Apple łata 329 luk, CISA potwierdza ataki na PHP2Shell

Apple naprawia 329 luk, w tym dostęp do kamery bez zgody

Apple wydało jedną z największych aktualizacji bezpieczeństwa w ostatnich latach, łatając 329 unikalnych podatności w iOS, iPadOS, macOS, watchOS, tvOS, visionOS i Safari. Łącznie biuletyny zawierają 1265 wpisów CVE, bo część luk dotyczy wielu platform. Wśród nich CVE-2026-86990 w CoreMedia pozwala złośliwej aplikacji uzyskać dostęp do kamery bez zgody użytkownika na iPhone’ach, iPadach, Macach i Apple Vision Pro. CVE-2026-86987 w Apple Intelligence umożliwia zdalnemu atakującemu dostęp do wrażliwych danych. Poprawiono też lukę w Siri w macOS oraz szereg błędów WebKit. Aktualizacje z 26 października objęły trzy generacje systemów, w tym starsze iPhone XS i siódmą generację iPada, gdzie łatka CVE-2026-86950 zamyka możliwość wykonania dowolnego kodu. Apple zaznacza, że opisy dotyczą potencjalnych skutków, nie potwierdzonych ataków.

Apple Just Patched 329 Security Flaws Across iPhone, Mac, and iPad, Including One That Let Apps Secretly Access Your Camera →

Tematy: AppleAktualizacje bezpieczeństwa i Patch Tuesday

CISA: luki PHP2Shell wykorzystywane, agencje mają czas do czwartku

CISA dodała dwie krytyczne luki PHP, oznaczone zbiorczo jako PHP2Shell (CVE-2026-109618 i CVE-2026-109619), do katalogu znanych wykorzystywanych podatności KEV. Nieuprzywilejowani atakujący mogą w złożonych atakach uzyskać zdalne wykonanie kodu na niezałatanych systemach. Zespół PHP załatał obie luki w środę 21 października, dzień po apelu o szybką aktualizację. Szczegóły wyciekły przed premierą łatek, a część proof-of-concept opublikowano, choć zespół PHP twierdzi, że żaden nie działał. Cloudflare, Amazon, Hadrian, watchTowr, Previdian i Patchstack odnotowały masowe próby eksploatacji przed ujawnieniem, wszystkie nieudane. Amazon zauważył ataki cztery dni przed łatką. CISA nakazała agencjom FCEB zabezpieczenie systemów do czwartku na mocy BOD 26-04. PHP napędza około 70 proc. stron internetowych.

CISA confirms PHP2Shell vulnerabilities now exploited in attacks →

Tematy: Podatności zero-dayAktualizacje bezpieczeństwa i Patch Tuesday

The Gentlemen: ransomware z 800 ofiarami i 90 proc. dla partnerów

Grupa The Gentlemen to rosyjskojęzyczna operacja ransomware-as-a-service działająca od połowy 2025 roku, wcześniej jako partner LockBit i Qilin pod nazwami ArmCorp lub Phantom Mantis. Własny szyfrant wdrożyła w lipcu i sierpniu 2025 roku, a partnerzy otrzymują do 90 proc. okupu. Grupa twierdzi, że ma ponad 800 ofiar, głównie w USA i Europie; najczęściej atakuje produkcję, technologię, ochronę zdrowia, usługi profesjonalne i handel. Partnerom zabrania działać w regionie WNP. W maju 2026 roku jej infrastruktura padła ofiarą wewnętrznego wycieku, ujawniając komunikację, negocjacje i dane partnerów. Ransomware napisany w Go atakuje Windows, Linux, NAS i BSD, stosuje podwójne wymuszenie i wyłącza Windows Defender. Wykorzystuje też podatne sterowniki, m.in. Safetica ProcessMonitorDriver i Lenovo BootRepair, do zabijania procesów bezpieczeństwa.

The Gentlemen: A closer look at a not-so-gentle ransomware-as-a- service operation →

Tematy: Ransomware

Aokigahara kradnie klucze deweloperów i sesje asystentów AI

Badacze Check Point odkryli windowskiego infostealera o nazwie Aokigahara, nazwanego od japońskiego lasu u stóp Fuji. Złośliwe oprogramowanie kradnie hasła przeglądarek, ciasteczka sesji, portfele kryptowalut, dane klientów VPN i FTP/SFTP, menedżerów haseł i poczty, a także szuka tokenów uwierzytelniania i kluczy API w plikach lokalnych. Szczególnie celuje w zasoby AI: pliki uwierzytelniania, dane sesji i konfiguracje Claude, ChatGPT Desktop, Codex, Cursor, Windsurf, GitHub Copilot i Gemini CLI. Sięga też po dane deweloperskie i chmurowe, w tym dostęp do Git, klucze SSH oraz konfiguracje AWS, Azure i Google Cloud. Check Point podkreśla, że to zmiana tego, co atakujący uznają za cenne. Skradzione sesje AI mają wartość odsprzedaży i wymuszenia, bo historia rozmów często zawiera zastrzeżony kod. Malware wykrywa maszyny wirtualne i piaskownice, a dane pakuje do zaszyfrowanych archiwów zip.

‘Aokigahara’ Stealer Targets ‘Developer Keyrings’ & AI Assistants →

Tematy: Malware i infostealery

Pegasus w Serbii: trzy laboratoria potwierdzają inwigilację przed wyborami

Trzy niezależne organizacje forensyczne — Citizen Lab, Security Lab Amnesty International i belgradzka Fundacja SHARE — potwierdziły, że służby Serbii użyły oprogramowania szpiegującego Pegasus firmy NSO Group, sprzętu Cellebrite i własnego implantu Android przeciwko co najmniej 15 osobom w cyklu wyborczym 2026. Wśród celów znaleźli się rektor Uniwersytetu w Belgradzie Vladan Đokić oraz wysoki prokurator ds. przestępczości zorganizowanej Rade Bajić. Ujawnienie nastąpiło dzień po tym, jak Aleksandar Vučić uznał porażkę w wyborach parlamentarnych z 25 października, pierwszą po 14 latach władzy. Koalicja Students Win zdobyła projektowane 135–140 mandatów w 250-osobowym zgromadzeniu. Đokić został zaatakowany przez Pegasusa exploitem zero-click w 2026 roku. Amnesty udokumentowała użycie Cellebrite podczas przesłuchań oraz implant NoviSpy budowany przez BIA, wykorzystujący lukę CVE-2024-43047 w Qualcomm. BIA odrzuca zarzuty.

Three Labs Confirm Serbia Hacked Rector and Prosecutor With Pegasus Before Vote →

Tematy: Oprogramowanie szpiegujące