Několik verzí produktů TRUMPF obsahuje runtime prostředí Wibu CodeMeter se zranitelnostmi, které mohou útočníkům umožnit například eskalaci oprávnění. Závažnost problému byla klasifikována se skóre CVSS 8.6 a k dispozici je oficiální oprava.
Podle zjištění útočník kompromitoval web správce doplňku Admin Menu Editor Pro pro WordPress a distribuoval škodlivé aktualizace více než 200 zákazníkům. Tyto upravené verze vytvářely skrytý uživatelský účet a kompromitovaly zhruba 1 500 webů.
Společnost Aikido Security porovnala nástroje Dependabot a Renovate z hlediska nastavení, podpory monorepozitářů, platforem a zabezpečení. Článek se rovněž zabývá tím, proč automatické aktualizace často přehlížejí zranitelnosti, které jsou ve skutečnosti zneužitelné.
Útočník zneužil chybu v ověřování SAML SSO platformy Brevo a získal přístup ke 138 klientským účtům, z nichž část využil k rozesílání phishingu na odběratele newsletterů. Mezi zasaženými společnostmi jsou podle zprávy kryptoměnové firmy Trezor, CoinTracking a BitBox, jejichž zákazníci obdrželi podvodné zprávy pod záminkou falešných bezpečnostních hrozeb.
Společnost Trezor odhalila, že phishingové útoky na její zákazníky cílily na 347 000 e-mailových adres. Podle zdroje kliklo na vložený škodlivý odkaz přibližně 2 500 uživatelů.
Podle bezpečnostního oznámení obsahují produkty LabX Standard a LabX Enterprise ve verzích 21.3.22 až 21.4.23 řadu zranitelností v externích komponentách. Výrobce tyto chyby opravil ve verzích LabX Standard v21.4.25 a LabX Enterprise v21.4.25 s tím, že zbývající nedostatky vyřeší v nadcházejících vydáních.
Společnost Trezor varovala své zákazníky před probíhajícími phishingovými útoky. Útočníci k nim využívají data získaná při narušení bezpečnosti externího poskytovatele e-mailových služeb.
Odběratelé newsletterů společností Trezor, CoinTracking a BitBox obdrželi podvodné zprávy odeslané přes poskytovatele e-mailových služeb, kterého všechny tři firmy využívají. K rozeslání došlo po údajném narušení tohoto poskytovatele.
Společnost Veradigm zabývající se technologiemi pro zdravotnictví oznámila únik dat. Podle zdroje došlo k bezpečnostnímu incidentu u jednoho z jejích externích dodavatelů, což vedlo k ohrožení osobních údajů pacientů.
Podle společnosti ActiveState vstoupí požadavky aktu EU o kybernetické odolnosti na hlášení zranitelností v platnost 11. září a poskytnou dodavatelům softwaru pouhých 24 hodin na nahlášení aktivně zneužívaných chyb. Zdroj uvádí, že pro splnění nových povinností bude zásadní mít přesný přehled o dodaném softwaru i o okamžiku zjištění zranitelností.
Bezpečnostní tým Aikido Security odhalil malware XCSSET uvnitř kompromitovaného balíčku pro Flutter v repozitáři pub.dev. Ve své analýze nabízí podrobný rozbor infekčního řetězce, šíření modulů a zlodějského kódu nalezeného uvnitř.
Skupina Google Threat Intelligence Group uvádí, že útočníci přecházejí od pouhého zadávání promptů k autonomním agentním systémům a automatizaci útoků. Zpráva popisuje rychlé kompromitace dodavatelských řetězců otevřeného softwaru, krádeže proprietárních modelů a zneužívání výpočetních kapacit v cloudu, přičemž zmiňuje kampaň finančně motivované skupiny UNC6780 zneužívající repozitáře a kradoucí přihlašovací údaje.
Výrobce kryptoměnových hardwarových peněženek Trezor oznámil, že srpnový únik dat u jeho přepravního a logistického partnera ShipMonk zasáhl dalších 67 000 zákazníků v USA. Celkový dopad incidentu se tak rozšířil na 81 000 klientů.
Podle bezpečnostních výzkumníků se známý škodlivý kód červa Shai-Hulud po 111 dnech neaktivity znovu objevil v registru npm. Škodlivý balíček dokázal obejít tamní malware skenery, které jej měly zachytit.
Útočníci kompromitovali infrastrukturu společnosti Coder na Cloudflare a přidali neautorizované servery registrů. Prostřednictvím nich podle zdroje šířili škodlivé moduly pro Terraform, které obsahovaly kód pro krádež přihlašovacích údajů.
Podle zprávy útočníci distribuovali škodlivé aktualizace pro software pro správu VPS Virtualizor. K útoku využili ovládnutí BGP směrování aktualizační infrastruktury a přesměrování požadavků na vlastní servery.
Podle společnosti Aikido Security zachycují pravidla založená na řetězcích pouze malware, který již byl spatřen. K odhalení útoků na dodavatelský řetězec je podle ní nezbytná behaviorální detekce.
Podle bezpečnostních výzkumníků nedávný incident ukazuje, že útočníci i čtyři roky po útoku na dodavatelský řetězec Kaseya stále úspěšně cílí na zákazníky poskytovatelů spravovaných služeb prostřednictvím softwaru RMM. Text se věnuje rizikům spojeným s těmito nástroji a možnostem zabezpečení.
Podle bezpečnostních výzkumníků získal útočník neoprávněný přístup k infrastruktuře Cloudflare společnosti Coder a přidal do ní vlastní IP adresy obsluhující registr modulů. Tyto servery následně distribuovaly upravené moduly se škodlivým kódem určeným ke krádeži přihlašovacích údajů.
Farmaceutická a zdravotnická technologická společnost McKesson oznámila regulátorům, že je v rané fázi vyšetřování kybernetického incidentu. Podle zdroje problém souvisí s blíže neupřesněnou aplikací třetí strany a způsobuje omezení dostupnosti služeb.
Bezpečnostní výzkumníci zjistili pět kritických zranitelností v populárních WordPressových pluginech a motivech (WPMU DEV Dashboard, Avada, TranslatePress, Pods a GiveWP), které by mohly umožnit útočníkům neoprávnený přístup, převzetí účtu či vzdálené spuštění kódu. Zdroj uvádí, že jsou dostupné oficiální opravy a všechny chyby mají hodnotu CVSS 9,8 nebo 10,0.
Zdroj uvádí, že populární generátor kódu @7nohe/openapi-react-query-codegen obsahoval supply chain červ, který kradl přihlašovací údaje a šířil se na všechny balíčky, které oběť spravuje.
Podle výzkumníků bylo 28. srpna na npm publikováno osm škodlivých verzí balíčku @7nohe/openapi-react-query-codegen, které byly dostupné přibližně tři hodiny. Tyto verze byly infikovány aktualizovanou verzí malwaru miasma.
Podle bezpečnostních výzkumníků byly 20. srpna 2026 z účtu správce droundy na crates.io publikovány škodlivé verze tří balíčků Rust: arrayref@0.3.10, internment@0.8.7 a append-only-vec@0.1.9. Rust Security Response Team se nedomnívá, že by tyto verze zveřejnil sám legitimní správce.
Společnost Aikido Security zveřejnila srovnání podnikových nástrojů pro analýzu softwarového složení (SCA) pro rok 2026. Přehled hodnotí řešení Aikido, Sonatype, Snyk, Endor Labs, Checkmarx, Black Duck a Veracode z pohledu inteligence zranitelností, nápravy a dodržování předpisů.
Společnost Elastic popsala postup sledování direktivy min-release-age v konfiguračních souborech .npmrc na pracovních stanicích vývojářů za pomoci integrace CEL v nástroji Elastic Agent. Tento přístup řeší limity běžného sledování protokolů a umožňuje spolehlivě odhalit smazání bezpečnostní prodlevy před instalací nových balíčků.
Společnost Elastic popsala způsob monitorování konfigurace min-release-age v souborech .npmrc na pracovních stanicích vývojářů. Toto nastavení chrání před útoky na dodavatelský řetězec ignorováním čerstvě vydaných verzí balíčků. Místo běžného sledování protokolů autor použil integraci Common Expression Language v nástroji Elastic Agent, která pravidelně kontroluje obsah konfiguračních souborů a upozorní na případné smazání ochranné lhůty.
Podle Elastic Security Labs kompromitovala nová kampaň Shai-Hulud správce populární knihovny keyv a zneužila ukradené přístupové údaje k infikování více než 400 dalších balíčků v npm. Samočinně se šířící červ CHAINDROP krade přihlašovací údaje k vývojářským a cloudovým službám a k řízení své infrastruktury využívá chytrou smlouvu na Ethereu.
Podle Elastic Security Labs cílila nová kampaň Shai-Hulud na správce populární knihovny keyv a infikovala více než 400 balíčků v registru npm. Samovolně se šířící červ CHAINDROP zneužívá odcizené přihlašovací údaje ke vkládání zadních vrátků do dalších balíčků a krádeži citlivých dat z vývojářských prostředí.
Podle Microsoftu zasáhl rozsáhlý útok na dodavatelský řetězec npm přes 400 balíčků včetně keyv či flat-cache. Útočníci do nich vložili červa Mini Shai-Hulud, který krade přihlašovací údaje a sám se dále šíří přes kompromitované publikátorské tokeny.
Společnost Aikido Security zveřejnila srovnání předních bezpečnostních nástrojů pro LLM a aplikace s umělou inteligencí. Přehled porovnává řešení od společností Aikido, Snyk, Semgrep, Endor Labs a Wiz v oblastech zdrojového kódu, dodavatelského řetězce a běhového prostředí.
Tým Elastic Security Labs odhalil novou kampaň spojenou se severokorejskou skupinou Contagious Interview, která cílila na vývojáře falešnými nabídkami práce a testovacími úkoly. Podle zprávy tyto projekty ukrývaly škodlivý kód pomocí steganografie v souborech SVG, přičemž po spuštění instalovaly malware OTTERCOOKIE sloužící ke krádeži přihlašovacích údajů, peněženek a souborů i ke vzdálenému přístupu.
Společnost představila Aikido Intel, real-time feed určený k odhalování malwaru a nezveřejněných zranitelností v open-source ekosystémech. Podle poskytovatele dokáže systém hrozby zachytit často do osmi minut od jejich vydání.
Zdroj vysvětluje fungování firewallu závislostí, který blokuje škodlivé open-source balíčky ještě před instalací. Článek zároveň představuje řešení Aikido Safe Chain pro ochranu před útoky na dodavatelský řetězec.
Společnost Aikido oznámila akvizici firmy Root s cílem posílit zabezpečení softwarového dodavatelského řetězce a opravovat open-source zranitelnosti bez nutnosti upgradu. Kritické opravy budou bezplatně poskytovány zpět komunitě.
Podle společnosti Aikido její datový kanál o malwaru nyní ve výchozím stavu blokuje škodlivé verze balíčků v nástroji Composer. Text shrnuje, jak repozitář Packagist předchází celým třídám útoků na dodavatelský řetězec.
Společnost Aikido navázala partnerství se službou Drydock s cílem umožnit správcům kontrolu balíčků před jejich publikací do registrů npm a PyPI. Podle oznámení má toto řešení odhalit malware a zobrazit přesný obsah vydání ještě před prvním stažením uživateli.
Bezpečnostní společnost Huntress oznámila, že byla jedním z mnoha dodavatelů zasažených nedávným incidentem ve společnosti Klue, při kterém došlo k dopadu na data v Salesforce. Huntress provedla vlastní šetření incidentu s cílem zjistit, k čemu přesně došlo.
Vydavatel nabízí srovnání svého nástroje a čtyř dalších alternativ k řešení Socket. Zaměřuje se na bezpečnost dodavatelského řetězce, analýzu dosažitelnosti či licencování.
Podle CSIRT Itálie byla zaznamenána rozsáhlá kampaň Mini Shai-Hulud cílící na dodavatelský řetězec v ekosystému npm. Útočníci využívají malware typu červ k infiltraci do vývojových prostředí a CI/CD pipeline, odkud kradou citlivé přihlašovací údaje a automatizovaně šíří škodlivé verze legitimních balíčků.
Výzkumníci společnosti ESET odhalili probíhající útok APT skupiny ScarCruft, který cílí na oblast Jan-pien pomocí her pro Windows a Android obsahujících zadní vrátka. Podle zprávy jde o útok vedený přes dodavatelský řetězec kompromitováním herní platformy.
Bezpečnostní výzkumníci analyzovali dříve nezdokumentovaný linuxový trojan Quasar Linux (QLNX) s nízkou mírou detekce. Tento plně vybavený malware podle nich obsahuje rootkit, zadní vrátka do PAM i funkce pro sběr přihlašovacích údajů a umožňuje nenápadný přístup, perzistenci a potenciální útoky na dodavatelský řetězec.
Společnost Elastic vydala open-source nástroj cicd-abuse-detector pro detekci podezřelých změn v CI/CD pipelinech na platformách GitHub Actions, GitLab CI a Azure DevOps. Nástroj kombinuje regulární výrazy a analýzu pomocí LLM k odhalení technik útoků na dodavatelský řetězec a krádeží přístupových údajů.
Společnost Aikido Security představila produkt Device Protection, který reaguje na útoky na dodavatelský řetězec cílící na zařízení vývojářů. Nástroj monitoruje instalace v rámci systémů npm, PyPI, rozšíření pro VS Code, doplňků prohlížečů a AI nástrojů.
VDE informuje o bezpečnostním upozornění VDE-2025-107, které se týká vícečetných zranitelností v komponentě od společnosti Qualcomm. Tato komponenta je nedílnou součástí rádiového čipu používaného v několika produktech výrobce Endress+Hauser.
Výzkumník Elasticu popsal, jak pomocí prototypu sledujícího změny v kódu a analyzovaného modelem umělé inteligence odhalil rozsáhlý útok na populární balíček axios. Útočníci kompromitovali účet správce a vydali škodlivé verze 1.14.1 a 0.30.4 obsahující závislost na skrytém balíčku se škodlivým kódem.
Podle Elastic Security Labs došlo ke kompromitaci účtu správce populárního npm balíčku Axios a vydání škodlivých verzí 1.14.1 a 0.30.4. Tyto verze obsahovaly závislost plain-crypto-js, která přes skript 'postinstall' stahovala multiplatformní trojský kůň pro vzdálený přístup určený pro systémy Windows, macOS i Linux.
Elastic Security Labs zveřejnil detekční pravidla a rozbor útoku na dodavatelský řetězec zahrnujícího kompromitované verze balíčku Axios 1.14.1 a 0.30.4. Útočníci podle zprávy zneužili tranzitivní závislost plain-crypto-js@4.2.1 k nasazení multiplatformního RAT na systémech Linux, Windows a macOS.
Útok na dodavatelský řetězec v registru npm zasáhl rozšířenou open-source knihovnu axios. Společnost Huntress podle svých zjištění zaznamenala více než sto zasažených zařízení.
Bezpečnostní experti analyzovali nejnovější kampaň skupiny Pawn Storm zacílenou na ukrajinský obranný dodavatelský řetězec. Podle zjištění útočníci využívali steganografii, zneužívání cloudových služeb a e-mailová zadní vrátka k nasazení nástroje PRISMEX.
Podle bezpečnostních výzkumníků zasáhl ekosystém WordPress útok na dodavatelský řetězec v rámci kampaně cílící na BuddyBoss. Útočník kompromitoval distribuční kanál pluginů a témat BuddyBoss a využil jej k infikování stovek navazujících webových stránek.