Microsoft łata rekordowe 974 błędy i dwa zero-day

Microsoft naprawia rekordowe 974 podatności, w tym dwa aktywnie wykorzystywane zero-day

Wrześniowa aktualizacja Microsoftu, wydana we wtorek, usuwa 974 podatności w produktach firmy. Dwie z nich były już wykorzystywane przez atakujących przed publikacją poprawek. Oba błędy typu zero-day pozwalają napastnikowi, który ma już dostęp do maszyny z Windows, na podniesienie uprawnień. Jeden znajduje się w stosie Windows Update (CVE-2026-81963), a drugi w komponencie Advanced Local Procedure Call (CVE-2026-85880). Nie ma jeszcze publicznych informacji o tym, kto je wykorzystuje ani jak szeroko. Dustin Childs z Zero Day Initiative, który analizuje każdą comiesięczną aktualizację, nazwał tę liczbę nowym rekordem. Wątpi, by atakujący przejęli sam mechanizm aktualizacji; jego zdaniem bardziej prawdopodobne jest łączenie błędu w Update Stack z podatnością na zdalne wykonanie kodu, co może rozprzestrzeniać złośliwe oprogramowanie lub ransomware. Jego rada w obu przypadkach jest jedna: łatać szybko. Notatki Microsoftu wymieniają 974 własne oznaczenia CVE i 25 kolejnych od innych dostawców. Childs doliczył się 972 nowych, a 997, gdy uwzględnić poprawki dla Chromium, silnika Google w przeglądarce Edge. Ponad 110 błędów ma najwyższy stopień krytyczny. Microsoft naprawił około 570 podatności w lipcowej aktualizacji i około 620 w sierpniowej. Według Ars Technica w tym roku firma usunęła już 2760 błędów, ponad dwukrotnie więcej niż w całym poprzednim roku. Childs ostrzegł, że „wykrywanie podatności wspomagane sztuczną inteligencją nie zwalnia”.

Microsoft patches a record 974 flaws, and two are already under attack →

CISA: krytyczna luka w WatchGuard Firebox wykorzystywana w atakach ransomware

CISA potwierdziła, że gangi ransomware wykorzystują krytyczną podatność w zaporach WatchGuard Firebox, którą agencja oznaczyła jako aktywnie wykorzystywaną już w grudniu. Luka oznaczona jako CVE-2025-14733 to błąd zapisu poza granicami bufora, który pozwala nieuwierzytelnionemu atakującemu zdalnie wykonać złośliwy kod w atakach o niskiej złożoności. Dotyczy firewalli z Fireware OS 11.x i nowszym (w tym 11.12.4_Update1), 12.x i nowszym (w tym 12.11.5) oraz wersji od 2025.1 do 2025.1.3. Gdy WatchGuard wydał poprawki w grudniu, poinformował, że niezałatane zapory są podatne tylko wtedy, gdy są skonfigurowane do korzystania z IKEv2 VPN, ale zastrzegł, że mogą zostać przejęte nawet po usunięciu podatnej konfiguracji, jeśli nadal skonfigurowany jest VPN oddziału do statycznego peera. WatchGuard potwierdził wykorzystanie luki w środowisku naturalnym i udostępnił wskaźniki kompromitacji. Shadowserver wykrył ponad 115 tysięcy niezałatanych zapór Firebox wystawionych do internetu w grudniu, a po dziewięciu miesiącach prawie 9 tysięcy wciąż pozostaje niezabezpieczonych. CISA dodała lukę do katalogu znanych wykorzystywanych podatności w grudniu, nakazując agencjom federalnym USA zabezpieczenie systemów w ciągu tygodnia. WatchGuard obsługuje ponad 250 tysięcy małych i średnich firm poprzez sieć ponad 17 tysięcy partnerów.

CISA: WatchGuard RCE flaw now exploited in ransomware attacks →

BlueMoon: nowy zestaw exploitów wykorzystuje zero-day w Windows i Chrome

Kilka grup cyber szpiegowskich użyło zestawu exploitów o nazwie BlueMoon, który łączy podatności typu zero-day w systemie Windows i przeglądarce Google Chrome. BlueMoon składa się z dwóch luk w przeglądarkach opartych na Chromium, pozwalających na zdalne wykonanie kodu i ucieczkę z piaskownicy, oraz z lokalnej eskalacji uprawnień w jądrze Windows. Zestaw wydaje się wspólnym, modułowym narzędziem, które można rozbudowywać o nowe exploity, i był używany w różnych operacjach. Badacze z Proofpoint obserwowali BlueMoon od 28 sierpnia w atakach spearphishingowych przypisywanych grupie JungleBamboo (znanej też jako APT31, Violet Typhoon, Tide Castle), powiązanej z Chinami. Firma Volexity zaobserwowała podobną aktywność 1 września w kampaniach innego aktora oznaczonego jako UTA0560, wymierzonych w organizacje pozarządowe. Twórcy BlueMoon wykorzystują opóźnienie między publicznymi poprawkami Chromium a stabilnymi wydaniami Chrome, inżynierując wstecznie zmiany w kodzie i tworząc exploity dla użytkowników przeglądarek. Trzy luki łańcuchowane przez BlueMoon to CVE-2026-85046, błąd typu type confusion w silniku V8 JavaScript w Chrome, CVE-2026-87491, ucieczka z piaskownicy V8 poprzez korupcję metadanych WebAssembly, oraz CVE-2026-85880, przepełnienie bufora w Windows ALPC pozwalające na lokalną eskalację uprawnień. Proofpoint twierdzi, że atakujący wykorzystali CVE-2026-85880 jako klasyczny zero-day, podejrzewając, że jest używany od 2025 roku i został przepakowany do BlueMoon. BlueMoon uruchamia exploit w Web Workerze, ponawiając próbę do pięciu razy, fingerprintuje system, wykorzystuje lukę do eskalacji uprawnień, a następnie wstrzykuje się do procesu nadrzędnego Chrome, by wykonać wybraną komendę. Domyślna końcowa komenda używa curl do zapisania pliku wykonywalnego, zwykle loadera malware, w katalogu %TEMP%. Raporty Volexity i Proofpoint wskazują cztery odrębne klastry aktywności związane z BlueMoon, z których trzy określono jako chińskie lub sprzymierzone z Chinami. Proofpoint spodziewa się wzrostu adopcji BlueMoon, potencjalnie także przez atakujących motywowanych finansowo, i zaleca korzystanie ze wskaźników kompromitacji.

New ‘BlueMoon’ kit exploited Windows and Chrome zero-day flaws →

WeWorm: robak rozprzestrzeniający się przez połączenia WeChat, zbudowany z pomocą AI

Badacze z firmy Calif z Palo Alto zbudowali robaka, który rozprzestrzenia się przez połączenia w WeChat, wykorzystując sztuczną inteligencję. Robak przejmuje konto, gdy telefon jeszcze dzwoni, a następnie używa tego konta do dzwonienia do kontaktów ofiary i powtarzania procesu. Tencent, właściciel WeChat, potwierdził lukę i poinformował, że ją naprawił, dodając, że nie ma podstaw sądzić, by ucierpieli użytkownicy. Dustin Volz z The New York Times opisał atak 8 września. Calif opublikowała własny raport tego samego dnia, nazywając robaka WeWorm i określając go jako pierwszego robaka zero-click rozprzestrzeniającego się przez połączenia WeChat na iOS i Androidzie. Nie ma doniesień o użyciu go w prawdziwym ataku. WeChat i Weixin miały 30 czerwca łącznie 1,439 miliarda użytkowników miesięcznie. Dla większości z nich konto zawiera płatności, oficjalne konta i mini programy. Atakujący musi być na liście znajomych ofiary, a następnie po prostu dzwoni. Ofiara nie musi odebrać; jeśli odbierze, nic nie słyszy, a exploit i tak działa. Odrzucenie połączenia przerywa próbę, ale atakujący może spróbować później, na przykład gdy ofiara śpi. Calif twierdzi, że luka to błąd korupcji pamięci w stosie połączeń internetowych WeChat. Firma podała, że jej zespół z pomocą AI znalazł błąd i napisał pierwszy exploit w około dwa dni, a zbudowanie robaka zajęło kolejny tydzień. Calif poinformowała o błędzie 24 lipca, a Tencent wydał wersję Android 8.0.77 i iOS 8.0.76 21 sierpnia. Calif potwierdziła blokadę po stronie serwera dla wszystkich użytkowników 28 sierpnia. 4 września Tencent potwierdził, że atakujący może wykorzystać lukę do zdalnego wykonywania poleceń. The Hacker News nie znalazł identyfikatora CVE ani biuletynu bezpieczeństwa na stronie Tencent. Calif poinformowała o badaniach urzędników Białego Domu przed publikacją. Od 11 września unijny Cyber Resilience Act wymaga zgłaszania aktywnie wykorzystywanych podatności w ciągu 24 godzin.

Researchers used AI to build a WeChat worm that spreads through phone calls →

Telewizory LG potajemnie nagrywają rozmowy i skanują domowe sieci

Gamers Nexus, we współpracy z niezależnymi badaczami bezpieczeństwa i Level1Techs, odkrył, że inteligentne telewizory LG skanują lokalne sieci Wi-Fi, rejestrując obecne w nich urządzenia, w tym telefony, komputery i urządzenia smart home, oraz zbierają nazwy pobliskich sieci Wi-Fi. Telewizory wykorzystują także automatyczne rozpoznawanie treści (ACR) do ustalania, co oglądają użytkownicy, aby sprzedawać te dane reklamodawcom. Zebrane informacje trafiają do LG Ad Solutions, biznesu reklamowego LG. Testy wykazały, że wbudowane mikrofony telewizorów rejestrowały czysty dźwięk pobliskich rozmów i generowały transkrypcje nawet w trybie czuwania, przy wyłączonym ekranie. Nagrywanie trwało, gdy telewizory były odłączone od internetu, zapisując pliki audio lokalnie i wysyłając je po przywróceniu połączenia. Badacze znaleźli też lukę, która rzekomo pozwala hakerowi na zdalne wykonanie kodu; szczegóły wstrzymano do odpowiedzialnego ujawnienia. Wyniki opublikowano w dwugodzinnym raporcie wideo, który podchwyciły media branżowe, w tym Malwarebytes. Właściciele telewizorów LG zareagowali oburzeniem, m.in. na subreddicie r/LGOLED pisząc, że sprzęt LG to szpiegowskie oprogramowanie, a telewizor podsłuchuje cały dom.

LG TVs Caught Secretly Recording Users and Scanning Their Homes For Other Devices, Even When Disconnected From the Internet →