23 tys. qubitów może złamać RSA-2048 w 3 dni

22 593 qubity typu cat mogą złamać RSA-2048 w 3 dni

Preprint z Cryptology ePrint Archive, jeszcze nie recenzowany, szacuje zasoby potrzebne do uruchomienia algorytmu Shora przeciw RSA-2048 z użyciem nadprzewodzących qubitów typu cat. Zespół kierowany przez badaczy z paryskiej firmy Alice & Bob twierdzi, że układ 22 593 qubitów cat mógłby rozłożyć klucz RSA-2048 w 3,14 dnia, a połączenie 10 takich maszyn w 610 530 qubitów skróciłoby ten czas do 1,25 godziny. 29 588 qubitów cat miałoby ominąć kryptografię krzywych eliptycznych chroniącą Bitcoina w 61,8 minuty. Szacunki zasobów spadły z 20 milionów qubitów w 2019 roku do poniżej miliona w 2025. Nikt jednak nie zbudował komputera o 23 tysiącach qubitów — największa macierz Caltech ma 6100 qubitów i nie jest funkcjonalnym komputerem.

A Quantum Computer Could Crack Major Internet Encryption in Just 3 Days, Study Suggests →

Backdoor w Savane mógł dać dostęp do repozytorium Bash

GNU Savannah, forge hostujący Bash, Coreutils i setki projektów GNU, był podatny na wstrzyknięcie poleceń przez adresy e-mail kont. Walidator Savane akceptował adresy zawierające backticki, $, {} i |, a funkcja „Test GPG keys” przekazywała e-mail do proc_open() przez /bin/sh. Adres typu atouch${IFS}/tmp/savane-rce-proof@attacker.example wykonywał polecenia jako użytkownik serwera WWW. Podatna ścieżka trafiła do Savane 3.17-c369 7 marca 2026 roku i dotyczyła savannah.gnu.org oraz savannah.nongnu.org przez około dwa miesiące. Badacze ustawili sobie flagę superużytkownika i podszyli się pod opiekuna Basha, Cheta Rameya, potwierdzając, że jego strona klucza SSH przyjmuje edycje — nie dodali jednak klucza. Zgłoszenie trafiło do FSF 11 maja 2026 roku, a audyt Savane dał 26 podatności.

Securing Internet-Critical Software: How We Could Have Backdoored Bash | Hacktron AI →

Tematy: Ataki na łańcuch dostaw

Vercel wiąże sesje logowania z urządzeniem przez DBSC

Vercel stopniowo wdraża Device Bound Session Credentials (DBSC) dla logowań na vercel.com, gdzie deweloperzy zarządzają projektami i wdrożeniami. Funkcja, ogłoszona przez CTO Malte Ubla, wiąże sesję z urządzeniem za pomocą klucza prywatnego przechowywanego w TPM, więc skradzione ciasteczko sesji nie da się użyć na innym sprzęcie. DBSC działa obecnie w Chrome na macOS i Windows, a wdrożenie jest stopniowe z powodu przypadków brzegowych z aplikacjami OAuth. Vercel osobno wdraża DPoP dla CLI oraz uruchomił w publicznej becie Security Review dla zespołów Pro i Enterprise — skanuje zmiany kodu przy każdym pushu do repozytoriów GitHub i może zatwierdzać poprawki. Skanowanie jest bezpłatne do 10 listopada 2026 roku. W kwietniu Vercel padł ofiarą włamania przez konto Google Workspace pracownika w Context.ai.

Vercel rolls out new protection against stolen session cookie attacks →

Tematy: Bezpieczeństwo haseł

SysGoRAT i skrypty prawdopodobnie od AI na rządowych serwerach Linux

Palo Alto Networks Unit 42 zaobserwowało kampanię szpiegowską CL-UNK-1211 wymierzoną w infrastrukturę Linux powiązaną z podmiotami rządowymi, prowadzoną od października 2025 do kwietnia 2026 roku. Napastnicy prowadzili rozległy rekonesans, próbowali zrzucać wrażliwe bazy danych i eksfiltrować skrzynki pocztowe instytucji, by przejmować konta w mediach społecznościowych. Wykorzystywali narzędzia open source, własne backdoory i web shelle, próbowali wyłączać ochronę endpointów, czyścić logi systemowe i podrzucać fałszywe znaczniki red teamu. Złośliwe skrypty PHP i powłoki, prawdopodobnie wygenerowane przez AI, zawierały konwersacyjne notatki wyjaśniające logikę kodu. Wykorzystano też trojana SysGoRAT napisanego w Go, łączącego się przez WebSocket z adresem 104.194.158[.]65:443 i obsługującego siedem typów poleceń.

Government Linux Servers Targeted With SysGoRAT and Suspected AI-Generated Scripts →

Tematy: Ataki hakerów państwowychMalware i infostealery

Włamanie do nawigacji Renault, by zmienić strefę czasową

Nawigacja TomTom Carminat LIVE w Renault Latitude z 2014 roku nie pozwala zmienić zegara bez karty SD z mapami — menu ustawień jest czytane właśnie z karty, a DRM odrzuca nośniki bez właściwego CID i podpisanych plików. Oryginalne karty kosztują około 60 euro. Autor zbudował emulator QEMU z jądrem 2.6 i emulatorem CAN, po czym wykorzystał polecenie LOG do zapisu do /proc/sys/kernel/core_pattern z obejściem katalogu przez ../ oraz polecenie SHEX uruchamiające /bin/dbus-monitor. Gdy dbus-monitor nie połączył się z magistralą systemową, wywołał SIGABRT, a jądro przekazało zrzut do skryptu jako root. W ten sposób uzyskano wykonanie kodu i zmieniono przesunięcie czasowe z 180 na 120 minut w pliku settings.dat.

Jailbreaking my car’s navigation system just so I can change the time | nns.ee →