Dwie krytyczne luki w SonicWall SMA 1000 wykorzystywane w atakach

SonicWall łata dwie aktywnie wykorzystywane luki zero-day w SMA 1000

Firma SonicWall opublikowała we wtorek biuletyn bezpieczeństwa dotyczący dwóch nowo odkrytych, aktywnie wykorzystywanych podatności typu zero-day w urządzeniach SMA 1000. Luki oznaczone jako CVE-2026-83548 i CVE-2026-83549 zostały już dodane w środę do katalogu znanych wykorzystywanych podatności amerykańskiej agencji CISA. Badacze Rapid7 wskazują, że pierwsza z nich to podatność typu server-side request forgery o maksymalnej wadze, umożliwiająca atak przed uwierzytelnieniem, a druga to wstrzykiwanie poleceń do systemu operacyjnego o wysokiej wadze. Połączenie obu luk pozwala na zdalne wykonanie kodu bez uwierzytelnienia. Firma nie ujawniła, ilu klientów zostało dotkniętych problemem ani kiedy doszło do pierwszego znanego ataku. Eksperci zwracają uwagę, że to kolejny przypadek wykorzystania urządzeń brzegowych sieci do całkowitego przejęcia kontroli. SonicWall zaleca klientom kontakt z pomocą techniczną w celu przejrzenia wskaźników kompromitacji, a w przypadku ich wykrycia ponowne obrazowanie urządzenia, zmianę haseł i reset tokenów. Warto zauważyć, że pięć ostatnich podatności dodanych do katalogu CISA od połowy grudnia 2025 roku dotyczy właśnie urządzeń SonicWall SMA 1000.

Attackers exploit zero-days in consistently besieged SonicWall product →

Cyber Resilience Act wymusza nowe podejście do weryfikacji łańcucha dostaw oprogramowania

Od 11 września producenci produktów z elementami cyfrowymi sprzedawanych w Unii Europejskiej będą zobowiązani do zgłaszania organom nadzoru w ciągu 24 godzin przypadków aktywnego wykorzystywania podatności w ich produktach. Pełniejszy raport będzie trzeba dostarczyć w ciągu 72 godzin. Te obowiązki sprawozdawcze wynikające z aktu o odporności cybernetycznej wejdą w życie przed szerszymi wymogami technicznymi, które mają obowiązywać od grudnia 2027 roku. Nowe regulacje stawiają przed producentami z branż motoryzacyjnej, medycznej, lotniczej i elektroniki użytkowej trudne zadanie skompilowania spójnego spisu komponentów oprogramowania z informacji pochodzących od wielu dostawców. Kluczową rolę odgrywają tu pliki SBOM, czyli maszynowo czytelne wykazy komponentów oprogramowania. Firma FossID, zajmująca się analizą składu oprogramowania, wskazuje, że samo otrzymanie dokumentu SBOM nie wystarczy. Konieczna jest weryfikacja, czy deklarowane informacje odpowiadają rzeczywistemu kodowi, szczególnie gdy dostawcy przesyłają pliki w różnych formatach i o różnym poziomie szczegółowości. Jak zauważają eksperci, pytanie nie brzmi już czy mamy SBOM, ale czy możemy w sposób ciągły weryfikować łańcuch dostaw oprogramowania, który ten dokument reprezentuje.

The 24-hour CRA deadline is changing software supply chain visibility →

Microsoft ostrzega przed kampanią ransomware przez Teams z podszywaniem się pod pomoc IT

Microsoft opublikował ostrzeżenie dotyczące trwającej kampanii hakerskiej, która rozpoczyna się od wiadomości w Microsoft Teams, a kończy infekcją ransomware i kradzieżą danych. Niezidentyfikowani napastnicy kontaktowali się z pracownikami przedsiębiorstw przez czat Teams, podszywając się pod personel działu IT. Ofiary były nakłaniane do udzielenia zdalnego dostępu przez udostępnianie ekranu lub narzędzia do zdalnego monitorowania i zarządzania, co pozwalało atakującym na instalację złośliwego oprogramowania. W późniejszych etapach ataku hakerzy przeprowadzali rozpoznanie systemu, wykrywali zabezpieczenia i wirtualizację, a także okresowo przechwytywali zrzuty ekranu. Następnie przemieszczali się w sieci, wykorzystując natywne narzędzia i zapytania ADSI, by ostatecznie wykraść cenne dane i uruchomić oprogramowanie ransomware. Microsoft nie wskazał konkretnej grupy odpowiedzialnej za kampanię. Firma zaleca ustanowienie haseł uwierzytelniających dla wewnętrznej pomocy technicznej, szkolenie pracowników w zakresie rozpoznawania wskaźników zewnętrznych dzierżawców oraz weryfikację nieoczekiwanych kontaktów wsparcia. Zalecane jest także wdrożenie Microsoft Defender for Office 365 z funkcjami Safe Links i Zero-hour auto purge.

IT helpdesk impersonation hits Microsoft Teams once again, with the hackers hiding their activity within legitimate tools →

Krytyczna luka w Elementor Pro wykorzystywana do przejmowania stron WordPress

Krytyczna podatność oznaczona jako CVE-2026-32475 w popularnej wtyczce Elementor Pro do WordPressa jest aktywnie wykorzystywana do dostarczania webshelli i wykonywania dowolnych poleceń na serwerach. Wtyczka ma ponad 6 milionów aktywnych instalacji. Luka została załatana 19 sierpnia wraz z wydaniem wersji 4.2.2, ale od tego czasu zapora Wordfence zablokowała blisko 200 tysięcy prób wykorzystania podatności u swoich klientów. Problem wynika z błędnej walidacji tablic przesyłanych plików w formularzach Elementor Pro i dotyczy wersji 4.2.1 i wcześniejszych. Atakujący, przesyłając pusty plik jako pierwszy element tablicy i złośliwy plik PHP jako drugi, mogą spowodować, że wtyczka przestanie walidować kolejne pliki. Przesłany payload jest przechowywany w katalogu /wp-content/uploads/elementor/forms/ i może być wykorzystany do zdalnego wykonania poleceń. Eksploatacja jest możliwa tylko wtedy, gdy na stronie opublikowano widget formularza z polem przesyłania plików, co jest częstą konfiguracją. Wordfence zaobserwował zwiększoną aktywność ataków między 19 a 23 sierpnia, odnotowując ponad 190 tysięcy zablokowanych prób. Administratorzy powinni natychmiast zaktualizować wtyczkę do wersji 4.2.2 lub nowszej oraz sprawdzić katalog formularzy pod kątem nieautoryzowanych plików PHP.

Critical Elementor Pro flaw exploited to take over WordPress sites →

Zatruwanie pamięci agentów AI nowym zagrożeniem cyberbezpieczeństwa

Badacze z University of Calgary zidentyfikowali nowy rodzaj zagrożenia dla agentów AI wyposażonych w pamięć, który nazwali zatruwaniem pamięci. Atak polega na wstrzyknięciu mylącej instrukcji do przechowywanej pamięci agenta bez bezpośredniego kontrolowania samego modelu AI. Zatrute informacje mogą pozostać uśpione podczas normalnej pracy agenta i ujawnić się dopiero po kilku dniach lub kilku interakcjach, gdy agent pobierze je i zaufa im. W badaniu przeanalizowano 2614 symulowanych wieloetapowych trajektorii ataków z udziałem agentów opartych na dużych modelach językowych. Analizowano cztery typy ataków: zatruwanie łańcucha, przepisywanie polityk, wyzwalanie backdoorów i powolne dryfowanie. Wyniki pokazały, że ataki typu powolny dryf i wyzwalanie backdoorów mogą unikać ocen badających tylko pojedyncze kroki i ujawniają się dopiero w późniejszych interakcjach. Badacze argumentują, że testy bezpieczeństwa oceniające agenta bezpośrednio po napotkaniu podejrzanych informacji mogą przeoczyć ataki, ponieważ brak natychmiastowego szkodliwego zachowania nie oznacza, że atak się nie powiódł. Konieczne jest testowanie uwzględniające całe trajektorie zachowań agenta, a nie tylko pojedyncze kroki.

AI agents can now remember and hackers can ‘poison’ their memories — a new cybersecurity threat →