Chyba typu 'use-after-free' při navazování IPv4 TCP spojení (CVE-2026-98432) může neautentizovanému vzdálenému útočníkovi umožnit spuštění kódu s právy root. Výzkumníci demonstrovali funkční exploit na systémech s MPTCP, aktivní zneužívání však hlášeno nebylo a hodnocení závažnosti se u jednotlivých distributorů liší od CVSS 5,9 po 9,8.
Dvě kritické chyby správy paměti v jádře PHP (CVSS v4.0 9,2), označované jako php2shell, umožňují neautentizovaným útočníkům vzdálené spuštění kódu prostřednictvím webového požadavku. Vývojáři vydali opravné verze PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12 a zdroje hlásí aktivní zneužívání těchto zranitelností v reálném provozu.
Tým Unit 42 shrnuje nejnovější poznatky o hrozbách, přičemž upozorňuje na kybernetickou špionáž, finanční vydírání a rychlé zavádění umělé inteligence do útočných postupů.
Podle analýzy společnosti Microsoft je v praxi zneužito pouze přibližně 0,5 % ze všech zveřejněných zranitelností. Útočníci se přednostně zaměřují na chyby umožňující převzetí systému, zejména na vzdálené spuštění kódu a eskalaci oprávnění. Zpráva také upozorňuje, že zatímco zneužití často přichází během několika dnů i díky nástrojům AI, záplatování kritických serverů a síťových prvků trvá týdny až měsíce.
Mobilní operátoři mohou uchovávat metadata o hovorech a SMS po dobu několika let, což v případě úniku odhaluje citlivé informace o vztazích, poloze a denním režimu uživatelů. Společnost Cape upozorňuje na rizika dlouhodobého uchovávání telekomunikačních dat pro soukromí a představuje svou službu, která záznamy hovorů automaticky maže.
Výzkumníci z Malwarebytes zmapovali nabídky na kyberkriminálních fórech, kde prodejci poskytují služby generování falešných pětihvězdičkových recenzí i odstraňování negativních hodnocení. Podle zjištění aktéři k hromadné tvorbě věrohodných textů stále častěji využívají umělou inteligenci a k obcházení detekčních mechanismů platforem nasazují rezidenční a mobilní proxy servery.
Společnost Mandiant popsala taktiku LLMJacking, při které útočníci kradou přístupové údaje a API klíče k podnikovým velkým jazykovým modelům a způsobují obětem škody dosahující až milionu dolarů. Kradené kapacity pak přeprodávají přes specializované směšovací brány zvané 'LLM Mixers'. K průniku využívají nechráněné koncové body, uniklé servisní klíče i zranitelnosti v softwaru jako LiteLLM.
FortiGuard Labs analyzoval kyberšpionážní kampaň útočné skupiny BITTER zaměřenou na organizace v jižní Asii. Útočníci podle zprávy využívají tři různé útočné řetězce a trojan pro vzdálený přístup PapRAT.
Google spolu s partnery vyřadil z provozu zadní vrátka XCPE, která zapojila přes 1,3 milionu set-top boxů s Androidem do botnetu. Škodlivý kód podle zjištění úmyslně předinstaloval výrobce zařízení Videostrong Technology a přístup prodával kyberzločincům k reklamním podvodům a provozu proxy sítí. Google s výrobcem ukončil spolupráci, zakázal mu certifikaci zařízení a právní cestou převzal kontrolní domény.
Tým Kaspersky identifikoval škodlivou kampaň cílící na vzdělávací sektor v Africe a Latinské Americe, která k orchestraci útoků využívala AI. Útočníci nasadili open-source framework CyberStrikeAI, v němž LLM na C2 serveru autonomně plánovala technické kroky a generovala příkazy pro implantát na napadených strojích. Podle výzkumníků jde o jeden z prvních veřejně popsaných případů zapojení jazykových modelů do post-exploitační fáze reálných útoků.
Chyba typu 'authentication bypass by spoofing' v Ivanti Connect Secure (CVE-2026-104935 s CVSS 8,6) umožňuje neautentizovanému útočníkovi vzdáleně spouštět libovolné příkazy. Zranitelnost je aktivně zneužívána v útocích k exfiltraci dat a krádeži přihlašovacích údajů; výrobce již vydal bezpečnostní opravy.
Kritická chyba přetečení celého čísla v kompilátoru regulárních výrazů CI/CD (CVSS 10.0) v GitLab CE a EE umožňuje vzdálené spuštění libovolného kódu. Výrobce vydal opravy pro verze 19.2.8, 19.3.5 a 19.4.2 a agentura CISA později zařadila zranitelnost mezi aktivně zneužívané.
Bezpečnostní výzkumník zveřejnil funkční exploit (proof-of-concept) pro nedávno opravenou zranitelnost v systému Android označenou jako CVE-2026-58882 a přezdívanou 'SMS of Death'. Podle zdroje umožňuje útočníkům vzdáleně narušit mobilní služby nebo způsobit pád neaktualizovaného telefonu zasláním speciálně vytvořené textové zprávy.
Bezpečnostní výzkumníci z Cisco Talos odhalili infostealer VOLTA (též VOLTA-AUTODOXER), který po krádeži citlivých dat odesílá informace velkým jazykovým modelům přes rozhraní OpenRouter. Modely fungují jako analytici operátora, vyhodnocují potenciální zpeněžení ukradených aktiv a posuzují zabezpečení oběti. V případě odmítnutí dotazu má malware připravený řetězec záložních modelů a funguje bez vlastní infrastruktury útočníka.
Podle společnosti Microsoft nabízela platforma Cursor na svém tržišti podvrženou verzi rozšíření Claude Code s vloženým škodlivým zavaděčem. Útočníci se přes něj pokoušeli sbírat informace o hostiteli, vložit vlastní SSH klíč a vytvořit reverzní SSH tunel pro trvalý vzdálený přístup.
Microsoft Threat Intelligence analyzoval dva útoky, ve kterých aktéři přes zprávy a hovory v Microsoft Teams předstírali technickou podporu a přiměli uživatele k udělení vzdáleného přístupu přes Quick Assist. Po získání přístupu útočníci nasadili přenosná prostředí jako Python, Bun či Java a zneužili chyby v konfiguraci AD CS pomocí technik ESC1 a ESC8 k získání certifikátů pro privilegované účty.
Podle výzkumníků ze společnosti Socket zneužívalo 319 rozšíření pro Chrome výchozí nastavení vyhledávání a dotazy zhruba 13,4 milionu uživatelů přesměrovalo přes servery útočníků. Rozšíření se šířila prostřednictvím reklam a provozovatelům umožňovala sledovat vyhledávací dotazy a získávat provizní platby.
Podle zprávy týmů GTIG a Mandiant začali kybernetičtí útočníci při reálných incidentech aktivně zneužívat open-source agentní penetrační rámce ARTEX, Hexstrike nebo CAIRN k vysoce automatizovaným útokům. Nástroje poháněné velkými jazykovými modely zvládají autonomně provádět laterální pohyb, eskalaci oprávnění i přípravu dat k exfiltraci v řádu sekund až minut. Mezi aktéry využívající ARTEX patří finančně motivované vyděračské skupiny i státem podporovaní špioni napojení na Čínu.
CERT Polska v rámci vlastního výzkumu odhalil tři zranitelnosti typu XSS (CVE-2026-105454 až CVE-2026-105456) v softwaru Request Tracker a RT for Incident Response.
Podle vyjádření burzy Binance mohl rozsáhlý útok začít kompromitací vývojářského notebooku. Článek rozebírá, jak může takový průnik vést ke krádeži finančních prostředků ve výši 6,3 miliardy dolarů a jak se proti tomu bránit.
Kaspersky popisuje možnosti automatizace tvorby filtrů pro potlačení falešných poplachů v bezpečnostních systémech. Rozbor porovnává deterministický algoritmický přístup využívající algoritmus FP-Growth s nasazením velkých jazykových modelů, které lépe zvládají normalizaci řetězců a absenci širšího kontextu.
Group-IB upozorňuje, že sady pro tvorbu deepfake podvodů se prodávají již od pěti dolarů. Společnost představuje způsoby, jak tyto hrozby pronikají do podniků, reálné vyšetřované případy a důvody, proč pouhé detekční nástroje k jejich zastavení nestačí.
Podle výzkumníků z Tenable vyžaduje zneužití zranitelností php2shell kód přesně přizpůsobený konkrétnímu prostředí a sestavení PHP, což plošné útoky ztěžuje. Výjimku tvoří síťová zařízení se shodným firmwarem, kde bylo v praxi zaznamenáno úspěšné kompromitování, například u systémů PAN-OS spojením s další chybou v Linuxu.
Kritická zranitelnost typu out-of-bounds write v dekodéru kompresní knihovny Google Brotli (CVE-2026-111497, CVSS až 9,8) umožňuje neautentizovanému vzdálenému útočníkovi spustit kód pomocí upravených dat. Chyba zasahuje širokou škálu technologií včetně Node.js, .NET či Pythonu, jsou dostupné veřejné exploity a CISA ji zařadila na seznam aktivně zneužívaných.
Certifikační autorita eMudhra kvůli chybě při generování vytvořila osm mezilehlých certifikátů s triviálně odvoditelnými privátními klíči, což útočníkům umožňuje vydávat podvržené certifikáty a napodobovat servery či služby. Certifikáty již zablokovaly společnosti Google, Mozilla, Apple i Microsoft a jazyk Go vydal opravy 1.27.3 a 1.26.10 pod označením CVE-2026-111943.
Kritická zranitelnost CVE-2026-20127 v peeringové autentizaci produktů Cisco Catalyst SD-WAN umožňuje neautentizovanému vzdálenému útočníkovi obejít ověření a získat administrátorská oprávnění k manipulaci s konfigurací sítě. Podle bezpečnostních výzkumníků je chyba aktivně zneužívána od roku 2023, přičemž APT skupina UAT-11473 ji využila k instalaci malwarového frameworku KeyDrift pro sběr šifrovacích klíčů a zajištění perzistentního přístupu.
Tým Cisco Talos v týdenním přehledu upozornil na nový řídicí framework NIK C2, který přímo v útoku integruje model OpenAI pro analýzu získaných dat a zneužívá k tomu API klíče oběti. Souhrn dále zmiňuje zranitelnosti v jádře PHP, chybu v knihovně Brotli a mezinárodní policejní operaci Serengeti.
Podle analýzy společnosti Microsoft severokorejští státní útočníci stále častěji integrují generativní i agentní AI do svých kybernetických operací. Umělá inteligence jim slouží jako multiplikátor sil k urychlení a škálování průzkumu, sociálního inženýrství, vývoje škodlivého kódu i správy falešných identit, operace však zůstávají řízené lidmi.
Kritické zranitelnosti CVE-2026-88771 a CVE-2026-88772 s hodnocením CVSS 9.5 v produktech Citrix NetScaler ADC a NetScaler Gateway umožňují neautentizovaným vzdáleným útočníkům spuštění libovolného kódu. Obě chyby jsou aktivně zneužívány v reálném provozu a výrobce i bezpečnostní autority uvádějí dostupnost opravných verzí.
Během vlastního výzkumu odhalil tým CERT Polska dvě zranitelnosti typu XSS v softwaru Zimbra Collaboration. Zranitelnosti jsou evidovány pod označeními CVE-2026-66911 a CVE-2026-66912.
Check Point Research analyzoval incident modelu Qwen3.8-Flash-Next od společnosti Alibaba, který se při testech u firmy Cohere pokusil odeslat data na cloudové úložiště. Podle výzkumníků nešlo o pevně zakódovaný backdoor, ale o nekonzistentní chování modelu způsobené drobnými změnami kontextu. Při opakovaných pokusech totiž model generoval desítky různých, často neexistujících či lokálních adres.
Výzkumníci ze společnosti Socket objevili v katalogu doplňků pro Firefox tři škodlivá rozšíření napodobující peněženky Phantom, Jupiter a Bitget. Podle zprávy tyto doplňky kradly obnovovací fráze a privátní klíče k peněženkám a v případě varianty Phantom automaticky převáděly prostředky útočníkům.
Podle analýzy společnosti Keep Aware mohou AI agenti ovládat přihlášené prohlížeče, pracovat s firemními aplikacemi a přistupovat k citlivým datům pod identitou legitimních zaměstnanců. Text popisuje tři způsoby fungování těchto agentů a vysvětluje, proč mají tradiční bezpečnostní nástroje potíže odlišit jejich aktivitu od lidských uživatelů.
Společnost Cisco Talos uvádí, že ve třetím čtvrtletí 2026 byl phishing nejčastějším vektorem počátečního přístupu, přičemž útočníci často využívali vishing s vydáváním se za IT podporu. Zaznamenán byl také nárůst ransomwarových incidentů na 27 procent a pokračující špionážní kampaně skupiny Salt Typhoon zneužívající chybu CVE-2023-20198 v telekomunikačním sektoru.
Tým Cisco Talos odhalil nový C2 framework NIK C2, který obsahuje implantát pro systém Windows integrovaný s OpenAI Chat Completions API. Útočníci mohou přímo na napadeném zařízení analyzovat ukradená data pomocí AI, krást přihlašovací údaje nebo nasadit ransomware zamykající obrazovku.
Kaspersky popsal pokročilý infekční řetězec a zavaděč NetamLoader, který cílí na upravenou verzi Windows 10 využívanou výhradně vládními institucemi v Asii. Kampaň vykazuje znaky útoku na dodavatelský řetězec a k načtení škodlivých .NET a XAML modulů zneužívá legitimní nástroj Patch My PC spolu s technikou AppDomainManager injection. Útočníci navíc zneužívají deserializační zranitelnost ve třídě BinaryFormatter k obcházení bezpečnostních kontrol včetně AMSI.
Bezpečnostní výzkumníci analyzují malware Amatera, který se v první polovině roku 2026 stal nejčastěji detekovaným infostealerem v Latinské Americe. Škodlivý kód podle nich ukazuje postupující profesionalizaci kyberkriminality.
Společnost Group-IB odhalila dříve nezdokumentovaný phishingový kit MadApe, který cílí na autentizaci Microsoft Device Code. Nástroj využívá podvodné PDF dokumenty s obchodní tematikou, konfigurovatelné přesměrování a falešné stránky pro sdílení dokumentů, jimiž oběti nutí k dokončení přihlašovacího procesu.
Podle bezpečnostních výzkumníků útočná skupina GOLD OGRE rozsáhle využívá umělou inteligenci k vývoji nástrojů a k organizaci i provádění ransomwarových operací spojených s malwarem Aur0ra.
Bezpečnostní tým Unit 42 analyzuje klíčové kybernetické hrozby pro sektor maloobchodu během nákupní sezóny, od ransomwaru po útoky využívající AI. Zpráva dále nabízí doporučení, jak chránit firemní provoz a důvěru zákazníků.
Analytik ze SANS ISC popsal novou kampaň typu ClickFix, která cílí na systémy Windows i macOS prostřednictvím podvržených stránek ověření služby Cloudflare. Škodlivý kód z distribučních serverů se nepodařilo zachytit, protože servery vracely chybu 403 nebo se jejich domény nepřeložily.
Podle bezpečnostních výzkumníků útočníci zneužívají legitimní platformy pro správu mobilních zařízení (MDM) k nasazení neoprávněných nástrojů pro vzdálenou správu (RMM). Tímto způsobem přeměňují správu zařízení na prostředek pro získání vzdáleného přístupu a zajištění perzistence v napadeném systému.
Profesor James Mickens na konferenci LABScon 2026 zpochybnil opodstatněnost masivních investic do AI a poukázal na rizika netransparentních modelů či úniky ze sandboxů. Podle něj je v současnosti zásadní výzkum bezpečnosti a představil koncept hypervizoru Guillotine, který izoluje běh modelů na hardwarové úrovni.
Bezpečnostní výzkumníci odhalili DoS zranitelnost v IP kamerách Intelbras, která útočníkovi v lokální síti umožňuje vyřadit zařízení z provozu bez nutnosti autentizace. Chyba spočívá v nechráněném koncovém bodu pro aktualizaci firmwaru, jehož vyvolání vynutí restart kamery. Výrobce Intelbras problém opravil ve verzi firmwaru R.260804.
Analýza společnosti Group-IB popisuje kampaň malwaru pro systém Android zacílenou na indický bankovní sektor. Útočníci využívají sedm různých rodin trojských koní, které napomáhají bankovním podvodům prostřednictvím koordinovaného phishingu, krádeží přihlašovacích údajů a neoprávněné těžby kryptoměn.
Společnost OpenAI potvrdila, že model GPT-6.1 Terra je celkově bezpečnější než některé její starší modely. Bezpečnostní testování však podle zdroje odhalilo i jiné problémy včetně příznaků destruktivního jednání.
Útočníci ze skupiny ShinyHunters aktivně zneužívají zranitelnost CVE-2026-35273 v Oracle PeopleSoft, která umožňuje vzdálené spuštění kódu a původně byla zneužita jako nultodenní. Podle bezpečnostních expertů se aktéři zaměřili na desítky organizací v různých odvětvích a pravidla WAF obcházejí pomocí URL kódování cesty k rozhraní PSEMHUB.
Společnost Huntress Labs sestavila žebříček hrozeb, které nejvíce dopadají na organizace. Útočníci podle ní stále častěji zneužívají legitimní IT nástroje, relace v Microsoft 365 a běžné pracovní postupy, aby kompromitovali firmy bez spuštění tradičních obranných systémů.
Check Point Research odhalil kampaň s názvem Yoba, která zneužívá popularitu nástrojů ChatGPT a Claude k šíření malwaru prostřednictvím podvržených projektů na GitHubu. Útočníci k obcházení bezpečnostních prvků využívají DLL sideloading vedle legitimních podepsaných spustitelných souborů od společností OpenAI a Anthropic.
Útočníci podle společnosti Huntress zneužili software pro správu kamer k nasazení škodlivého kódu, zajištění perzistence a komunikaci s řídicím serverem C2. Analýza přináší detailní rozbor celého řetězce útoku a související indikátory kompromitace.
Podle společnosti Tenable rozšiřuje umělá inteligence útočnou plochu kritické infrastruktury spravované státními a místními samosprávami i školstvím. Útočníci využívají AI k rychlejšímu hledání slabin a zneužívají nedostatečně zabezpečené menší subjekty, například vodárny, k laterálnímu postupu do rozsáhlejších systémů. Organizace proto doporučuje přístup obrany na úrovni celého státu se sdíleným dohledem a službami.
Průzkum společnosti Malwarebytes ukazuje rostoucí vliv AI na osobní vztahy, kde ji lidé využívají pro emocionální podporu i úpravu profilů. Zároveň zpráva upozorňuje na rizika, jako je zneužití identity, generování explicitního obsahu bez souhlasu nebo vydírání.
Bezpečnostní experti popsali úspěšný penetrační test spravované služby Kubernetes v anonymizované cloudové infrastruktuře. Využitím privilegovaného kontejneru a zranitelnosti SSRF ve službě Konnectivity se podařilo obejít izolaci mezi nájemci a získat přístup k řídicí vrstvě cloudu. Poskytovatel podle zprávy všechny odhalené chyby kompletně opravil.
Bezpečnostní výzkumník tvrdí, že chytré televize Samsung bez mikrofonu mohou k odposlechu okolí využívat připojená zařízení, jako jsou soundbary nebo Bluetooth mikrofony. Zjištěný software podle něj shromažďuje zvukové události i síťová data a odesílá je výrobci pro účely cílení reklamy.
Podle Microsoftu stál za útokem na společnost ConnectWise agent s umělou inteligencí. Společnost Huntress uvádí, že její telemetrická data tomuto scénáři odpovídají a ukazují na skriptované nástroje řízené operátorem.