Hírolvasó

Ezen a héten az AI-támogatott támadások, az állami hátterű kémkampányok és egy logisztikai szolgáltató feltörésének több országra átterjedő hulláma állt a középpontban. Kiemelt figyelmet érdemel egy valós támadásokban kihasznált Windows- és VMware-hiba, valamint a hamis állásajánlatokra épülő kampányok terjedése.

Sam Jadali biztonsági kutató és a Melurna kiberbiztonsági startup társalapítója fedezte fel, hogy a Klaviyo marketingcég egy rossz beállítás miatt külső hirdetőkkel osztotta meg az új ügyfelek regisztrációs adatait, beleértve a jelszavukat is. A vizsgálatok szerint a Klaviyo oldalán található regisztrációs űrlap rosszul lett konfigurálva 2024 februárja és 2025 novembere között vagy még tovább. Ennek […]

Az Anthropic 2026. augusztus 2-től láthatatlan jelöléssel látja el a Claude által generált szövegeket és támogatott fájlokat.

Az OpenAI hétfőn jelentette be új, kifejezetten kiberbiztonsági feladatokra fejlesztett mesterségesintelligencia-modelljét

Egy korábban a Medusa zsarolóvírus hálózathoz köthető, feltehetően Kínából működő támadócsoport új, saját fejlesztésű zsarolóvírust vetett be, miután egy széles körben használt távoli felügyeleti (RMM) platform hitelesítési hibáját kihasználva jutott be áldozatai rendszereibe. A Storm-1175 nem új szereplő. A Microsoft korábban is nyomon követte, amint zero-day és n-day (már ismert, de még sok helyen nem […]

Egy újabb adathalász kampányban a Spotify nevével visszaélve próbálják megszerezni a felhasználók bejelentkezési, személyes és bankkártyaadatait. A támadók olyan e-maileket küldenek, amelyek szerint probléma merült fel az előfizetéshez kapcsolódó fizetés feldolgozásával, ezért a felhasználónak frissítenie kell fizetési adatait. Ehhez az üzenetben található „Fizetési mód frissítése” („Update payment method”) gombra kell kattintania. Az üzenetek valósághűen utánozzák […]

A Gen jelentése szerint 2026 első hat hónapjában a csalások a szervezet által észlelt fenyegetések közel 46 százalékát tették ki, míg a rosszindulatú hirdetések (malvertising) csaknem további 30 százalékért feleltek. A jelentés két, 2026 első felében feltárt támadási láncot emel ki. Az első egy banki kártevőt terjesztő kampány volt, amely kompromittált vállalati postafiókokból indult, majd […]

Overview

Two vulnerabilities have been identified in the Trusted Platform Module (TPM) 2.0 reference implementation:

1. CVE-2026-6726 – Information leakage via falsified TPM keys.
2. CVE-2026-6727 – A timing side-channel vulnerability in RSA OAEP decryption.

An attacker with privileged access to a TPM command interface may be able to exploit these vulnerabilities by sending specially crafted TPM commands. Successful exploitation could allow the attacker to decrypt ciphertexts encrypted to affected TPM-managed RSA keys, including the RSA Endorsement Key (EK), or obtain credentials for falsified TPM keys, enabling forged TPM 2.0 attestations.
These vulnerabilities are also documented by the Trusted Computing Group (TCG) in advisories - TCGVRT010 and TCGVRT0011:

Description

Trusted Platform Module (TPM) technology provides hardware-backed cryptographic services for modern computing platforms. TPMs are designed to resist tampering and may be implemented as discrete chips, integrated hardware, firmware-based TPMs (fTPMs), or software implementations used in cloud and virtualized environments.
The Trusted Computing Group (TCG) maintains the TPM specifications and publishes a reference implementation to assist vendors in developing TPM-compliant products.

Two vulnerabilities were identified in the TPM 2.0 reference implementation.

CVE-2026-6727
A timing side-channel vulnerability exists in the RSA OAEP decryption implementation. A privileged local attacker with access to the TPM command interface may be able to exploit timing differences to recover information that could allow decryption of ciphertexts encrypted to TPM-managed RSA keys, including the RSA Endorsement Key (EK), including import blobs, credential blobs, and session salts. Under certain conditions, this may also enable the forgery of TPM 2.0 attestations.

CVE-2026-6726
An information leakage vulnerability could allow a privileged local attacker to obtain credentials from a TPM-aware Certificate Authority (CA) for a falsified TPM key, such as an Attestation Key (AK), DevID key, or TLS authentication key. This could enable the creation of fraudulent TPM 2.0 attestations using the forged key.

Both vulnerabilities require privileged access to the TPM command interface. Multiple vendors have released firmware and software updates incorporating fixes from the updated TPM 2.0 reference implementation.

Impact

Successful exploitation requires privileged local access to a TPM command interface. Depending on the vulnerability exploited, an attacker may be able to:
- Decrypt ciphertexts encrypted to the TPM-managed RS keys, including the RSA Endorsement Key (EK), , including credential blobs, import blobs, and session salts.
- Obtain credentials for falsified TPM keys.
- Produce fraudulent TPM 2.0 attestations that appear to originate from a legitimate TPM.

The overall impact depends on the affected TPM implementation and how TPM-based attestation and key management are used by the platform.

Solution

The vulnerabilities originate in the TPM 2.0 reference implementation, and TPM vendors have incorporated the corresponding fixes into updated firmware and software releases. Users should install TPM firmware updates, operating system updates, or software patches provided by their platform or TPM vendor.

Cloud providers using software-based TPM implementations may also have deployed updates. Customers should consult their cloud provider's guidance to determine whether any additional action is required. See the Vendor Information section for product-specific remediation guidance.

Acknowledgements

Thanks to security researchers Liran Perez, Zecharye Galitzky, Shai Sarfati, and Yanai Moyal from Intel for reporting these vulnerabilities. Thanks to members of the Trusted Computing Group’s Vulnerability Response Team, TCG VRT, for working with CERT/CC towards this multi-party vulnerability disclosure. This document was written by Vijay Sarvepalli.

A lengyel CERT Polska nyilvánosságra hozott egy új jelentést egy 2025. december 29-i kibertámadásról, amely egy közepes méretű, mintegy 50 000 lakost kiszolgáló hő- és villamosenergia termelő erőművet ért. A támadást csak több mint három hónapos nyomozás után sikerült azonosítani, és a vizsgálat során a szakértők egy korábban sosem látott behatolási módszert tártak fel. December […]

Az FBI, a dél-koreai hatóságok, valamint a CISA (Cybersecurity and Infrastructure Security Agency) is arra hívta fel a figyelmet, hogy a Gunra zsarolóvírus-csoport kritikus infrastruktúrát üzemeltető szervezetek rendszereit veszi célba, többek között a Fortinet tűzfaltermékeit érintő sérülékenységeinek kihasználásával. A CISA 2026. augusztus 10-én kiadott riasztásában foglalta össze a fenyegetéssel kapcsolatos legfontosabb információkat. A Gunra 2025 […]

A Reuters biztonsági forrásokra hivatkozva arról számolt be, hogy Oroszország jelentősen felerősítette dezinformációs tevékenységét Németországban, néhány héttel a szeptemberi tartományi választások előtt. A kampányok elsősorban a szélsőjobboldali Alternatíva Németországért (AfD) helyi politikai riválisait célozzák, és a cél a társadalmi megosztottság mélyítése, valamint a kormányzó pártok hitelének rombolása. A “Matrjoska” (az orosz egymásba rakható babákról elnevezett) […]

Overview

The OpenCart v4.2.0.0 extension installer contains a directory traversal vulnerability. The extension installation process extracts uploaded .zip files then uses the zip entry filenames as filesystem paths, without validating that the resolved path stays inside the intended directory. This vulnerability is tracked as CVE-2026-18412.

Description

OpenCart is a free, open‑source e‑commerce solution designed to help businesses build and manage online stores.

OpenCart extensions are uploaded as zip files with .ocmod.zip extensions. Upon installation, the OpenCart v4.2.0.0 extension installer extracts these zip files, but does not validate that the extracted paths stay inside the intended extraction directory. An attacker can craft a malicious extension containing file path traversal sequences, such as ../. With this vulnerability, an attacker can write files, such as a PHP web shell, into the webroot directory.

Impact

If a user with valid admininistrator credentials installs a malicious extension, it could allow a user to remotely execute code with the same privileges that OpenCart has on the target server. This includes the potential creation of a web shell, which could further enable remote execution of system-level commands. The vulnerability was confirmed against version 4.2.0.0, but other 4.x versions of OpenCart may be affected.

Solution

Unfortunately, OpenCart could not be reached to coordinate this vulnerability, and a patch is not available at the time of this writing. The CERT/CC recommends that OpenCart users update to the latest version and avoid installing extensions from unknown or untrusted sources. Additionally, OpenCart should be configured to run with the minimum privileges necessary for normal operation.

Acknowledgements

Thank you to Noah Magill for reporting this vulnerability. This document was written by Bob Kemerer.

A Framework-öt és Tally-t érintő kibertámadás során a Metabase SQL egyik zero-day sérülékenységét használták ki. Az ügyfeleknek kiküldött, és a BleepingComputerrel megosztott adatvédelmi incidensről szóló értesítésben a Framework közölte, hogy az incidens következtében a támadók ügyféladatokat lophattak el. Az ellopott adatok között szerepelhetnek az ügyfelek teljes nevei, e-mail címeik, bejelentkezési IP-címek, számlázási és szállítási címadatok, […]

James Arnott biztonsági kutató és a Bay Area Labs kiberbiztonsági cég alapítója fedezte fel azt a mára már javított sebezhetőséget, amely a Nitro Software által fejlesztett digitális személyazonosság-hitelesítés kezelésére és jogilag kötelező érvényű elektronikus aláírások végrehajtására szolgáló szoftverét érintette. Belgium 10 legnagyobb bankja közül 8 és több mint 60 kormányzati szerv, így közel kétmillió ember […]

Overview

A heap buffer overflow vulnerability exists in the stb TrueType library created by nothings. Exploitation of this vulnerability can occur when handling malformed font data and may lead to both Denial of Service (DoS) and Information Disclosure.

Description

The nothings stb repository, versions 1.26 and earlier, contains a collection of single-file public domain and MIT-licensed libraries for C/C++ projects.

CVE-2026-18497 A heap buffer overflow vulnerability exists in the stbtt_GetGlyphShape() function within the stb_truetype.h library when handling malformed TrueType Font (TTF) data. The issue occurs during glyph contour parsing. The function iterates based on the number of contour endpoints specified in endPtsOfContours, but does not validate that the points pointer remains within the bounds of the glyph data buffer. As a result, operations such as flags = *points++; may read memory beyond the allocated region.

An attacker can exploit this vulnerability by crafting a TTF file that specifies an excessively large endPtsOfContours value while providing truncated or minimal glyph data. When an application utilizing stb_truetype.h attempts to load, bake, or render this malformed font via stbtt_GetGlyphShape(), the parser will continue iterating past the end of the glyph data buffer, triggering the out-of-bounds heap read.

Impact

Exploitation of this vulnerability can lead to application crashes due to invalid reads of unmapped memory addresses, resulting in denial of service (DoS). In some cases, an attacker may also be able to read data from adjacent heap memory.

Solution

Unfortunately, we were unable to reach the stb maintainers to coordinate this vulnerability. Users are advised to monitor the project's GitHub repository for updates and install the latest version of this library once a fix has been released. At the time of this writing, the maintainer of this repository had the following message posted on the project's README page: "This project discusses security-relevant bugs in public in Github Issues and Pull Requests, and it may take significant time for security fixes to be implemented or merged. If this poses an unreasonable risk to your project, do not use stb libraries."

Acknowledgements

Thank you to Yanzhao Shen for reporting this vulnerability. This document was written by Bob Kemerer.

Overview

A cross-site scripting (XSS) vulnerability in Alinto SOGo v5.12.7 allows attackers to achieve remote code execution by embedding malicious SVG (Scalable Vector Graphics) objects in ICS (iCalendar) invitations. The vulnerability has been actively exploited in the wild, as confirmed by VirusTotal sightings.

Description

Alinto SOGo is an open-source webmail and groupware platform for email, calendars, contacts, and shared scheduling. It is primarily used by organizations seeking a self-hosted interface solution for existing mail infrastructure.

CVE-2026-8496
The vulnerability exists in SOGo’s handling of ICS files, where the DESCRIPTION field is rendered without proper sanitization or Content Security Policy (CSP) enforcement. When a calendar invite contains an SVG payload, such as <animate onrepeat='...'>, with JavaScript event handlers, the browser executes the script in the context of the SOGo webmail interface. This occurs during normal calendar view rendering (e.g., when a user opens or previews the calendar tab), even without explicit interaction.

Impact

Once an attacker delivers a malicious ICS file via email, any user who views the calendar will execute the embedded XSS payload, granting the attacker full read access to the victim's mailbox. This enables:
Credential theft through forced logout/login phishing
Password manager autofill hijacking
Full exfiltration of email messages, folder contents, and metadata
Extraction of contact lists and calendar data

Solution

Users are recommended to upgrade to SOGo v5.12.8 or newer. v5.12.8 addresses this issue via sanitizing ICS DESCRIPTION content and stricter handling of embedded SVG and HTML.

Acknowledgements

Thank you to Greg Lesnewich for reporting this issue. This AI-assisted vulnerability note was prepared by Alexander Curtis.

Az elmúlt napokban több kifinomult kibertámadást kíséreltek meg a Wall Street vezető pénzügyi szolgáltatói, illetve vagyonkezelői ellen. Egyes források szerint a célpontok között  a világ legnagyobb hedge fundjai, valamint több magántőke-társaság is szerepelt. A P72 Asset Management a befektetőknek elmondta, hogy hackertámadás érte őket, de ügyféladatok nem érintettek a támadásban. A kiberbűnözők próbálkozásai telefonhívásokban merültek […]

Az Anthropic egyik AI ügynöke hamis online személyazonosságok segítségével juttatott rosszindulatú kódot egy valódi szoftver projektbe, majd phishing e-maileket küldött fejlesztőknek egy brit kormányzati értékelés során anélkül, hogy erre emberi utasítást kapott volna. Az AISI kutatása során megfigyelte, hogy az ügynök nem csak technikai módszereket alkalmazott: több hamis személyazonosságot használva támogató kommenteket fűzött a saját […]

A DarkSword egy iPhone-ok ellen alkalmazható támadóeszköz, melynek terjedését és infrastruktúráját vizsgálta a Censys július végén. A DarkSword egy eredetileg kereskedelmi célokra fejlesztett exploitlánc, amely hat különböző sérülékenység összekapcsolásával képes megtámadni az iOS 18.4 és 18.7 közötti verzióit. Ezt a kiszivárgott eszközt már legalább 7-8, egymástól független támadói csoport használja – az elemzésben bemutatott, kínai […]

Żabka, Lengyelország legnagyobb, több mint 11 000 üzletet üzemeltető franchise alapú kisboltlánca bejelentette, hogy ismeretlen támadók jogosulatlanul hozzáférést szereztek a belső rendszereihez. A cég szerint a betörés egy külső szolgáltató fiókján keresztül történt, amelyet a franchise partnerekkel való kommunikációra használt technikai rendszerekhez rendeltek hozzá. A vállalat állítása szerint amikor a jogosulatlan hozzáférést észlelték, a biztonsági […]