Security
PHP2Shell atakuje przed łatką, LiteLLM 1.107.0 z backdoorem
Krytyczne luki RCE w PHP wykorzystane 5,5 godziny przed publikacją poprawek, a zainfekowane wydanie LiteLLM kradnie poświadczenia z całego hosta.
Wydanie opracowane przy pomocy sztucznej inteligencji. Tekst i lektor wygenerowane automatycznie.
PHP2Shell: krytyczne RCE w PHP atakowane jeszcze przed łatką
21 października o 14:00 UTC PHP wydało poprawki na dwie nieuwierzytelnione luki RCE w jądrze, CVE-2026-109618 i CVE-2026-109619, nazwane PHP2Shell po wycieku narzędzia exploitacyjnego. Obie mają CVSS 9.2 i są osiągalne podczas parsowania żądania, zanim wykona się kod aplikacji. Pierwsze żądanie PHP2Shell dotarło do sensorów ELLIO o 08:36 UTC, pięć i pół godziny przed publikacją łatki. CVE-2026-109618 to RCE przez korupcję przy braku pamięci, a CVE-2026-109619 przez nieaktualny stan globalny w workerze. Poprawki objęły PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12; wersje 8.1 i starsze nie dostaną oficjalnej łatki. Do 23:00 UTC 33 adresy wysłały 743 żądania z polem sesji, a atakujący budowali łańcuch w otwartej sieci.
PHP2Shell: critical PHP RCE (CVE-2026-109618, CVE-2026-109619) | ELLIO | ELLIO Blog →
Tematy: Podatności zero-dayAktualizacje bezpieczeństwa i Patch Tuesday
Zainfekowane wydanie LiteLLM 1.107.0 na PyPI kradnie poświadczenia
Wydanie LiteLLM 1.107.0 w PyPI zawierało kradzież poświadczeń i backdoor RCE. Wszystkie siedem paczek kołowych dla Linuksa, macOS i Windows instalowało trzy pliki w site-packages, a dwa z nich uruchamiają się przy starcie każdego procesu Pythona, nawet bez importu litellm. Źródła na GitHubie nie zawierają tych plików, a PyPI usunęło wydanie. Plik cook.pth importuje cook.py, który zbiera klucze SSH, dane chmurowe, sekrety CI/CD, tokeny narzędzi AI, hasła z przeglądarek i klucze dostawców LLM, szyfruje je i wysyła na www.litellm[.]dev. sitecustomize.py uruchamia demona, który co godzinę pobiera adres z pliku na GitHubie i wykonuje kod z serwera. SafeDep ocenia z umiarkowaną do wysokiej pewnością, że pipeline wydawniczy BerriAI zbudował paczki ze zmodyfikowanego źródła. Konto letters9813 usunięto około dwie godziny po publikacji.
Tematy: Ataki na łańcuch dostaw AIAtaki na łańcuch dostaw
GRU wykorzystało Edge do włamania do stoczni NATO
Jednostka 26165 GRU, śledzona jako APT28/Swallowtail, włamała się do trzech organizacji obronnych NATO między 24 lipca a co najmniej 24 września 2026 roku, w oknie 63 dni. Ofiarami były stocznia wojenna, producent silników lotniczych i agencja policyjna. Symantec opisał techniczny przebieg ataku. Dostęp początkowy zapewnił dokument Word z makrami wysłany w spear-phishingowym załączniku; w stoczni otwarto go z pamięci podręcznej Outlooka 24 lipca w południe. Zdefiniowanym mechanizmem był backdoor batchowy HOOKEDGE, który zabijał istniejące procesy Edge i uruchamiał przeglądarkę z oknem 1 na 1 piksel poza ekranem, przekazując zaszyfrowany ładunek JavaScript jako argument wiersza poleceń. Niewidoczna przeglądarka pobierała instrukcje z webhook.site, a ruch wyglądał jak zwykłe przeglądanie. Zadanie harmonogramu powtarzało cykl co 30 minut.
Russia Weaponized Microsoft Edge to Breach NATO Naval Shipbuilder in Two-Month Espionage Campaign →
Tematy: Ataki hakerów państwowych
SafePay uderzył w 600 organizacji, ostrzega FBI i CISA
Amerykańskie agencje ostrzegają, że operacja ransomware SafePay dotknęła co najmniej 600 organizacji na świecie, w tym firmy z sektorów infrastruktury krytycznej. SafePay działa od sierpnia 2024 roku i był jedną z najaktywniejszych grup ransomware w 2026 roku. W ogłoszeniu z 20 października CISA dołączyła do FBI, Secret Service oraz organów ścigania z Niemiec i Wielkiej Brytanii. Grupa szyfruje pliki i żąda okupu, często w kryptowalutach, stosując podwójne wymuszenie: najpierw kradnie dane, potem grozi ich publikacją. Śledczy zidentyfikowali kilka metod dostępu: skradzione dane logowania, wielokrotne zgadywanie haseł, wykorzystanie luk w VPN-ach i phishing. SafePay używa zwykłych narzędzi administracyjnych, takich jak PowerShell, RDP i Windows Remote Management, przez co trudniej odróżnić jego działania od rutynowej konserwacji.
Tematy: Ransomware
Akta sądowe: DHS okłamało aktywistę GrapheneOS na lotnisku
Nowe dokumenty sądowe pokazują, że Departament Bezpieczeństwa Krajowego USA przedstawił Samuelowi Tunickowi nieprawdziwy powód zatrzymania na lotnisku w Atlancie, żądania kodu do telefonu i postawienia zarzutu federalnego po tym, jak funkcja bezpieczeństwa wyczyściła urządzenie. Wewnętrzny e-mail HSI złożony jako dowód w Sądzie Okręgowym Północnego Dystryktu Georgii wskazuje, że agenci badali Tunicka pod kątem podejrzenia terroryzmu związanego z jego aktywizmem Stop Cop City. Oskarżenie o pornografię dziecięcą nie miało podstaw faktycznych, a oficer CBP Findley przyznał pod przysięgą w lipcu 2026 roku, że nie było powodu sądzić, iż Tunick posiada takie treści. Tunick użył hasła duress w GrapheneOS, co nieodwracalnie wyczyściło dane. Grozi mu do pięciu lat więzienia na podstawie 18 U.S.C. § 2232(a).
Court Records Reveal DHS Lied About Motive in GrapheneOS Activist Border Case →