N-able wyłącza chmurę N-central po ujawnieniu 33 luk zero-day

N-able wyłącza hosting N-central po ujawnieniu ponad 30 luk zero-day

N-able wyłączył środowiska Hosted N-central i apeluje do klientów on-premise o wyłączenie serwerów do czasu aktualizacji. Powód: badacz Sean Bales publicznie ujawnił ponad 30 podatności oznaczonych zbiorczo Able2Shell, z gotowymi exploitami testowanymi na N-central Appliance 2026.4.0.31. Luki obejmują ujawnianie poświadczeń, zapis plików, traversal katalogów, XSS, XXE i zdalne wykonanie kodu, a łańcuchy ataków mogą dać uprawnienia administratora i powłokę root. Firma wydała hotfix 2026.4 HF2 naprawiający m.in. CVE-2026-125883, CVE-2026-125878 i CVE-2026-125882, ale zapowiada kolejny. Censys wskazuje 1728 wystawionych do internetu instancji N-central, a watchTowr i Defused Cyber odnotowały próby wykorzystania luk już pierwszej nocy.

N-able Takes N-central Cloud Offline After Researcher Discloses 33 Zero-Days with PoC Exploits →

Tematy: Podatności zero-dayAktualizacje bezpieczeństwa i Patch Tuesday

Chainalysis: atakujący zdobyli dane i tokeny wszystkich klientów

Chainalysis poinformował, że w wyniku włamania do jego sieci atakujący uzyskali imiona i nazwiska, nazwy użytkowników, hashe haseł oraz aktywne tokeny wszystkich użytkowników platformy. Klientami firmy są m.in. FBI, ICE, Siły Powietrzne USA, Microsoft, Coinbase i Barclays. Incydent miał miejsce w październiku i przypominał inne ataki z tamtego miesiąca — zewnętrzny aktor wykorzystał techniki ofensywne wspierane przez agentów AI, by dostać się do systemów i narzędzi wewnętrznych. W komunikacie do klientów firma podała, że dostęp dotyczył danych nieuważanych za wrażliwe, ale w środowej aktualizacji ujawniła atak typu on-path, który naraził część haseł; wektor został zidentyfikowany i naprawiony. Nie wiadomo, czy kradzież danych zwiększyła ryzyko dla klientów.

Chainalysis says hackers stole credentials and tokens for all of its customers - Ars Technica →

Aktywne ataki na ScreenConnect uderzają w dostawców usług zarządzanych

ConnectWise bada aktywną kampanię wymierzoną w dostawców usług zarządzanych (MSP), która wykorzystuje przejęte środowiska ScreenConnect do instalowania fałszywych klientów zdalnego dostępu na urządzeniach klientów. Huntress wykrył kampanię w środę i zidentyfikował sześć przejętych MSP oraz 286 dotkniętych punktów końcowych w 47 organizacjach, a liczba ofiar rośnie. Atakujący używają funkcji Run Command do wdrażania klientów ScreenConnect poza legalnym środowiskiem MSP. Huntress ostrzega też przed techniką odwrotnego pivotu, w której zainfekowane urządzenie klienta może skompromitować stację technika MSP. ConnectWise potwierdził incydent u ograniczonej liczby partnerów i zaleca unikanie sesji z podejrzanymi urządzeniami, przegląd kont, unieważnianie sesji i weryfikację MFA.

Active ScreenConnect attacks breach MSPs, impact dozens of organizations →

Tematy: Malware i infostealery

Rootkity eBPF trafiają na podziemne fora wraz z gotowymi poradnikami

Flare odkrył w podziemnych społecznościach kod rootkitów eBPF i instrukcje krok po kroku, w tym rosyjskojęzyczny wpis na forum Duty Free opisujący budowę implantu ukrywającego procesy i aktywowanego pakietem sieciowym. Poradnik powołuje się na BPFDoor i Symbiote, zawiera kod źródłowy i opisuje aktywację pakietem TCP SYN o określonym rozmiarze okna, ukrywanie procesów przez hook getdents64, szyfrowanie ruchu C2 algorytmem AES-256-GCM oraz używanie XDP do blokowania pakietów kierowanych do 43 adresów IP powiązanych z producentami antywirusów. Flare znalazł też 10 powiązanych wpisów na Pastebin. Programy eBPF działają przez interfejs bpf() bez modułu jądra, więc kontrola lsmod ich nie wykryje; obrona opiera się na monitorowaniu wywołań bpf() i przeglądaniu programów przez bpftool.

eBPF Rootkits: Why Underground Actors Are Taking Notice →

Tematy: Malware i infostealery

Bitcoin Core naprawił trzy luki, w tym jedną grożącą zatrzymaniem kopania

Bitcoin Core ujawnił trzy już naprawione podatności w oprogramowaniu większości węzłów sieci Bitcoin, dotyczące odmowy usługi i prywatności, a nie kradzieży lub fałszowania monet. Żadna nie osiągnęła najwyższego poziomu krytycznego i nie odnotowano wykorzystania. Najpoważniejsza, CVE-2025-62861, dotyczy tworzenia szablonów bloków: reorganizacja łańcucha mogła wywołać błędne usunięcie transakcji i uszkodzić mempool, przez co węzeł nie budowałby szablonów do restartu, blokując pracę górnika. Druga, CVE-2025-62859, pozwalała peerowi zatrzymać przetwarzanie bloków przez ogłoszenie compact block z zmanipulowanym witness. Trzecia, CVE-2025-62860, błędnie przyznawała połączeniom przychodzącym przez Tora uprawnienia whitelist. Operatorzy węzłów powinni uruchomić najnowszą wersję.

A High-Severity Bug Could Have Stalled Bitcoin Mining—Bitcoin Core Has a Fix →

Tematy: Aktualizacje bezpieczeństwa i Patch Tuesday