Security
Claude wykrył 62 luki w Chrome i przejął kontrolę nad systemami
Anthropic ujawnia łańcuchy exploitów zbudowane przez niewydany model AI, a Binance traci 6,36 mld USD w największej kradzieży kryptowalut w historii.
Wydanie opracowane przy pomocy sztucznej inteligencji. Tekst i lektor wygenerowane automatycznie.
Niewydany model Anthropic łączy luki w działające exploity na Chrome, Safari, Windows i Linux
Anthropic poinformował, że niewydany wewnętrzny model AI samodzielnie połączył osobne luki w Chrome, Safari, Windows i Linux w działające dowody koncepcji ataku. Łańcuch dla Chrome wykorzystał cztery błędy: uszkodzenie pamięci w silniku V8, ucieczkę z piaskownicy, wyścig w CacheStorage i use-after-free w FedCM. Anthropic zgłosił Google 62 luki z przypisanymi CVE, w tym 13 ucieczek z piaskownicy, naprawione w Chrome 156. Dla Safari model uzyskał zapis i odczyt pamięci przeglądarki i wyłączył politykę same-origin, co Apple naprawiło w iOS 26.5.2. Łańcuch dla Windows to atak odmowy usługi przez kilka pakietów sieciowych, a dla Linuxa zdalne przejęcie powłoki roota w 48 minut. Wszystkie błędy zgłoszono przed publikacją i naprawiono.
Tematy: AnthropicLuki znalezione przez AI
Volt Typhoon buduje i demontuje infrastrukturę w mniej niż dwie minuty
Lumen Technologies’ Black Lotus Labs opisał operację Silent Train prowadzoną przez powiązaną z rządem Chin grupę Volt Typhoon. Grupa wykorzystuje łańcuchy przejętych routerów biurowych, urządzeń IoT i infrastruktury korporacyjnej, które są składane i rozbierane codziennie, a odbudowa nowego łańcucha zajmuje mniej niż dwie minuty. Sesje trwają średnio około czterech godzin, a liczba aktywnych węzłów w danym momencie jest bliska zeru. Od końca 2023 roku grupa wykorzystała ponad 27 klas urządzeń, w tym produkty Fortinet, Cisco, Ivanti, F5 i Palo Alto Networks, oraz ataki zero-day na Versa Director, N-Able N-Central, Cisco Catalyst SD-WAN i VeloCloud Orchestrator. Black Lotus Labs powiadomił setki ofiar, w tym operatorów telekomunikacyjnych, rząd i infrastrukturę krytyczną.
Researchers uncover Volt Typhoon’s covert, ephemeral network | CyberScoop →
Tematy: Ataki hakerów państwowych
26 400 aktywnych poświadczeń w publicznych repozytoriach Gitee
Niezależny badacz przeskanował 7 256 531 publicznych repozytoriów na Gitee, największej chińskiej platformie Git, i po deduplikacji znalazł 26 400 unikalnych, zweryfikowanych i aktywnych poświadczeń. Skanowanie narzędziami TruffleHog i Kingfisher trwało około miesiąca na 350 równoległych kontenerach i kosztowało 3 097,64 USD. Najczęstszym typem były pary kluczy Alibaba Cloud AccessKey, około jedna na 766 repozytoriów. Same repozytoria z 2025 roku zawierały 12 242 poświadczenia, czyli prawie połowę zbioru. Wśród znalezisk był aktywny klucz administratora organizacji na dużej platformie AI oraz tysiące działających kluczy dostawców chmury. Gęstość 3,64 poświadczeń na 1000 repozytoriów przewyższa Bitbucket i GitLab. Status unieważnienia nie został potwierdzony.
Scanning 7.25 Million Public Repositories on China's Largest Git Platform for Secrets | MongoDB →
PDF-y z AES-256 da się odszyfrować bez hasła przez 9 bitów klucza
Kilka implementacji PDF reklamuje szyfrowanie AES-256, ale generuje klucz pliku z przestrzeni stanów tak małej, że można ją wyliczyć. W MuPDF przed wersją 1.28.5 tylko 9 bitów losowego stanu wpływa na rzeczywisty klucz AES-256, bo generator drand48 jest inicjowany znacznikiem czasu w sekundach. Wszystkie 512 możliwych kluczy można sprawdzić brute force w około 11 milisekund w czystym Pythonie. Foxit PDF Reader 2026.1.3.36551 wyprowadza klucz z SHA-256 znacznika czasu, 32 niezainicjowanych bajtów i stałej „there”, co pozwala przeszukać cały zakres od początku epoki Uniksa w 4,85 sekundy. Podobny wzorzec występował w PDFium od 2014 roku. Luki zgłoszono dostawcom, MuPDF naprawiono, a deszyfratory dla MuPDF i Foxit opublikowano.
The case of the 9 bit AES key | V12 →
Tematy: Szyfrowanie
Binance traci 6,36 mld USD w największej kradzieży kryptowalut w historii
29 października 2026 roku atakujący wyprowadził około 6,36 mld USD z portfeli Binance na dziesięciu blockchainach, głównie w ciągu 20 minut od 20:05 UTC. TRM Labs z wysoką pewnością przypisuje atak północnokoreańskiej grupie TraderTraitor. Na Ethereum wykorzystano delegację EIP-7702, zamieniając gorący portfel Binance w kontrolowany przez atakującego sweeper, i w ciągu trzech minut przeniesiono 167 464 ETH oraz 63 tokeny. Łącznie Ethereum odpowiada za około 3,79 mld USD, Bitcoin za 1,47 mld USD, a Tron za około 628 mln USD. Tether, Circle, Ripple i World Liberty Financial zamroziły około 2,67 mld USD w stablecoinach, a Rada Bezpieczeństwa Arbitrum około 30 mln USD. Atakujący nadal kontroluje ponad 420 000 ETH i 18 270 BTC.
North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History | TRM Labs →
Tematy: Bezpieczeństwo kryptowalutAtaki hakerów państwowych
CVE-2026-98432 w jądrze Linux z rozbieżnymi ocenami od 5,9 do 9,8
Use-after-free w podsystemie IPv4 TCP jądra Linux, opublikowany 15 października 2026 roku jako CVE-2026-98432, otrzymał skrajnie różne oceny ryzyka. Zespół CVE jądra Linux przyznał 9,8 na 10, krytyczny, Red Hat podaje zakres od 5,9 do 8,1, a Amazon Linux ocenia 7,0 dla AL2023. Wszystkie źródła zgadzają się co do mechanizmu: podczas trójstronnego uzgadniania jądro przekazuje własność wskaźnika ireq->ireq_opt gniazdu potomnemu bez kopiowania, a równoległe przetwarzanie retransmitowanego SYN pozwala czytać zwolnioną pamięć. Błąd istnieje od jądra 4.4, a poprawka z 5 października zamienia kfree() na kfree_rcu(). Debian, Oracle Linux, SUSE i Amazon Linux wydały pakiety, Ubuntu ma status pracy w toku, a Red Hat odroczył poprawki. Brak doniesień o wykorzystaniu w atakach.
CVE-2026-98432: The CVSS War Over the Linux Kernel TCP Vulnerability | DeafNews →
Tematy: Podatności zero-day
TightVNC Viewer 2.8.88 z zdalnym wykonaniem kodu przed uwierzytelnieniem
TightVNC Viewer 2.8.88 x64 zawiera lukę zdalnego wykonania kodu przed uwierzytelnieniem w sposobie rozmiarowania bufora ramki. Serwer VNC ogłasza wymiary ekranu, a przeglądarka liczy rozmiar bufora w 32-bitowym int, więc wymiary 32768 na 32769 przy 32 bitach na piksel powodują zawinięcie z 4 GB do 128 KB. Zapisy pikseli trafiają następnie poza alokację bez sprawdzenia granic, dając zapis pod dowolnym przesunięciem. W trybie nasłuchu tvnviewer.exe -listen wiąże 0.0.0.0:5500 bez hasła, co wystawia lukę bezpośrednio do sieci. Łańcuch wykorzystuje 45-bajtowy handshake, wyciek wskaźników przez przepełnienie bufora wyjściowego i łańcuch ROP do wywołania CreateProcessW. TightVNC naprawił lukę 3 października 2026 roku bez informowania o poprawce bezpieczeństwa. Błąd zgłosił SeongJoon Cho z SSD Labs Korea.
TightVNC Viewer Pre-auth RCE - SSD Secure Disclosure →
Trojanizowane rozszerzenie Claude Code w Cursor Marketplace z tylnymi drzwiami SSH
Zatrojanizowana wersja oficjalnego rozszerzenia Claude Code firmy Anthropic trafiła do Cursor Marketplace jako legalna aktualizacja i próbowała zainstalować trwałe tylne drzwi SSH. Złośliwa wersja 2.1.313 została opublikowana pod prawdziwym identyfikatorem anthropic.claude-code, a nie jako osobne fałszywe rozszerzenie. Cursor poinformował, że incydent dotknął najwyżej 5000 użytkowników, którzy zainstalowali wersję między 2:27 a 13:35 czasu pacyficznego 29 października 2026 roku. Ładujący się kod dodawał klucz „svc-telemetry” do pliku authorized_keys, ustanawiał tunel zwrotny do 134.209.82[.]225 i wysyłał dane rozpoznawcze hosta przez nieszyfrowane HTTP. Cursor wyłączył marketplace, usunął pakiet i unieważnił klucze. Anthropic zaprzecza kompromitacji swoich systemów, a wersje z Open VSX i Microsoft Marketplace są czyste.
Official Claude Code Extension on Cursor Marketplace Trojanized with Persistent SSH Backdoor →
Tematy: Claude CodeAtaki na łańcuch dostaw
NIK C2 wykorzystuje API OpenAI do analizy danych w zainfekowanym systemie
Cisco Talos zaobserwował w środowisku produkcyjnym framework command-and-control o nazwie NIK C2 z wbudowaną integracją AI. Implant dla Windows to 64-bitowe narzędzie w Go z dwukanałową architekturą C2: szyfrowane TLS WebSockets na porcie 443 oraz zapasowe odpytywanie HTTP co 250 milisekund, wszystko chronione AES-256-GCM. Framework obsługuje ponad 52 polecenia, w tym kradzież poświadczeń i portfeli kryptowalnych, keylogging, przechwytywanie ekranu i kamery oraz moduł ransomware blokujący ekran. Polecenie ai_generate osadza klienta API OpenAI i kieruje dowolne zapytania do modelu przez zainfekowany host, wykorzystując klucz API ofiary. Talos ocenia z umiarkowaną pewnością, że framework jest w pełni funkcjonalny, a nie dowodem koncepcji. Sygnatura ClamAV wykrywa zagrożenie.
NIK C2: The new AI-enabled command-and-control framework →
Tematy: Malware oparty na AIOpenAI
VOLTA-AUTODOXER wysyła skradzione dane do Claude i usuwa się
Cisco Talos opisał samousuwającego się infostealera dla Windows o nazwie VOLTA-AUTODOXER, który kradnie dane z komputera ofiary i wysyła je do modelu AI, domyślnie Claude firmy Anthropic, aby uzyskać ocenę celu. Złośliwe oprogramowanie buduje ustrukturyzowany pakiet dowodów i prosi model o listę kosztowności posortowaną według możliwości spieniężenia, każąc mu działać jako analityk wywiadu kryminalistycznego i być bezpośrednim oraz konkretnym. VOLTA kradnie hasła, pliki cookie i zapisane karty płatnicze z przeglądarek, profile poczty Thunderbird i Outlook, konta Roblox, tokeny OAuth Microsoft, zrzuty ekranu oraz konfiguracje SSH i chmury. Wszystkie zapisane hasła Wi-Fi są pobierane jawnym tekstem, a portfele kryptowalut są łamane na miejscu. Pakiet dowodów obejmuje geolokalizację, adres domowy, pracodawcę i metadane autorstwa dokumentów. Malware może zmienić model, jeśli jeden odmówi, albo pominąć etap AI.
Tematy: Malware oparty na AIClaude