Tým Kaspersky identifikoval škodlivou kampaň cílící na vzdělávací sektor v Africe a Latinské Americe, která k orchestraci útoků využívala AI. Útočníci nasadili open-source framework CyberStrikeAI, v němž LLM na C2 serveru autonomně plánovala technické kroky a generovala příkazy pro implantát na napadených strojích. Podle výzkumníků jde o jeden z prvních veřejně popsaných případů zapojení jazykových modelů do post-exploitační fáze reálných útoků.
Kritické zranitelnosti CVE-2026-88771 a CVE-2026-88772 s hodnocením CVSS 9.5 v produktech Citrix NetScaler ADC a NetScaler Gateway umožňují neautentizovaným vzdáleným útočníkům spuštění libovolného kódu. Obě chyby jsou aktivně zneužívány v reálném provozu a výrobce i bezpečnostní autority uvádějí dostupnost opravných verzí.
Útočníci ze skupiny ShinyHunters aktivně zneužívají zranitelnost CVE-2026-35273 v Oracle PeopleSoft, která umožňuje vzdálené spuštění kódu a původně byla zneužita jako nultodenní. Podle bezpečnostních expertů se aktéři zaměřili na desítky organizací v různých odvětvích a pravidla WAF obcházejí pomocí URL kódování cesty k rozhraní PSEMHUB.
Podle analýzy společností Mandiant a GTIG kompromitovala skupina UNC7017 aktualizační infrastrukturu společnosti AOMEI Technology. Útočníci opakovaně měnili konfigurační soubory pouze na pět až deset minut, čímž obešli běžnou detekci a systémům stahujícím aktualizace podstrčili downloader CROSSROAD a backdoor SHINYROAD.
Americká FBI podle zprávy zabavila sedm domén využívaných čínskou státem sponzorovanou skupinou Flax Typhoon. Skupina tyto domény používala k provozu útočných nástrojů MicroScan a FishHub, které sloužily k průnikům do systémů kritické infrastruktury a dalších organizací po celém světě.
Cisco Talos odhalil spear-phishingovou kampaň aktéra UAT-11985 mířící na výzkumné instituce na Tchaj-wanu. Útočník využíval AI k tvorbě personalizovaných pozvánek na akce i upravené plakáty s QR kódy (quishing). Kampaň nasadila pokročilý AitM phishing napodobující přihlášení ke službám Google přes HTTP a WebSocket pro zachytávání přihlašovacích údajů a MFA výzev. Podle jazykových stop a analýzy rozhraní vzešel phishingový kit pravděpodobně z prostředí zjednodušené čínštiny.
Cisco Talos odhalil kampaň skupiny UAT-11587 napojené na Čínu, která cílila na vládní, diplomatické a akademické instituce v Asii. K infikování zhruba 350 koncových stanic útočníci využili spear-phishing a nový backdoor Antino napsaný v jazyce Rust, jenž komunikuje s řídicí infrastrukturou prostřednictvím služeb Microsoft 365.
Společnost Microsoft zveřejnila podrobnou analýzu phishingové platformy EvilTokens vyvíjené aktérem Storm-2992, která zneužívá autentizační mechanismus device code k obcházení vícefaktorového ověření. Nástroj s podporou umělé inteligence kompromitoval přes 12 000 schránek ve více než 10 000 organizacích, přičemž Microsoft spolu s partnery provedl koordinovaný zásah proti provozní infrastruktuře služby.
Podle Check Point Research cílí čínsky mluvící skupina Gambling Goblin od poloviny roku 2025 na brazilské vládní a vzdělávací instituce. Útočníci na kompromitované linuxové servery instalují škodlivé moduly pro Apache, které návštěvníky skrytě přesměrovávají na phishingové stránky propagující online hazard a zneužívají reputaci legitimních domén k manipulaci vyhledávačů.
Microsoft varuje před aktivní kampaní zneužívající podvržené weby známých aplikací k distribuci škodlivých instalátorů. Útoky zasáhly řadu odvětví v Číně a Microsoft je s mírnou jistotou spojuje se skupinou Silver Fox.