Podle zprávy týmů GTIG a Mandiant začali kybernetičtí útočníci při reálných incidentech aktivně zneužívat open-source agentní penetrační rámce ARTEX, Hexstrike nebo CAIRN k vysoce automatizovaným útokům. Nástroje poháněné velkými jazykovými modely zvládají autonomně provádět laterální pohyb, eskalaci oprávnění i přípravu dat k exfiltraci v řádu sekund až minut. Mezi aktéry využívající ARTEX patří finančně motivované vyděračské skupiny i státem podporovaní špioni napojení na Čínu.
Dříve neznámý malware s názvem NetamLoader zneužívá legitimní softwarové komponenty od společnosti Microsoft ke spouštění škodlivého kódu, obcházení bezpečnostních nástrojů a stahování dalších programů. Podle zprávy se útočníci zaměřují na vládní systémy s Windows v Asii.
Kritické zranitelnosti CVE-2026-88771 a CVE-2026-88772 s hodnocením CVSS 9.5 v produktech Citrix NetScaler ADC a NetScaler Gateway umožňují neautentizovaným vzdáleným útočníkům spuštění libovolného kódu. Obě chyby jsou aktivně zneužívány v reálném provozu a výrobce i bezpečnostní autority uvádějí dostupnost opravných verzí.
Kaspersky popsal pokročilý infekční řetězec a zavaděč NetamLoader, který cílí na upravenou verzi Windows 10 využívanou výhradně vládními institucemi v Asii. Kampaň vykazuje znaky útoku na dodavatelský řetězec a k načtení škodlivých .NET a XAML modulů zneužívá legitimní nástroj Patch My PC spolu s technikou AppDomainManager injection. Útočníci navíc zneužívají deserializační zranitelnost ve třídě BinaryFormatter k obcházení bezpečnostních kontrol včetně AMSI.
Útočníci ze skupiny ShinyHunters aktivně zneužívají zranitelnost CVE-2026-35273 v Oracle PeopleSoft, která umožňuje vzdálené spuštění kódu a původně byla zneužita jako nultodenní. Podle bezpečnostních expertů se aktéři zaměřili na desítky organizací v různých odvětvích a pravidla WAF obcházejí pomocí URL kódování cesty k rozhraní PSEMHUB.
Analytici ze společnosti Kaspersky odhalili kampaň přisuzovanou skupině APT41, která cílila na diplomatické organizace ve Střední Asii pomocí UEFI bootkitu BlackX odvozeného z malwaru BlackLotus. Útočníci po získání administrátorských oprávnění zneužili chybu Baton Drop (CVE-2022-21894) k obejití Secure Bootu, zavedení škodlivého ovladače narušujícího bezpečnostní řešení a nasazení špionážních nástrojů.
Agentury CISA a FBI vydaly varování pro volební činitele a personál kampaní před kybernetickými hrozbami během voleb v USA v roce 2026. Útočníci podle nich využívají phishing a smishing ke krádežím přihlašovacích údajů, citlivých dat o voličích nebo k instalaci malwaru.
Výzkumníci z Unit 42 analyzovali špionážní kampaň využívající umělou inteligenci, která cílí na vládní linuxovou infrastrukturu. Útočníci podle zprávy nasazují vlastní malware, web shelly a pokročilé techniky krádeže přihlašovacích údajů.
Pravidelný přehled od Cisco Talos rozebírá nárůst počtu evidovaných CVE, který přesáhl 70 tisíc, a srovnává jej s pomalejším růstem katalogu aktivně zneužívaných zranitelností KEV. Zdroj dále upozorňuje na špionážní kampaň skupiny UAT-6275 cílící na vládní sektor a kritickou infrastrukturu v SNS a přináší týdenní souhrn bezpečnostních událostí.
Cisco Talos a Recorded Future odhalily špionážní aktivitu skupiny UAT-6275, která cílí na vládní instituce, energetiku a vodní hospodářství v zemích SNS. Útočníci využívají několik infekčních řetězců včetně zneužití zranitelnosti CVE-2025-8088 ve WinRARu či CVE-2025-25257 ve FortiWebu k nasazení reverzních shellů. Výzkumníci díky chybám v zabezpečení infrastruktury útočníků získali přehled o vývoji jejich malwaru a nástrojích.
Cisco Talos odhalil kampaň skupiny UAT-11587 napojené na Čínu, která cílila na vládní, diplomatické a akademické instituce v Asii. K infikování zhruba 350 koncových stanic útočníci využili spear-phishing a nový backdoor Antino napsaný v jazyce Rust, jenž komunikuje s řídicí infrastrukturou prostřednictvím služeb Microsoft 365.
Bezpečnostní tým společnosti Huntress zjistil, že útočník zneužil zranitelnost nahrávání souborů v systému pro správu rekreace. Podle zprávy pronikl do tří městských serverů a odcizil platební údaje.
Podle společnosti Microsoft ruská státní skupina Star Blizzard přešla na rozsáhlejší phishingové kampaně a zavedla novou techniku šíření malwaru označovanou jako RedFlick. Tato technika vyžaduje pouze jedinou interakci uživatele a slouží k nasazení vlastního zadního vrátku CosmicPulse. Kampaně cílily na ukrajinské instituce, nevládní organizace, think tanky i vládní a finanční instituce podporující Ukrajinu.
Tým Microsoft Threat Intelligence analyzoval modulární malware NeedyMantis, který útočníci nasazují po kompromitaci sítě k dlouhodobému udržení přístupu. Škodlivý kód je spojován s aktéry z Číny a cílil na telekomunikace, univerzity, zdravotnické neziskové organizace či vládní dodavatele.
Check Point Research shrnuje bezpečnostní incidenty uplynulého týdne včetně úniku dat japonské Digital Agency či zasažení tankerů kyberútoky. Přehled dále pokrývá AI hrozby jako model Luciferus a techniku BragJack, kritické zranitelnosti u dodavatelů Cisco a Oracle a špionážní kampaně spojované se Severní Koreou a Čínou.
Podle společnosti Volexity nejméně tři čínské kyberšpionážní skupiny zneužívaly řetězec zranitelností v prohlížeči Google Chrome (CVE-2026-85046, CVE-2026-87491) a jádře systému Windows (CVE-2026-85880). Útoky probíhaly prostřednictvím phishingu a podvržených webů k nasazení různého malwaru na cílové stanice.
Podle zjištění bezpečnostních expertů využívá čínská špionážní skupina FamousSparrow nový backdoor SparroWocky. Tento škodlivý kód nasazuje při útocích na vládní organizace v Latinské Americe.
Skupina Google Threat Intelligence Group uvádí, že útočníci přecházejí od pouhého zadávání promptů k autonomním agentním systémům a automatizaci útoků. Zpráva popisuje rychlé kompromitace dodavatelských řetězců otevřeného softwaru, krádeže proprietárních modelů a zneužívání výpočetních kapacit v cloudu, přičemž zmiňuje kampaň finančně motivované skupiny UNC6780 zneužívající repozitáře a kradoucí přihlašovací údaje.
Cisco Talos analyzoval útočné řetězce zneužívající techniku ClickFix a WebDAV k doručení zlodějského malwaru Amatera do systémů včetně ukrajinské vládní organizace. Podle výzkumníků kód vložený přes Cloudflare Worker a BNB Smart Chain zobrazil falešnou ověřovací výzvu, která vedla ke spuštění knihovny z WebDAV a instalaci dalších nástrojů jako ZigCryptoStealer či NetSupport Manager.
Maďarský úřad NBSZ NKI vydal varování před phishingovými e-maily, které zneužívají jméno a identitu maďarské prokuratury a jejích zaměstnanců. Útočníci rozesílají podvodné zprávy tvářící se jako oficiální komunikace s cílem přimět příjemce ke kliknutí na odkaz a stažení ransomwaru.
Podle Check Point Research cílí čínsky mluvící skupina Gambling Goblin od poloviny roku 2025 na brazilské vládní a vzdělávací instituce. Útočníci na kompromitované linuxové servery instalují škodlivé moduly pro Apache, které návštěvníky skrytě přesměrovávají na phishingové stránky propagující online hazard a zneužívají reputaci legitimních domén k manipulaci vyhledávačů.
Microsoft varuje před aktivní kampaní zneužívající podvržené weby známých aplikací k distribuci škodlivých instalátorů. Útoky zasáhly řadu odvětví v Číně a Microsoft je s mírnou jistotou spojuje se skupinou Silver Fox.
Podle Microsoft Threat Intelligence skupina Storm-2945, podskupina ruských aktérů Midnight Blizzard, manipuluje síťový provoz v hotelích a konferenčních centrech přes kompromitované přihlašovací portály Wi-Fi. Útočníci přesměrovávají uživatele na phishingové stránky k odcizení přístupů k Microsoft Entra ID a pomocí falešných aktualizací šíří infostealer a trojan CornFlake. Cílem této operace podpořené umělou inteligencí je špionáž zaměřená na firemní a vládní cestovatele.
Výzkumníci z Check Point Research uvádějí, že umělá inteligence přešla z role pouhého pomocníka do pozice přímého operátora kybernetických útoků. Zpráva poukazuje na zneužívání komerčních modelů při špionáži i běžné kriminalitě, generování rozsáhlého škodlivého kódu a nárůst útoků typu indirect prompt injection.
Výzkumníci Check Point Research odhalili nový modulární C2 framework Cavern využívaný íránskou skupinou Cavern Manticore proti cílům v Izraeli, zejména ve vládním a IT sektoru. Celý nástroj je postaven na platformě .NET, ale využívá tři různé kompilace k výraznému ztížení analýzy a obcházení detekce.
Bezpečnostní tým ESET Research odhalil novou pročínskou APT skupinu pojmenovanou GopherWhisper. Podle výzkumníků se tato skupina zaměřuje na mongolské vládní instituce.
Bezpečnostní experti analyzovali nejnovější kampaň skupiny Pawn Storm zacílenou na ukrajinský obranný dodavatelský řetězec. Podle zjištění útočníci využívali steganografii, zneužívání cloudových služeb a e-mailová zadní vrátka k nasazení nástroje PRISMEX.