrywaniem problemów a powolnym procesem ich naprawy. Większość organizacji nie posiada infrastruktury niezbędnej do efektywnego zarządzania, priorytetyzacji i weryfikacji usuwania ogromnej liczby odkrytych podatności, co może prowadzić do narastania nierozwiązanych problemów bezpieczeństwa. Kluczowe jest wdrożenie zcentralizowanego zarządzania wykrytymi problemami, ich priorytetyzacji w kontekście ryzyka biznesowego oraz zapewnienie zamkniętych pętli naprawczych, aby skutecznie radzić sobie z wyzwaniami ery AI w cyberbezpieczeństwie.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Pro-ukraińska grupa hakerska PhantomCore wykorzystuje łańcuch trzech luk w oprogramowaniu do wideokonferencji TrueConf do zdalnego wykonywania poleceń na podatnych serwerach w Rosji od września 2025 r. Ataki te, prowadzone przez grupę aktywną od 2022 r., mają na celu kradzież danych i zakłócenie działania sieci, a ich skuteczne wykorzystanie pozwala na obejście uwierzytelniania i uzyskanie dostępu do sieci organizacji.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Badacze cyberbezpieczeństwa zidentyfikowali 73 fałszywe rozszerzenia Visual Studio Code w repozytorium Open VSX, które są częścią kampanii kradzieży informacji o nazwie GlassWorm. Te klony legalnych rozszerzeń, często maskowane jako niegroźne pakiety „śpiochy”, wykorzystują podobne ikony i opisy, aby oszukać deweloperów, a następnie, poprzez aktualizacje, instalują malware. Celem jest kradzież danych, instalacja zdalnego trojana dostępowego (RAT) i pozyskiwanie danych uwierzytelniających z różnych przeglądarek.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Cyberprzestępcy wykorzystują fałszywe weryfikacje CAPTCHA do nakłaniania użytkowników do wysyłania drogich międzynarodowych wiadomości SMS, generując dochody z oszustw IRSF, a także nadużywają narzędzia Keitaro TDS do dystrybucji złośliwego oprogramowania i kampanii kryptowalutowych, co stwarza złożone zagrożenie dla użytkowników i operatorów telekomunikacyjnych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacze odkryli złośliwe oprogramowanie napisane w języku Lua, o nazwie ‘fast16’, które istniało lata przed słynnym robakiem Stuxnet. Działanie ‘fast16’ polegało na celowaniu w oprogramowanie do precyzyjnych obliczeń w celu manipulowania ich wynikami, co mogło prowadzić do sabotażu fizycznych systemów. To odkrycie przesuwa datę powstania zaawansowanych narzędzi do cyber sabotażu skierowanych przeciwko fizycznym celom na połowę lat dwutysięcznych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Amerykańska Agencja ds. Cyberbezpieczeństwa i Infrastruktury (CISA) dodała cztery zidentyfikowane jako aktywnie wykorzystywane luki bezpieczeństwa, dotyczące oprogramowania SimpleHelp, serwera Samsung MagicINFO 9 oraz routerów D-Link serii DIR-823X, do swojego katalogu Znanych Wykorzystywanych Podatności (KEV). Agencje federalne mają czas do 8 maja 2026 roku na zastosowanie poprawek lub, w przypadku routerów D-Link, zaprzestanie ich używania.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Agencja CISA ujawniła, że atak APT wykorzystał niezałataną lukę w zabezpieczeniach urządzeń Cisco Firepower, instalując backdoor FIRESTARTER, który umożliwia zdalny dostęp i utrzymanie obecności nawet po zainstalowaniu poprawek bezpieczeństwa. Złośliwe oprogramowanie, będące elementem szerszej kampanii, wykorzystuje również zestaw narzędzi LINE VIPER do wykonywania poleceń i utrzymania dostępu po eksploatacji luk takich jak CVE-2025-20333.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Amerykański urząd inspektora generalnego NASA ujawnił, jak chiński obywatel, podając się za amerykańskiego badacza, przeprowadził zaawansowaną kampanię phishingową. Celem było pozyskanie wrażliwych danych NASA oraz innych instytucji rządowych, uniwersytetów i firm, z naruszeniem przepisów kontroli eksportu. Sprawca, Song Wu, jest oskarżony o wieloletnie oszustwa i kradzież tożsamości, a grozi mu do 20 lat więzienia za każdy zarzut oszustwa w sieci.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Luka w uwierzytelnianiu agentów AI wynika z faktu, że nie posiadają oni niezależnej władzy, lecz działają na podstawie delegacji od istniejących tożsamości przedsiębiorstwa. Bez zarządzania tą pierwotną delegacją, agenci AI stają się jedynie wzmacniaczami ukrytego dostępu i ryzyka. Kluczem do bezpiecznego wdrożenia agentów AI jest ciągła obserwacja i analiza tradycyjnych tożsamości, a następnie wykorzystanie tych danych do dynamicznego zarządzania uprawnieniami agentów w czasie rzeczywistym.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Odkryto 26 złośliwych aplikacji na App Store imitujących popularne portfele kryptowalut, które od jesieni 2025 roku próbowały ukraść frazy odzyskiwania i klucze prywatne, kierując użytkowników na fałszywe strony imitujące sklep Apple. Aplikacje te, nazwane FakeWallet, miały na celu wyłudzenie danych do przejęcia kontroli nad aktywami kryptowalutowymi ofiar.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Chińscy użytkownicy padają ofiarą kampanii wykorzystującej trojanizowaną wersję SumatraPDF do dystrybucji agenta post-eksploatacyjnego AdaptixC2, co umożliwia atakującym zdalny dostęp przez tunele VS Code. Kampania, przypisywana grupie Tropic Trooper, wykorzystuje GitHub jako platformę C2, a wdrożenie kolejnych etapów ataku jest ukrywane za pomocą dokumentów-przynęt i modyfikowanego loadera TOSHIS.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Wysokiej wagi luka bezpieczeństwa w LMDeploy, narzędziu do kompresji, wdrażania i serwowania LLM, została aktywnie wykorzystana w ciągu zaledwie 13 godzin od publicznego ujawnienia. Podatność CVE-2026-33626, typu Server-Side Request Forgery (SSRF), pozwala na dostęp do wrażliwych danych, w tym danych uwierzytelniających w chmurze, usług wewnętrznych oraz skanowanie sieci. Incydent ten podkreśla szybkość, z jaką aktorzy zagrożeń reagują na nowe luki, nawet bez dostępnych kodów Proof-of-Concept, co jest coraz częstszym zjawiskiem w przestrzeni AI.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Nieznana grupa cyberprzestępcza UNC6692 wykorzystuje inżynierię społeczną i udaje pracowników pomocy technicznej Microsoft Teams, aby nakłonić ofiary do zainstalowania złośliwego oprogramowania SNOW. Atak zaczyna się od zalewania skrzynki odbiorczej ofiary spamem, po czym następuje kontakt przez Teams z propozycją pomocy, prowadzący do instalacji złośliwego skryptu i rozszerzenia przeglądarki.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)