Security
GitLab łata krytyczną lukę RCE w kompilatorze regex CI/CD
Maksymalna waga błędu w GitLab, przejęcie konta w Telegram Desktop i 90 tys. dolarów od Google za zdalne wykonanie kodu.
Wydanie opracowane przy pomocy sztucznej inteligencji. Tekst i lektor wygenerowane automatycznie.
GitLab apeluje o natychmiastową aktualizację po luce maksymalnej wagi
GitLab ostrzegł przed luką o maksymalnej wadze w kompilatorze wyrażeń regularnych CI/CD, oznaczoną jako CVE-2026-97229. Błąd wynika ze słabości przepełnienia liczb całkowitych i mógł pozwolić nieuwierzytelnionemu użytkownikowi na zdalne wykonanie dowolnego kodu na serwerze GitLab za pomocą specjalnie spreparowanego wyrażenia regularnego w konfiguracji potoku. Podatność znalazł badacz o pseudonimie joaxcar i zgłosił ją przez program bug bounty HackerOne. Poprawki trafiły do wersji Community i Enterprise Edition: 19.2.8, 19.3.4 i 19.4.2. GitLab zaleca natychmiastową aktualizację wszystkich instalacji self-managed. GitLab.com działa już na załatanej wersji, a klienci GitLab Dedicated nie muszą nic robić.
GitLab warns of max severity code execution vulnerability →
Tematy: Aktualizacje bezpieczeństwa i Patch Tuesday
Telegram Desktop: przejęcie konta jednym kliknięciem przez wstrzyknięcie do gniazda IPC
Telegram Desktop do wersji 7.2.8 zawierał dwa połączone błędy umożliwiające przejęcie konta jednym kliknięciem, oznaczone jako CVE-2026-107181 o ocenie 8.1 High. Aplikacja rejestruje schemat tg: i przekazuje kliknięte linki do działającej instancji przez lokalne gniazdo jako serializowany tekst, bez ucieczki separatora. Link ze średnikiem jest traktowany jako jeden adres przez nowy proces, ale dzielony na wiele instrukcji przez działającą instancję, co pozwala na wstrzyknięcie poleceń. Schemat interpret: czyta wskazany plik i wysyła go na czat bez autoryzacji i potwierdzenia. Atakujący umieszcza pliki instrukcji na dysku ofiary jako załączniki grupowe, a domyślne auto-pobieranie plików do 8 MiB ułatwia atak. Kradzież plików tdata pozwala otworzyć konto ofiary bez lokalnego hasła. Błąd naprawiono w wersji 7.2.9 16 września 2026 roku.
Telegram Desktop: one-click account takeover via IPC injection | beaksec →
Tematy: Aktualizacje bezpieczeństwa i Patch Tuesday
90 tysięcy dolarów od Google za zdalne wykonanie kodu w DevSite
Badacz Simon Koeck znalazł lukę zdalnego wykonania kodu w współdzielonej platformie DevSite Google, mapując przepływ OAuth używany na stronach dokumentacji dla programistów. Żądanie do /oauth2authorize ustawiało ciasteczko sesji Flask o rozmiarze około 1200 bajtów, które po zdekodowaniu ujawniało serializowany obiekt OAuth2WebServerFlow z client_id i jawnym client_secret Google. Ten sam sekret służył jako klucz SECRET_KEY Flask, co pozwalało na podrabianie podpisów sesji i dostarczenie dowolnych bajtów pickle do wywołania pickle.loads w callbacku OAuth, dając nieuwierzytelnione RCE. Wykorzystanie potwierdzono przez time.sleep bez uruchamiania poleceń na produkcji. Ponieważ DevSite jest współdzieloną platformą, klucz z developers.google.com podpisywał sesje na firebase.google.com, developer.android.com i source.android.com. Zgłoszenie z 6 sierpnia 2026 roku, nagroda 90 tysięcy dolarów przyznana 27 sierpnia, poprawka 7 października 2026 roku.
How I Found a $90,000 Remote Code Execution Vulnerability in Google | Simon Koeck →
Tematy: Google
Tanie telefony z Androidem wychodzą z fabryk z wbudowanym malware
Badacze z Bitdefender odkryli, że niezidentyfikowany aktor zagrożenia skompromitował łańcuch dostaw kilku producentów smartfonów, dodając malware na poziomie firmware przed wysłaniem urządzeń do sklepów. Wymienione marki to Doogee S200 X, Doogee Fire 3 Max i Cubot KINGKONG X, chińscy producenci budżetowych, wzmocnionych telefonów z Androidem. Wspomniano też podróbki podszywające się pod Samsunga i Apple. Urządzenia korzystają głównie z chipsetów MediaTek, zainfekowanych tak, by atakujący mogli modyfikować aplikacje, zdobywać wyższe uprawnienia i przeprowadzać zdalne wykonanie kodu bez wiedzy ofiary. Bitdefender szacuje tysiące ofiar w około 150 krajach, z największym skupieniem w Meksyku, Francji, Włoszech, USA, Niemczech, Brazylii i Hiszpanii. Odkryto 32 złośliwe aplikacje, w tym pogodowe, menedżery plików, blokady aplikacji, narzędzia OCR i edytory audio. Tworzą one niewidzialną nakładkę na innych aplikacjach i rejestrują wyświetlenie reklamy, mimo że użytkownik jej nie widział, oszukując sieci reklamowe. Jedna z aplikacji zawierała element proxy TCP rejestrujący zainfekowane telefony na zdalnym serwerze poleceń, co pozwalało na przekierowywanie ruchu przez telefon i tworzenie usługi proxy residential do ataków DDoS, spamu i oszustw. Ponad tuzin aplikacji w Google Play miało ten sam kod reklamowy i infrastrukturę, ale wymagały ręcznej instalacji i zgody użytkownika. Usunięcie malware nie jest tak proste jak odinstalowanie aplikacji — wiele urządzeń wymaga czyszczenia na poziomie firmware lub wyłączenia złośliwego komponentu przez Android Debug Bridge.
Experts warn cheap Android phones are being shipped with malware built in, so be on your guard →
Tematy: Ataki na łańcuch dostawMalware i infostealery
Phishing ukryty za pulpitami Power BI Microsoftu omija filtry poczty
Badacze z Huntress odkryli kampanię phishingową wykorzystującą publicznie dostępne pulpity Microsoft Power BI do nakłonienia ofiar do pobrania oprogramowania zdalnego monitorowania ScreenConnect. Kampania rozpoczęła się około 10 września 2026 roku. Atakujący tworzyli publiczny pulpit, prawdopodobnie przy użyciu jednorazowego lub przejętego konta Microsoft, wyglądający jak rozmyty dokument z przyciskiem „Download Reference”. Kliknięcie przycisku przekierowywało ofiary na stronę kontrolowaną przez atakującego poza infrastrukturą Microsoftu, gdzie automatycznie rozpoczynało się pobieranie ScreenConnect. ScreenConnect to legalne narzędzie zdalnego dostępu i wsparcia firmy ConnectWise. Po instalacji i połączeniu z punktem końcowym atakującego zapewnia trwały zdalny dostęp. Ponieważ wiadomości zawierały link do legalnej usługi Microsoftu, prawdopodobnie omijały część filtrów poczty. Po wdrożeniu jednej instancji ScreenConnect atakujący wdrażali drugą i konfigurowali zadanie harmonogramu do wielokrotnego uruchamiania skryptu PowerShell; w co najmniej jednym przypadku usunęli pierwszą instancję, prawdopodobnie by utrzymać trwały dostęp, gdyby obrońcy usunęli jedną instalację. Huntress zatrzymał zaobserwowany atak, zanim wyszedł poza ustanowienie zdalnego dostępu, więc ostateczny cel kampanii pozostaje nieznany. Trwała pozycja może wspierać szpiegostwo, kradzież danych, ransomware lub ataki finansowe. Huntress nie potwierdził, jak zdobyto konto Microsoft ani jak dostarczono wiadomości.