SonicWall: bypass MFA w SSL-VPN aktywnie wykorzystywany

SonicWall łata lukę SSL-VPN omijającą SAML i MFA

SonicWall wydał aktualizacje naprawiające siedem podatności w firewallach SonicOS, w tym CVE-2026-19868 w usłudze SSL-VPN z oceną CVSS 7.1. Luka pozwala atakującemu z ważnymi poświadczeniami alternatywnej metody uwierzytelniania ominąć kontrolę SAML, potencjalnie także wymuszane przez SAML uwierzytelnianie wieloskładnikowe. CISA dodała ją do katalogu znanych wykorzystywanych podatności i nakazała agencjom federalnym zabezpieczenie systemów do 20 listopada 2026 r. Poprawki obejmują też dwie luki w interfejsie zarządzania o wadze 8.8 oraz przepełnienia bufora w SSL-VPN i TACACS+. Problem dotyczy wersji Gen7 7.3.3-7015 i starszych oraz Gen8 8.2.2-8015 i starszych; poprawki są w 7.3.4-7013 i 8.2.3-8015. Obejść się ich nie da.

SonicWall warns of new SSL-VPN MFA bypass flaw exploited in attacks →

Tematy: Podatności zero-dayAktualizacje bezpieczeństwa i Patch Tuesday

CISA: trwa wykorzystywanie luki w jądrze WordPressa

CISA dodała podatność w jądrze WordPressa do katalogu znanych wykorzystywanych podatności, powołując się na dowody aktywnej eksploatacji. Luka CVE-2026-119977 o ocenie CVSS 8.1 to wyścig typu time-of-check time-of-use, który może pozwolić nieuwierzytelnionemu atakującemu na wykonanie kodu na serwerze w oknie aktualizacji pakietu. Wordfence poinformował, że w ciągu pierwszych 21 godzin od ujawnienia zarejestrowano ponad 18 500 żądań wymierzonych w ścieżki instalatora setup-config.php, a w poprzedniej dobie zablokowano 12 632 próby ataku. Poprawki ukazały się pod koniec zeszłego miesiąca. Agencje federalne mają czas na wdrożenie łatek do 6 listopada 2026 r.

CISA Confirms Hackers Exploiting WordPress Core Flaw During Software Upgrades →

Tematy: Podatności zero-dayAktualizacje bezpieczeństwa i Patch Tuesday

Krytyczna luka w Snorcie: ZIP w odpowiedzi HTTP daje wykonanie kodu

Trend Micro opublikował 3 listopada 2026 r. biuletyn ZDI-26-867 o zdalnym wykonaniu kodu w Cisco Snort, szeroko wdrażanym systemie wykrywania i zapobiegania włamaniom. Podatność CVE-2026-20043 tkwi w funkcji sf_unfold_header i uruchamia się podczas analizy odpowiedzi HTTP zawierających archiwa ZIP. Funkcja nie waliduje poprawnie danych, co prowadzi do zapisu poza granicami bufora (CWE-787); kod wykonuje się w kontekście konta usługi Snort, bez uwierzytelniania. Oficjalny rekord CVE przypisuje ocenę CVSS 9.0, a biuletyn ZDI podaje 9.8 dla tej samej podatności — rozbieżności źródła nie wyjaśniają. Cisco wydał poprawkę. Nie ma doniesień o wykorzystaniu w atakach, a źródła nie precyzują, które wersje są zagrożone.

Snort, the Network Guardian, Falls to a ZIP Archive | DeafNews →

Tematy: Aktualizacje bezpieczeństwa i Patch Tuesday

Fałszywe narzędzia security na GitHubie infekują ponad 2000 systemów

Kampania złośliwych repozytoriów GitHub skompromitowała ponad 2000 systemów Windows — wynika z badań firmy Dr. Web. Akcja trwa około dwóch lat; początkowo celowała w użytkowników kryptowalut przez gry blockchain, boty i cheaty, a ostatnio przeniosła się na specjalistów od bezpieczeństwa. Repozytoria reklamują automatyzację skanów, testy bezpieczeństwa i analizę logów; jedno udawało lekki skrypt do obróbki wyników skanera Fscan. Złośliwy kod ukryto w plikach projektów Visual Studio, skryptach Pythona i źródłach Go, za długimi ciągami białych znaków. Łańcuch infekcji używa PowerShell do pobrania modułowego loadera Microsoft.exe opartego na Electronie, który utrwala się w systemie, podnosi uprawnienia i wyłącza zabezpieczenia Windows. Końcowe ładunki to backdoor AsyncRAT, clipper podmieniający adresy portfeli oraz infostealer wysyłający dane przez bota Telegram.

Fake security tools on GitHub push backdoors and infostealers →

Tematy: Malware i infostealeryAtaki na łańcuch dostaw

Alpine Linux: luka w sshd pozwala zalogować się bez hasła

Administratorzy sshd na serwerach Alpine Linux powinni natychmiast zaktualizować openssh i zrestartować usługę — sama aktualizacja pakietu zostawia stary demon w pamięci. Luka w serwerze OpenSSH pozwala atakującemu zalogować się bez hasła jednym połączeniem, bez ponowień. Wymaga nazwy konta z polem hasła równym *, co jest normalne dla kont z samym kluczem, oraz co najmniej jednego konta z hashem $5$ lub $6$, po czym wysyła hasło o długości od 257 do 1024 bajtów. Jeden użytkownik z hasłem odsłania wszystkie konta bez hasła. Podatne są wydania Alpine od 3.16 do 3.24 oraz edge. Poprawka jest w OpenSSH 10.6p2; w chwili pisania nie przypisano CVE. Doraźnie można ustawić PasswordAuthentication na no i zrestartować sshd.

Alpine Linux SSH Flaw Lets Attackers Log In Without a Password →

Tematy: Aktualizacje bezpieczeństwa i Patch Tuesday

ThisBash: rozszerzenie przeglądarki może zmusić Claude Desktop do wykonania kodu

Rozszerzenie przeglądarki z uprawnieniem do sterowania claude.ai mogło wykorzystać Claude Dispatch, by skłonić Claude Desktop do wykonania poleceń na maszynie, także innej zalogowanej do tego samego konta, bez exploita przeglądarki. Interfejs i API Dispatch były osiągalne z zwykłej sesji claude.ai; wystarczyło wyciągnąć adres z aplikacji desktopowej i otworzyć go w karcie. W dowodzie koncepcji skrypt treści pobrał identyfikator sesji przez GET /v1/sessions, a następnie wysłał cztery prompty, aż Claude zainstalował pakiet, którego hook preinstall.js otworzył Kalkulator. Technikę nazwano ThisBash. Anthropic zgłoszenie z 14 maja 2026 r. uznał za zasadne, ale zamknął jako duplikat; 13 października zapowiedział wycofanie Dispatch do końca miesiąca. Do tego czasu luka pozostaje wykorzystywalna.

ThisBash Escape: Claude Dispatch Flaw Enables Browser Extensions RCE on the OS · Forever Security →

Tematy: ClaudeBezpieczeństwo agentów kodujących AI

macOS 27.3 usunie osiem słabych certyfikatów eMudhra

Apple naprawia w macOS 27.3 lukę certyfikacyjną dotyczącą ośmiu skompromitowanych certyfikatów pośrednich wydanych przez indyjski urząd certyfikacji eMudhra. Firma zablokowała je już 19 października dla Safari, Maila i aplikacji korzystających z natywnych frameworków sieciowych, więc większość użytkowników nie musi czekać na aktualizację. Problem dotyczy pliku /etc/ssl/cert.pem, magazynu używanego przez część narzędzi wiersza poleceń. Badacz ustalił, że prywatne klucze powiązane z tymi certyfikatami były wystarczająco słabe, by budzić obawy — ewentualny atakujący mógłby podszyć się pod strony i przechwytywać dane. Brak dowodów na wykorzystanie. Wersja beta macOS 27.3 usuwa certyfikaty z tego pliku; publiczna premiera spodziewana jest w grudniu.

macOS 27.3 Is Fixing a Mac Security Problem That Could Have Let Hackers Pretend to Be Websites You Trust With Your Personal Information →

Tematy: Apple

Korea Północna szkoli nastolatków na hakerów kryptowalutowych

Korea Północna co roku wybiera 200 najzdolniejszych uczniów szkół średnich do nauki inżynierii komputerowej, a część z nich zostaje hakerami — podają uciekinierzy i analitycy. Program liczy ponad dekadę i został zbudowany za rządów Kim Dzong Una. Najlepsi hakerzy otrzymują mieszkania w stolicy i duże nagrody w twardej walucie za wyczerpującą pracę. Grupa ewoluowała od prowadzenia nielegalnych stron hazardowych do przeprowadzenia największego cybernapadu na świecie — ataku na Binance, który przyniósł 6,3 mld dolarów.

How North Korea turns child prodigies into crypto thieves →

Tematy: Ataki hakerów państwowychBezpieczeństwo kryptowalut

GhostMap: złośliwa aplikacja bez uprawnień wprowadza Androida w pętlę rozruchu

Złośliwa aplikacja na Androida, niewymagająca żadnych uprawnień ani uruchomienia, może wprowadzić urządzenie w trwałą pętlę rozruchu przez lukę nazwaną przez Bitdefender GhostMap. Android mapuje plik w nieprzydzielonym obszarze pamięci, a proces czytający z tego obszaru się crashuje. Źródłem są dwie biblioteki Androida odmiennie interpretujące metody kompresji ZIP, co pozwala złośliwemu APK ominąć kontrole rozmiaru. W demonstracji zasób odczytywany automatycznie przez system_server wywoływał SIGBUS i restart procesu w nieskończonej pętli. Testy na Pixelu 10 z Androidem 17 i łatką z 5 sierpnia wykazały 110 pętli w normalnym trybie i 72 w trybie awaryjnym. Ratunkiem jest reset fabryczny lub usunięcie pliku przez ADB. Bitdefender zgłosił problem Google 20 sierpnia; uznano go za poza zakresem.

GhostMap Android flaw lets malicious app trigger persistent boot loop →

Tematy: Podatności zero-day

PwnEscape: ucieczka z maszyny wirtualnej Firecracker do roota na hoście

Badacze PWN.AI pokazali ucieczkę z gościa do hosta w Firecracker, kończącą się wykonaniem kodu jako root na hoście przez przejęcie zapisanej ramki rejestrów wątku vCPU. Każdy vCPU Firecracker działa jako wątek procesu hosta wchodzący w KVM przez KVM_RUN; jądro trzyma wtedy rejestry użytkownika w strukturze pt_regs, której wskaźniki decydują o miejscu wznowienia. Modyfikacja tej ramki pozwala wybrać kod wykonywany po powrocie z KVM. Łańcuch wykorzystuje nonce w stronie gościa do znalezienia korzenia EPT i adresu fizycznego strony, potem odwrotny mapper odzyskuje korzeń tablic stron procesu, a image mapper bazę obrazu Firecracker, co obchodzi ASLR. Payload zapisał osiem bajtów na stderr Firecrackera. Cel to Firecracker v1.16.1 na x86-64 z jądrem hosta 7.0.0-1011-aws, uruchomiony bez jailera jako root.

Firecracker VM Escape: PwnEscape Part 2. | PWN.AI Security Research →

CPython: zero-day pozwala uciec z sandboxa i uruchomić kod z modelu AI

RunSybil odkrył zero-day w interpreterze CPython pozwalający uciec z sandboxa kodu i wykonać kod ukryty w spreparowanym modelu, co umożliwia włamanie do platform hostujących AI. Luka wykorzystuje obsługę typów generycznych: CPython cache’uje puste parametry aliasu w krotce, a spreparowane obiekty z hookami typing_subst i typing_prepare_subst pozwalają zmodyfikować ten cache po sprawdzeniu granic. Gdy parametr trafia po cache’owaniu, wyszukiwanie zwraca -1, a asercja jest wyłączona w buildach wydaniowych, więc CPython czyta argitems[-1] i przekazuje wynik do callbacku atakującego. Od wersji 3.14 hash krotki leży tuż przed wskaźnikami elementów, co pozwala dobrać adres. Badacze osiągnęli wykonanie kodu w Jinja ImmutableSandboxEnvironment i w procesie vLLM podczas renderowania szablonu czatu z modelem Qwen2.5-0.5B-Instruct. CPython uznał, że sandboxing nie jest granicą bezpieczeństwa; Hugging Face nie odpowiedział w oknie 90 dni, a vLLM nie zdecydował o mitigacji.

CPython 0-Day Vulnerabilities Threaten the AI Supply Chain | RunSybil Blog →

Tematy: Podatności zero-dayInfrastruktura AI i centra danych

Port 0: ponad milion adresów IPv4 odpowiada na skan

Port 0 jest zarezerwowany przez IANA i traktowany przez API gniazd jako żądanie portu efemerycznego, ale nic na poziomie protokołu nie zabrania wysłania pakietu TCP na ten port. Na Linuksie bind() z portem 0 przydziela dowolny port z zakresu efemerycznego, a jądro dzieli go według parzystości: nieparzyste dla nasłuchujących, parzyste dla połączeń wychodzących. Skan masowy całego IPv4 na port 0 zebrał SYN-ACK od 1 173 626 adresów, skupionych w kilku tysiącach bloków /24; 172.65.0.0/16 odpowiedział na 65 534 z 65 536 adresów, co wskazuje na zaporę brzegową odpowiadającą za wszystko za sobą. 1 116 675 adresów dokończyło uzgadnianie bez wysłania danych. Z 56 951, które wysłały banner, 53 741 to load balancery F5 BIG-IP. Wśród usług znalazło się 748 SSH, 215 MySQL/MariaDB, 159 HTTP i 21 systemów Avaya IP Office strumieniujących rekordy połączeń z numerami telefonów i nazwiskami pracowników.

acidvegas x blog - the port that does not exist →