Hvězdička u CVE znamená, že jsem to číslo vytáhl z širšího textu článku.
Neukazuju u něj proto KEV, EPSS ani CVSS, a to preventivně, protože článek se na něj mohl
jen odkazovat, třeba jako na starší kauzu.
Poskytovatelé řízených služeb (MSP) mají prostřednictvím platforem RMM privilegovaný přístup do prostředí zákazníků, což zvyšuje bezpečnostní rizika. Společnost Acronis podle zprávy uvádí osm kontrolních mechanismů, které by měli poskytovatelé MSP testovat, včetně správy záplat, privilegovaného přístupu, obnovy dat a izolace jednotlivých klientů.
Tým Microsoft DART popsal případ, kdy útočník Storm-3068 zneužil samoobslužný reset hesla a pronikl do prostředí Azure DevOps. Místo malwaru upravil vývojové pipeliny pro sběr přístupových údajů ke Kubernetes a získal přístup do cloudové infrastruktury organizace.
Podle analýzy společnosti Qualys zneužívají útočníci škodlivé balíčky ke krádeži cloudových přihlašovacích údajů přímo během instalace na stanicích vývojářů a v CI/CD pipeline. Kompromitace nástrojů a závislostí tak slouží jako vstupní brána do cloudových prostředí a k následnému zcizení dat.
Podle zprávy správce znovu povolil dvě akce třetích stran pro GitHub Actions, které byly dříve kompromitovány v rámci kampaně Mini Shai-Hulud. Tyto akce zůstaly přístupné déle než týden, přestože stále odkazovaly na škodlivý kód.
Podle zprávy zaplatí společnost Labcorp pokutu 2,3 milionu dolarů a zavede rozsáhlé změny v zabezpečení kvůli selháním v kybernetické bezpečnosti. Opatření zahrnují vytvoření plánu reakce na incidenty u dodavatelů, omezení sdílení dat a zřízení týmu pro řízení rizik a sledování dodržování bezpečnostních pravidel.
Bezpečnostní experti objevili dosud nepopsaný trojský kůň Kothamine šířený přes škodlivé npm balíčky. Škodlivý kód dává útočníkům plnou kontrolu nad napadeným systémem Windows a v novějších verzích využívá open-source nástroj tailcat k šifrované C2 komunikaci bez tradičních domén.
Podle zprávy dochází k úmyslnému zveřejňování soukromých e-mailových adres projektů na platformě GitLab v souborech README, průvodcích pro přispěvatele a stránkách podpory. Tyto adresy, které původně slouží k zakládání požadavků a úkolů, mohou útočníci zneužít k nahrání kódu.
Mandiant zveřejnil doporučení pro zabezpečení dodavatelského řetězce softwaru a CI/CD infrastruktur proti pokročilým útokům. Podle zprávy útočníci cílí na vývojářská prostředí, nástroje s AI a zneužívají manipulaci s GitHub Actions či OIDC tokeny. Dokument předkládá vícevrstvou strategii zahrnující ochranu koncových bodů, správu repozitářů, izolaci v sandboxech a bezpečné zapojení AI asistentů.
Americké agentury FBI a CISA vydaly doporučení pro subjekty kritické infrastruktury ke snížení rizik při zapojení externích integrátorů průmyslových řídicích systémů. Podle dokumentu v březnu a dubnu 2025 zahraniční útočníci kompromitovali americkou integrační firmu a odcizili data o SCADA systémech energetických i dopravních zákazníků.
Bezpečnostní výzkumníci objevili nový červ v jazyce Go označovaný jako 'supplychain.local'. Škodlivý kód byl nalezen v npm pluginu projektu MemTensor ve verzích 0.1.21 a 0.1.23 a také v balíčku MemoryOS pro PyPI ve verzi 2.0.34.
Bezpečnostní společnost Aikido odhalila malware v jazyce Go propojený s kampaní Graphalgo v providerech pro Terraform a modulech Go. Podle zjištění škodlivý kód využívá cílené spouštěče, Slack a řídicí servery běžící na blockchainu.
Bezpečnostní aktualizace řeší vysoce závažnou chybu v open source platformě Conda pro správu prostředí a balíčků Pythonu. Podle italského CSIRT by zneužití pomocí speciálně vytvořených balíčků mohlo útočníkovi umožnit zapisovat či přepisovat soubory na neočekávaných místech.
Platforma pro elektronické obchodování BigCommerce varovala několik obchodníků před narušením bezpečnosti dat. Podle zdroje útočníci kompromitovali přihlašovací údaje k aplikacím třetí strany Ribon a využili je k injektáži škodlivých skriptů do internetových obchodů.
Probíhající kampaň šířící malware v ekosystému npm zneužívá balíček 'indexed-btree' k obcházení obran dodavatelského řetězce. Útočníci škodlivý kód ukrývají do běžného běhového chování balíčku namísto instalačních skriptů.
Výzkumníci ze SentinelOne odhalili napadení IT společnosti pomocí macOS zadních strátek FLATROOF a ROOFDECK, které využívá severokorejská skupina TraderTraitor. Útočníci cílili na uchazeče o zaměstnání pomocí sociálního inženýrství a podvržených repozitářů na GitHubu, kde zmanipulované soubory projektu Terraform stahovaly škodlivé moduly.
Společnost Brevo potvrdila, že útočníci odcizili API klíč ke službě Cloudflare a zneužili jej k vložení škodlivých skriptů ClickFix do jejích webů a JavaScriptových souborů na webech zákazníků. Cílem této kompromitace dodavatelského řetězce bylo šíření malwaru.
Několik verzí produktů TRUMPF obsahuje runtime prostředí Wibu CodeMeter se zranitelnostmi, které mohou útočníkům umožnit například eskalaci oprávnění. Závažnost problému byla klasifikována se skóre CVSS 8.6 a k dispozici je oficiální oprava.
Podle zjištění útočník kompromitoval web správce doplňku Admin Menu Editor Pro pro WordPress a distribuoval škodlivé aktualizace více než 200 zákazníkům. Tyto upravené verze vytvářely skrytý uživatelský účet a kompromitovaly zhruba 1 500 webů.
Společnost Aikido Security porovnala nástroje Dependabot a Renovate z hlediska nastavení, podpory monorepozitářů, platforem a zabezpečení. Článek se rovněž zabývá tím, proč automatické aktualizace často přehlížejí zranitelnosti, které jsou ve skutečnosti zneužitelné.
Útočník zneužil chybu v ověřování SAML SSO platformy Brevo a získal přístup ke 138 klientským účtům, z nichž část využil k rozesílání phishingu na odběratele newsletterů. Mezi zasaženými společnostmi jsou podle zprávy kryptoměnové firmy Trezor, CoinTracking a BitBox, jejichž zákazníci obdrželi podvodné zprávy pod záminkou falešných bezpečnostních hrozeb.
Společnost Trezor odhalila, že phishingové útoky na její zákazníky cílily na 347 000 e-mailových adres. Podle zdroje kliklo na vložený škodlivý odkaz přibližně 2 500 uživatelů.
Podle bezpečnostního oznámení obsahují produkty LabX Standard a LabX Enterprise ve verzích 21.3.22 až 21.4.23 řadu zranitelností v externích komponentách. Výrobce tyto chyby opravil ve verzích LabX Standard v21.4.25 a LabX Enterprise v21.4.25 s tím, že zbývající nedostatky vyřeší v nadcházejících vydáních.
Společnost Trezor varovala své zákazníky před probíhajícími phishingovými útoky. Útočníci k nim využívají data získaná při narušení bezpečnosti externího poskytovatele e-mailových služeb.
Odběratelé newsletterů společností Trezor, CoinTracking a BitBox obdrželi podvodné zprávy odeslané přes poskytovatele e-mailových služeb, kterého všechny tři firmy využívají. K rozeslání došlo po údajném narušení tohoto poskytovatele.
Společnost Veradigm zabývající se technologiemi pro zdravotnictví oznámila únik dat. Podle zdroje došlo k bezpečnostnímu incidentu u jednoho z jejích externích dodavatelů, což vedlo k ohrožení osobních údajů pacientů.
Podle společnosti ActiveState vstoupí požadavky aktu EU o kybernetické odolnosti na hlášení zranitelností v platnost 11. září a poskytnou dodavatelům softwaru pouhých 24 hodin na nahlášení aktivně zneužívaných chyb. Zdroj uvádí, že pro splnění nových povinností bude zásadní mít přesný přehled o dodaném softwaru i o okamžiku zjištění zranitelností.
Bezpečnostní tým Aikido Security odhalil malware XCSSET uvnitř kompromitovaného balíčku pro Flutter v repozitáři pub.dev. Ve své analýze nabízí podrobný rozbor infekčního řetězce, šíření modulů a zlodějského kódu nalezeného uvnitř.
Skupina Google Threat Intelligence Group uvádí, že útočníci přecházejí od pouhého zadávání promptů k autonomním agentním systémům a automatizaci útoků. Zpráva popisuje rychlé kompromitace dodavatelských řetězců otevřeného softwaru, krádeže proprietárních modelů a zneužívání výpočetních kapacit v cloudu, přičemž zmiňuje kampaň finančně motivované skupiny UNC6780 zneužívající repozitáře a kradoucí přihlašovací údaje.
Výrobce kryptoměnových hardwarových peněženek Trezor oznámil, že srpnový únik dat u jeho přepravního a logistického partnera ShipMonk zasáhl dalších 67 000 zákazníků v USA. Celkový dopad incidentu se tak rozšířil na 81 000 klientů.
Podle bezpečnostních výzkumníků se známý škodlivý kód červa Shai-Hulud po 111 dnech neaktivity znovu objevil v registru npm. Škodlivý balíček dokázal obejít tamní malware skenery, které jej měly zachytit.
Útočníci kompromitovali infrastrukturu společnosti Coder na Cloudflare a přidali neautorizované servery registrů. Prostřednictvím nich podle zdroje šířili škodlivé moduly pro Terraform, které obsahovaly kód pro krádež přihlašovacích údajů.
Podle zprávy útočníci distribuovali škodlivé aktualizace pro software pro správu VPS Virtualizor. K útoku využili ovládnutí BGP směrování aktualizační infrastruktury a přesměrování požadavků na vlastní servery.
Podle společnosti Aikido Security zachycují pravidla založená na řetězcích pouze malware, který již byl spatřen. K odhalení útoků na dodavatelský řetězec je podle ní nezbytná behaviorální detekce.
Podle bezpečnostních výzkumníků nedávný incident ukazuje, že útočníci i čtyři roky po útoku na dodavatelský řetězec Kaseya stále úspěšně cílí na zákazníky poskytovatelů spravovaných služeb prostřednictvím softwaru RMM. Text se věnuje rizikům spojeným s těmito nástroji a možnostem zabezpečení.
Podle bezpečnostních výzkumníků získal útočník neoprávněný přístup k infrastruktuře Cloudflare společnosti Coder a přidal do ní vlastní IP adresy obsluhující registr modulů. Tyto servery následně distribuovaly upravené moduly se škodlivým kódem určeným ke krádeži přihlašovacích údajů.
Farmaceutická a zdravotnická technologická společnost McKesson oznámila regulátorům, že je v rané fázi vyšetřování kybernetického incidentu. Podle zdroje problém souvisí s blíže neupřesněnou aplikací třetí strany a způsobuje omezení dostupnosti služeb.
Bezpečnostní výzkumníci zjistili pět kritických zranitelností v populárních WordPressových pluginech a motivech (WPMU DEV Dashboard, Avada, TranslatePress, Pods a GiveWP), které by mohly umožnit útočníkům neoprávnený přístup, převzetí účtu či vzdálené spuštění kódu. Zdroj uvádí, že jsou dostupné oficiální opravy a všechny chyby mají hodnotu CVSS 9,8 nebo 10,0.
Zdroj uvádí, že populární generátor kódu @7nohe/openapi-react-query-codegen obsahoval supply chain červ, který kradl přihlašovací údaje a šířil se na všechny balíčky, které oběť spravuje.
Podle výzkumníků bylo 28. srpna na npm publikováno osm škodlivých verzí balíčku @7nohe/openapi-react-query-codegen, které byly dostupné přibližně tři hodiny. Tyto verze byly infikovány aktualizovanou verzí malwaru miasma.
Podle bezpečnostních výzkumníků byly 20. srpna 2026 z účtu správce droundy na crates.io publikovány škodlivé verze tří balíčků Rust: arrayref@0.3.10, internment@0.8.7 a append-only-vec@0.1.9. Rust Security Response Team se nedomnívá, že by tyto verze zveřejnil sám legitimní správce.
Společnost Aikido Security zveřejnila srovnání podnikových nástrojů pro analýzu softwarového složení (SCA) pro rok 2026. Přehled hodnotí řešení Aikido, Sonatype, Snyk, Endor Labs, Checkmarx, Black Duck a Veracode z pohledu inteligence zranitelností, nápravy a dodržování předpisů.
Společnost Elastic popsala postup sledování direktivy min-release-age v konfiguračních souborech .npmrc na pracovních stanicích vývojářů za pomoci integrace CEL v nástroji Elastic Agent. Tento přístup řeší limity běžného sledování protokolů a umožňuje spolehlivě odhalit smazání bezpečnostní prodlevy před instalací nových balíčků.
Společnost Elastic popsala způsob monitorování konfigurace min-release-age v souborech .npmrc na pracovních stanicích vývojářů. Toto nastavení chrání před útoky na dodavatelský řetězec ignorováním čerstvě vydaných verzí balíčků. Místo běžného sledování protokolů autor použil integraci Common Expression Language v nástroji Elastic Agent, která pravidelně kontroluje obsah konfiguračních souborů a upozorní na případné smazání ochranné lhůty.
Podle Elastic Security Labs kompromitovala nová kampaň Shai-Hulud správce populární knihovny keyv a zneužila ukradené přístupové údaje k infikování více než 400 dalších balíčků v npm. Samočinně se šířící červ CHAINDROP krade přihlašovací údaje k vývojářským a cloudovým službám a k řízení své infrastruktury využívá chytrou smlouvu na Ethereu.
Podle Elastic Security Labs cílila nová kampaň Shai-Hulud na správce populární knihovny keyv a infikovala více než 400 balíčků v registru npm. Samovolně se šířící červ CHAINDROP zneužívá odcizené přihlašovací údaje ke vkládání zadních vrátků do dalších balíčků a krádeži citlivých dat z vývojářských prostředí.
Podle Microsoftu zasáhl rozsáhlý útok na dodavatelský řetězec npm přes 400 balíčků včetně keyv či flat-cache. Útočníci do nich vložili červa Mini Shai-Hulud, který krade přihlašovací údaje a sám se dále šíří přes kompromitované publikátorské tokeny.
Společnost Aikido Security zveřejnila srovnání předních bezpečnostních nástrojů pro LLM a aplikace s umělou inteligencí. Přehled porovnává řešení od společností Aikido, Snyk, Semgrep, Endor Labs a Wiz v oblastech zdrojového kódu, dodavatelského řetězce a běhového prostředí.
Tým Elastic Security Labs odhalil novou kampaň spojenou se severokorejskou skupinou Contagious Interview, která cílila na vývojáře falešnými nabídkami práce a testovacími úkoly. Podle zprávy tyto projekty ukrývaly škodlivý kód pomocí steganografie v souborech SVG, přičemž po spuštění instalovaly malware OTTERCOOKIE sloužící ke krádeži přihlašovacích údajů, peněženek a souborů i ke vzdálenému přístupu.
Společnost představila Aikido Intel, real-time feed určený k odhalování malwaru a nezveřejněných zranitelností v open-source ekosystémech. Podle poskytovatele dokáže systém hrozby zachytit často do osmi minut od jejich vydání.
Zdroj vysvětluje fungování firewallu závislostí, který blokuje škodlivé open-source balíčky ještě před instalací. Článek zároveň představuje řešení Aikido Safe Chain pro ochranu před útoky na dodavatelský řetězec.
Společnost Aikido oznámila akvizici firmy Root s cílem posílit zabezpečení softwarového dodavatelského řetězce a opravovat open-source zranitelnosti bez nutnosti upgradu. Kritické opravy budou bezplatně poskytovány zpět komunitě.
Podle společnosti Aikido její datový kanál o malwaru nyní ve výchozím stavu blokuje škodlivé verze balíčků v nástroji Composer. Text shrnuje, jak repozitář Packagist předchází celým třídám útoků na dodavatelský řetězec.
Společnost Aikido navázala partnerství se službou Drydock s cílem umožnit správcům kontrolu balíčků před jejich publikací do registrů npm a PyPI. Podle oznámení má toto řešení odhalit malware a zobrazit přesný obsah vydání ještě před prvním stažením uživateli.
Bezpečnostní společnost Huntress oznámila, že byla jedním z mnoha dodavatelů zasažených nedávným incidentem ve společnosti Klue, při kterém došlo k dopadu na data v Salesforce. Huntress provedla vlastní šetření incidentu s cílem zjistit, k čemu přesně došlo.
Vydavatel nabízí srovnání svého nástroje a čtyř dalších alternativ k řešení Socket. Zaměřuje se na bezpečnost dodavatelského řetězce, analýzu dosažitelnosti či licencování.
Podle CSIRT Itálie byla zaznamenána rozsáhlá kampaň Mini Shai-Hulud cílící na dodavatelský řetězec v ekosystému npm. Útočníci využívají malware typu červ k infiltraci do vývojových prostředí a CI/CD pipeline, odkud kradou citlivé přihlašovací údaje a automatizovaně šíří škodlivé verze legitimních balíčků.
Výzkumníci společnosti ESET odhalili probíhající útok APT skupiny ScarCruft, který cílí na oblast Jan-pien pomocí her pro Windows a Android obsahujících zadní vrátka. Podle zprávy jde o útok vedený přes dodavatelský řetězec kompromitováním herní platformy.
Bezpečnostní výzkumníci analyzovali dříve nezdokumentovaný linuxový trojan Quasar Linux (QLNX) s nízkou mírou detekce. Tento plně vybavený malware podle nich obsahuje rootkit, zadní vrátka do PAM i funkce pro sběr přihlašovacích údajů a umožňuje nenápadný přístup, perzistenci a potenciální útoky na dodavatelský řetězec.