Google spolu s partnery vyřadil z provozu zadní vrátka XCPE, která zapojila přes 1,3 milionu set-top boxů s Androidem do botnetu. Škodlivý kód podle zjištění úmyslně předinstaloval výrobce zařízení Videostrong Technology a přístup prodával kyberzločincům k reklamním podvodům a provozu proxy sítí. Google s výrobcem ukončil spolupráci, zakázal mu certifikaci zařízení a právní cestou převzal kontrolní domény.
Podle společnosti Microsoft nabízela platforma Cursor na svém tržišti podvrženou verzi rozšíření Claude Code s vloženým škodlivým zavaděčem. Útočníci se přes něj pokoušeli sbírat informace o hostiteli, vložit vlastní SSH klíč a vytvořit reverzní SSH tunel pro trvalý vzdálený přístup.
Kritická zranitelnost typu out-of-bounds write v dekodéru kompresní knihovny Google Brotli (CVE-2026-111497, CVSS až 9,8) umožňuje neautentizovanému vzdálenému útočníkovi spustit kód pomocí upravených dat. Chyba zasahuje širokou škálu technologií včetně Node.js, .NET či Pythonu, jsou dostupné veřejné exploity a CISA ji zařadila na seznam aktivně zneužívaných.
Certifikační autorita eMudhra kvůli chybě při generování vytvořila osm mezilehlých certifikátů s triviálně odvoditelnými privátními klíči, což útočníkům umožňuje vydávat podvržené certifikáty a napodobovat servery či služby. Certifikáty již zablokovaly společnosti Google, Mozilla, Apple i Microsoft a jazyk Go vydal opravy 1.27.3 a 1.26.10 pod označením CVE-2026-111943.
Kaspersky popsal pokročilý infekční řetězec a zavaděč NetamLoader, který cílí na upravenou verzi Windows 10 využívanou výhradně vládními institucemi v Asii. Kampaň vykazuje znaky útoku na dodavatelský řetězec a k načtení škodlivých .NET a XAML modulů zneužívá legitimní nástroj Patch My PC spolu s technikou AppDomainManager injection. Útočníci navíc zneužívají deserializační zranitelnost ve třídě BinaryFormatter k obcházení bezpečnostních kontrol včetně AMSI.
Opuštěný aktualizační mechanismus aplikace Time4Popcorn stahoval aktualizace přes nešifrovaný protokol HTTP a bez ověření digitálních podpisů, což umožňovalo vzdálené spuštění kódu (CVE-2026-30612). Výzkumníci ze společnosti Eye Security zaregistrovali opuštěnou aktualizační doménu a přes tento mechanismus doručili opravu, která zranitelný aktualizátor na milionech zařízení se systémy Windows a macOS vzdáleně deaktivovala.
Výzkumníci podle zprávy objevili ve složce Stažené soubory podvržený instrukční soubor AGENTS.md. Ten přiměl AI asistenta pro kódování k instalaci škodlivého balíčku z registru npm.
Microsoft zveřejnil analýzu kompromitované verze 1.107.0 balíčku LiteLLM šířené přes PyPI a oficiální kontejnery. Škodlivý kód zneužíval spouštěcí mechanismy Pythonu a k aktivaci stačilo pouhé spuštění interpretu v zasaženém prostředí. Cílem útoku byla krádež přihlašovacích údajů k vývojářským nástrojům, cloudovým službám a systémům zasažených organizací.
Podle společnosti Microsoft využila čínská státní skupina Storm-0940 agentní penetrační framework ARTEX k automatizaci útoků na stovky organizací. Nástroj útočníkům umožnil radikálně zrychlit kompromitaci dodavatelského řetězce u ConnectWise a získat privilegovaný přístup ke cloudové infrastruktuře zákazníků často za méně než tři hodiny.
Kaspersky analyzuje bezpečnostní rizika v moderních distribučních centrech a ukazuje zranitelná místa v jednotlivých fázích vyřizování objednávek. Zpráva popisuje, jak propojení IT, OT a řídicích systémů WMS či PLC otevírá prostor pro útoky schopné narušit logistiku i způsobit fyzické škody.
Podle analýzy společností Mandiant a GTIG kompromitovala skupina UNC7017 aktualizační infrastrukturu společnosti AOMEI Technology. Útočníci opakovaně měnili konfigurační soubory pouze na pět až deset minut, čímž obešli běžnou detekci a systémům stahujícím aktualizace podstrčili downloader CROSSROAD a backdoor SHINYROAD.
Tým Unit 42 analyzoval kybernetický útok zacílený na IT infrastrukturu evropské banky. Zpráva podle něj přináší konkrétní obranné strategie, které mají organizacím pomoci podobné hrozby detekovat a odrazit.
Elastic Security Labs odhalily kampaň vydávající se za Web3 akcelerátor Apex, která cílila na kryptoměnové startupy nabídkou bezplatných AI kreditů a auditních nástrojů. Podle výzkumníků skupina šířila škodlivé balíčky @apexacc/cli a @apexacc/audit, jež do systémů Windows a macOS nasazovaly zlodějský malware a backdoory.
Společnost Tenable představila proces Exchange Inspector, který slouží k ověřování open-source AI agentů a doplňků před jejich zařazením do katalogu CyberAgents Exchange. Kontrola kombinuje automatické skenování zranitelností, posouzení kódu a modelování hrozeb pomocí kybernetických modelů OpenAI GPT a následné manuální ověření chování výzkumníky v izolovaném prostředí.
Bezpečnostní tým Unit 42 analyzuje, jak útočníci využívají infrastrukturu Web3 a útoky na open-source dodavatelský řetězec k proniknutí do podnikových cloudových prostředí.
Tým Microsoft DART popsal případ, kdy útočník Storm-3068 zneužil samoobslužný reset hesla a pronikl do prostředí Azure DevOps. Místo malwaru upravil vývojové pipeliny pro sběr přístupových údajů ke Kubernetes a získal přístup do cloudové infrastruktury organizace.
Podle analýzy společnosti Qualys zneužívají útočníci škodlivé balíčky ke krádeži cloudových přihlašovacích údajů přímo během instalace na stanicích vývojářů a v CI/CD pipeline. Kompromitace nástrojů a závislostí tak slouží jako vstupní brána do cloudových prostředí a k následnému zcizení dat.
Bezpečnostní experti objevili dosud nepopsaný trojský kůň Kothamine šířený přes škodlivé npm balíčky. Škodlivý kód dává útočníkům plnou kontrolu nad napadeným systémem Windows a v novějších verzích využívá open-source nástroj tailcat k šifrované C2 komunikaci bez tradičních domén.
Podle zprávy dochází k úmyslnému zveřejňování soukromých e-mailových adres projektů na platformě GitLab v souborech README, průvodcích pro přispěvatele a stránkách podpory. Tyto adresy, které původně slouží k zakládání požadavků a úkolů, mohou útočníci zneužít k nahrání kódu.
Bezpečnostní výzkumníci objevili nový červ v jazyce Go označovaný jako 'supplychain.local'. Škodlivý kód byl nalezen v npm pluginu projektu MemTensor ve verzích 0.1.21 a 0.1.23 a také v balíčku MemoryOS pro PyPI ve verzi 2.0.34.
Bezpečnostní společnost Aikido odhalila malware v jazyce Go propojený s kampaní Graphalgo v providerech pro Terraform a modulech Go. Podle zjištění škodlivý kód využívá cílené spouštěče, Slack a řídicí servery běžící na blockchainu.
Výzkumníci ze SentinelOne odhalili napadení IT společnosti pomocí macOS zadních strátek FLATROOF a ROOFDECK, které využívá severokorejská skupina TraderTraitor. Útočníci cílili na uchazeče o zaměstnání pomocí sociálního inženýrství a podvržených repozitářů na GitHubu, kde zmanipulované soubory projektu Terraform stahovaly škodlivé moduly.
Podle zjištění útočník kompromitoval web správce doplňku Admin Menu Editor Pro pro WordPress a distribuoval škodlivé aktualizace více než 200 zákazníkům. Tyto upravené verze vytvářely skrytý uživatelský účet a kompromitovaly zhruba 1 500 webů.
Společnost Aikido Security porovnala nástroje Dependabot a Renovate z hlediska nastavení, podpory monorepozitářů, platforem a zabezpečení. Článek se rovněž zabývá tím, proč automatické aktualizace často přehlížejí zranitelnosti, které jsou ve skutečnosti zneužitelné.
Bezpečnostní tým Aikido Security odhalil malware XCSSET uvnitř kompromitovaného balíčku pro Flutter v repozitáři pub.dev. Ve své analýze nabízí podrobný rozbor infekčního řetězce, šíření modulů a zlodějského kódu nalezeného uvnitř.
Skupina Google Threat Intelligence Group uvádí, že útočníci přecházejí od pouhého zadávání promptů k autonomním agentním systémům a automatizaci útoků. Zpráva popisuje rychlé kompromitace dodavatelských řetězců otevřeného softwaru, krádeže proprietárních modelů a zneužívání výpočetních kapacit v cloudu, přičemž zmiňuje kampaň finančně motivované skupiny UNC6780 zneužívající repozitáře a kradoucí přihlašovací údaje.
Podle bezpečnostních výzkumníků se známý škodlivý kód červa Shai-Hulud po 111 dnech neaktivity znovu objevil v registru npm. Škodlivý balíček dokázal obejít tamní malware skenery, které jej měly zachytit.
Podle bezpečnostních výzkumníků nedávný incident ukazuje, že útočníci i čtyři roky po útoku na dodavatelský řetězec Kaseya stále úspěšně cílí na zákazníky poskytovatelů spravovaných služeb prostřednictvím softwaru RMM. Text se věnuje rizikům spojeným s těmito nástroji a možnostem zabezpečení.
Podle bezpečnostních výzkumníků získal útočník neoprávněný přístup k infrastruktuře Cloudflare společnosti Coder a přidal do ní vlastní IP adresy obsluhující registr modulů. Tyto servery následně distribuovaly upravené moduly se škodlivým kódem určeným ke krádeži přihlašovacích údajů.
Podle výzkumníků bylo 28. srpna na npm publikováno osm škodlivých verzí balíčku @7nohe/openapi-react-query-codegen, které byly dostupné přibližně tři hodiny. Tyto verze byly infikovány aktualizovanou verzí malwaru miasma.
Společnost Elastic popsala způsob monitorování konfigurace min-release-age v souborech .npmrc na pracovních stanicích vývojářů. Toto nastavení chrání před útoky na dodavatelský řetězec ignorováním čerstvě vydaných verzí balíčků. Místo běžného sledování protokolů autor použil integraci Common Expression Language v nástroji Elastic Agent, která pravidelně kontroluje obsah konfiguračních souborů a upozorní na případné smazání ochranné lhůty.
Podle Elastic Security Labs kompromitovala nová kampaň Shai-Hulud správce populární knihovny keyv a zneužila ukradené přístupové údaje k infikování více než 400 dalších balíčků v npm. Samočinně se šířící červ CHAINDROP krade přihlašovací údaje k vývojářským a cloudovým službám a k řízení své infrastruktury využívá chytrou smlouvu na Ethereu.
Podle Elastic Security Labs cílila nová kampaň Shai-Hulud na správce populární knihovny keyv a infikovala více než 400 balíčků v registru npm. Samovolně se šířící červ CHAINDROP zneužívá odcizené přihlašovací údaje ke vkládání zadních vrátků do dalších balíčků a krádeži citlivých dat z vývojářských prostředí.
Podle Microsoftu zasáhl rozsáhlý útok na dodavatelský řetězec npm přes 400 balíčků včetně keyv či flat-cache. Útočníci do nich vložili červa Mini Shai-Hulud, který krade přihlašovací údaje a sám se dále šíří přes kompromitované publikátorské tokeny.
Tým Elastic Security Labs odhalil novou kampaň spojenou se severokorejskou skupinou Contagious Interview, která cílila na vývojáře falešnými nabídkami práce a testovacími úkoly. Podle zprávy tyto projekty ukrývaly škodlivý kód pomocí steganografie v souborech SVG, přičemž po spuštění instalovaly malware OTTERCOOKIE sloužící ke krádeži přihlašovacích údajů, peněženek a souborů i ke vzdálenému přístupu.
Bezpečnostní společnost Huntress oznámila, že byla jedním z mnoha dodavatelů zasažených nedávným incidentem ve společnosti Klue, při kterém došlo k dopadu na data v Salesforce. Huntress provedla vlastní šetření incidentu s cílem zjistit, k čemu přesně došlo.
Výzkumníci společnosti ESET odhalili probíhající útok APT skupiny ScarCruft, který cílí na oblast Jan-pien pomocí her pro Windows a Android obsahujících zadní vrátka. Podle zprávy jde o útok vedený přes dodavatelský řetězec kompromitováním herní platformy.
Bezpečnostní výzkumníci analyzovali dříve nezdokumentovaný linuxový trojan Quasar Linux (QLNX) s nízkou mírou detekce. Tento plně vybavený malware podle nich obsahuje rootkit, zadní vrátka do PAM i funkce pro sběr přihlašovacích údajů a umožňuje nenápadný přístup, perzistenci a potenciální útoky na dodavatelský řetězec.
Společnost Elastic vydala open-source nástroj cicd-abuse-detector pro detekci podezřelých změn v CI/CD pipelinech na platformách GitHub Actions, GitLab CI a Azure DevOps. Nástroj kombinuje regulární výrazy a analýzu pomocí LLM k odhalení technik útoků na dodavatelský řetězec a krádeží přístupových údajů.
Výzkumník Elasticu popsal, jak pomocí prototypu sledujícího změny v kódu a analyzovaného modelem umělé inteligence odhalil rozsáhlý útok na populární balíček axios. Útočníci kompromitovali účet správce a vydali škodlivé verze 1.14.1 a 0.30.4 obsahující závislost na skrytém balíčku se škodlivým kódem.
Podle Elastic Security Labs došlo ke kompromitaci účtu správce populárního npm balíčku Axios a vydání škodlivých verzí 1.14.1 a 0.30.4. Tyto verze obsahovaly závislost plain-crypto-js, která přes skript 'postinstall' stahovala multiplatformní trojský kůň pro vzdálený přístup určený pro systémy Windows, macOS i Linux.
Elastic Security Labs zveřejnil detekční pravidla a rozbor útoku na dodavatelský řetězec zahrnujícího kompromitované verze balíčku Axios 1.14.1 a 0.30.4. Útočníci podle zprávy zneužili tranzitivní závislost plain-crypto-js@4.2.1 k nasazení multiplatformního RAT na systémech Linux, Windows a macOS.
Útok na dodavatelský řetězec v registru npm zasáhl rozšířenou open-source knihovnu axios. Společnost Huntress podle svých zjištění zaznamenala více než sto zasažených zařízení.
Bezpečnostní experti analyzovali nejnovější kampaň skupiny Pawn Storm zacílenou na ukrajinský obranný dodavatelský řetězec. Podle zjištění útočníci využívali steganografii, zneužívání cloudových služeb a e-mailová zadní vrátka k nasazení nástroje PRISMEX.
Podle bezpečnostních výzkumníků zasáhl ekosystém WordPress útok na dodavatelský řetězec v rámci kampaně cílící na BuddyBoss. Útočník kompromitoval distribuční kanál pluginů a témat BuddyBoss a využil jej k infikování stovek navazujících webových stránek.