Google łata ósmy w tym roku atakowany zero-day w Chrome

Google naprawia ósmy w tym roku zero-day w Chrome

Google wydało awaryjne aktualizacje bezpieczeństwa dla Chrome, łatając lukę CVE-2026-125350 wykorzystywaną w atakach zero-day — ósmą taką w tym roku. To use-after-free w komponencie XML przeglądarki: parser usuwa obiekt z pamięci, ale nie czyści wskaźnika, co pozwala na manipulację układem pamięci i wykonanie złośliwego kodu. Google nie ujawnia szczegółów incydentów. Poprawka trafiła do kanału Stable Desktop w wersjach 157.0.8103.50/.51 dla Windows i macOS oraz 157.0.8103.50 dla Linuksa. Aktualizacja może docierać do użytkowników kilka dni lub tygodni, a Chrome instaluje ją automatycznie po kolejnym uruchomieniu. Wcześniejsze tegoroczne zero-day to m.in. CVE-2026-2441, CVE-2026-3909, CVE-2026-3910 i CVE-2026-5281.

Google patches eighth Chrome zero-day exploited in attacks this year →

Tematy: Bezpieczeństwo ChromePodatności zero-day

Kampania wfx-loot przejęła 4837 kont GitHub i kradła poświadczenia chmurowe

Kampania o nazwie wfx-loot wykorzystała złośliwe workflow GitHub Actions do kradzieży sekretów i poświadczeń chmurowych. Od około 10 listopada przestępcy użyli danych z 4837 przejętych kont GitHub, by sprawdzić 61 764 repozytoria pod kątem prawa zapisu, otwierając pull requesty zatytułowane „docs: dependency audit notes” — 92 proc. z nich pozostaje otwartych. Badacze z Aikido potwierdzili kradzież sekretów z co najmniej 1835 celów. Wśród przejętych kont były organizacje z Fortune 100, US General Services Administration, rząd Francji, Nextcloud i WebdriverIO. Ładunek to 1500-liniowy skrypt zbierający tokeny GitHub, dane AWS, Azure i GCP oraz klucze OpenAI, Anthropic i Gemini, a także eskalujący uprawnienia w chmurze. Dane wyciekały przez HTTP POST, a zmiany cofano w niecałą minutę.

Hackers compromise 4,800 GitHub accounts to steal cloud credentials →

Tematy: Ataki na łańcuch dostaw

Synology łata krytyczną lukę w DSM ocenioną na 9,8 punktu

Synology ujawniło dwie luki w DiskStation Manager, systemie swoich urządzeń NAS, z których jedna jest krytyczna. CVE-2026-76954 to SQL injection w API Auth, pozwalające zdalnym atakującym czytać lub zapisywać dowolne pliki bądź wywoływać ataki odmowy usługi — ocena CVSS to 9,8 na 10. Druga, CVE-2026-85101 w narzędziu rsync, umożliwia obejście uwierzytelniania i operacje na plikach przy ocenie 8,6. Obie można wykorzystać zdalnie bez logowania. Synology ujawniło szczegóły około miesiąca po wydaniu poprawek, które trafiły do wersji DSM 7.4, 7.3, 7.2.2 i 7.2.1 w październiku 2026 roku. Luki zgłosili badacze z Viettel Cyber Security i Aytio. Użytkownicy z ręcznymi aktualizacjami powinni sprawdzić nowe wydania DSM.

Synology patches a critical NAS flaw that could let attackers in without logging in →

Aplikacje Electron ufające certyfikatom eMudhra narażone na atak z sieci lokalnej

Aplikacje Electron, które aktualizują się bez weryfikacji podpisów i wciąż ufają skompromitowanym certyfikatom eMudhra, pozwalają atakującemu w tej samej sieci instalować złośliwe oprogramowanie. W październiku 2026 roku ujawniono, że dwa pośrednie CA eMudhra miały trywialne do odzyskania klucze prywatne. Przeglądarki w kilka godzin wdrożyły listy unieważnień, ale Electron nie ma komponentu aktualizacji Chromium, więc twórcy wpisali ręcznie brak zaufania do konkretnych certyfikatów, wymagając pełnej nowej wersji aplikacji. Bez wsparcia list unieważnień kolejny podobny incydent znów będzie wymagał łatania. Wcześniej brak weryfikacji podpisów zgłaszano m.in. Protonowi, Bitwarden, Internxt i Filen. Proton Mail załatał szybko, ale na Windows nadal aktualizuje się bez sprawdzania podpisu.

Electron, we have a problem →

Tematy: Ataki na łańcuch dostaw