Autor: AresISEC Security Team

Sigurnosne Vijesti Novosti Security News HR

Sigurnosne vijesti tjedna [10/26-3]

Ivanti Connect Secure zero-day lanac aktivno se iskorištava za udaljeno izvršavanje koda

Napadači aktivno iskorištavaju CVE-2026-104935 i povezuju više ranjivosti na Ivanti Connect Secure uređajima kako bi bez autentikacije izvršili proizvoljne naredbe. CISA je upozorila da se zero-day koristi za krađu vjerodajnica i eksfiltraciju podataka, dok su istrage incidenata zabilježile i root pristup pogođenim VPN uređajima.

Izvor: Volexity

Cisco Secure Email Gateway ranjivost aktivno se iskorištava

Cisco je upozorio da napadači iskorištavaju kritičnu ranjivost u Secure Email Gateway uređajima koja neautentificiranom pošiljatelju omogućuje zapisivanje datoteka na operacijski sustav putem posebno oblikovanog email privitka. Uspješna eksploatacija može dovesti do izvršavanja naredbi s root ovlastima.

Izvor: The Hacker News

Microsoft Patch Tuesday zakrpao rekordnih 1.411 ranjivosti i tri zero-daya

Microsoftov Patch Tuesday za listopad 2026. donio je zakrpe za rekordnih 1.411 ranjivosti, od kojih je 70 označeno kao kritično. Među njima su tri zero-day ranjivosti – jedna se već aktivno iskorištavala, a dvije su bile javno poznate prije objave zakrpa.

Izvor: BleepingComputer

SonicWall SMA1000 ranjivost maksimalne ozbiljnosti sada se aktivno iskorištava

Napadači su počeli iskorištavati CVE-2026-102255, ranjivost s CVSS ocjenom 10 koja je nedavno zakrpana na SonicWall SMA1000 uređajima. Pre-auth SSRF omogućuje udaljenom neautentificiranom napadaču da preko uređaja pristupa internoj funkcionalnosti i izvodi neovlaštene operacije.

Izvor: BleepingComputer

Kritične AhsayCBS ranjivosti iskorištavaju se za postavljanje web shellova i cryptominera

Napadači su ubrzo nakon objave počeli iskorištavati CVE-2026-105133 i CVE-2026-105134 za udaljeno izvršavanje koda na AhsayCBS backup poslužiteljima. Nakon kompromitacije zabilježeni su izviđanje sustava, web shellovi, XMRig cryptomineri i PowerShell alati namijenjeni ometanju nadzora sustava.

Izvor: Huntress

Kritična Langflow RCE ranjivost zabilježila više od 1.400 pokušaja eksploatacije

Napadači aktivno ciljaju CVE-2026-105740, kritičnu ranjivost za udaljeno izvršavanje koda koja pogađa Langflow verzije prije 1.9.0 i zahtijeva autentificirani pristup. Istraživači su na honeypot infrastrukturi zabilježili 1.423 pokušaja eksploatacije, što pokazuje velik interes napadača ubrzo nakon objave ranjivosti.

Izvor: The Hacker News

Flax Typhoon iskorištavao pet ranjivosti dodanih u CISA KEV katalog

CISA je pet ranjivosti dodala u Known Exploited Vulnerabilities katalog nakon potvrđene zloupotrebe povezane s kineskim akterom Flax Typhoon. Istodobno je objavljeno zajedničko međunarodno upozorenje o operacijama koje omogućuje kineska tvrtka Integrity Technology Group.

Izvor: The Hacker News

GhostAction supply-chain kampanja ciljala više od 30.000 GitHub repozitorija

Novi val GhostAction kampanje ciljao je više od 30.000 repozitorija povezanih s približno 3.000 korisnika i organizacija nakon kompromitacije oko 1.900 GitHub računa. Kampanja je pokušala izvući 3.174 tajne iz CI okruženja javnih repozitorija, a nove verzije payloada skenirale su i cijelu Git povijest u potrazi za vjerodajnicama.

Izvor: GitGuardian

Ledger zaustavlja prodaju walleta nakon napada na hardverski dobavni lanac

Ledger je od distributera i prodavača u jugoistočnoj Aziji i Hong Kongu zatražio obustavu prodaje nakon potvrde da su pojedini hardverski walleti fizički modificirani. U kompromitirane uređaje ugrađen je hardverski implant namijenjen krađi seed phraseova i njihovom slanju neovlaštenoj strani putem LTE veze.

Izvor: BleepingComputer

Ciljani oglasi korišteni za zero-click distribuciju komercijalnog spywarea

Citizen Lab dokumentirao je prvi javno potvrđeni slučaj zero-click distribucije komercijalnog spywarea putem ciljanog internetskog oglašavanja. Tehnika nazvana AdFection korištena je za kompromitaciju uređaja u Al Jazeeri Candiru spywareom i pokazuje kako se oglasna infrastruktura može pretvoriti u kanal za ciljanu špijunažu.

Izvor: Citizen Lab

Cybernapad manipulirao rashladnim sustavima u stotinama francuskih supermarketa

Napadi na upravljačke sustave komercijalne rashladne opreme poremetili su rad stotina francuskih trgovina. Kompromitirani kontroleri navodno su korišteni za podizanje temperature hladnjaka i zamrzivača dovoljno da se unište zalihe hrane, a u pojedinim slučajevima prijavljeni su i manji požari. Francuske vlasti naknadno su upozorenje proširile na Danfoss, Copeland i Dixell kontrolere.

Izvor: SecurityWeek

Microsoft i Health-ISAC srušili phishing tržište povezano s više od milijardu poruka

Microsoft i Health-ISAC preuzeli su i preusmjerili infrastrukturu povezanu sa servisima YAM Store, CoGUI i Iron Man, dijelovima kineskog cybercrime tržišta. Prema Microsoftu, servisi su od siječnja korišteni za slanje više od milijardu zlonamjernih poruka prema više od 75.000 organizacija u više od 150 država.

Izvor: SecurityWeek

Next.js objavio hitne zakrpe za dvije kritične neautentificirane RCE ranjivosti

Next.js je izvan redovnog ciklusa objavio sigurnosne zakrpe za dvije kritične ranjivosti koje omogućuju udaljeno izvršavanje koda bez autentikacije. Ranjivosti zahvaćaju React Server Components i obradu SVG sadržaja kroz librsvg, a ispravci su dostupni u verzijama Next.js 16.4.1 i 15.5.28.

Izvor: The Hacker News

Linux vhost ranjivost omogućuje root eskalaciju privilegija i mogući VM escape

CVE-2026-74580 pogađa Linux vhost podsustav za ubrzavanje virtualizacije kroz gotovo deset godina kernel izdanja. Istraživači su pokazali lokalnu eskalaciju privilegija do root razine, ali i mogućnost izlaska iz virtualnog stroja u okruženjima koja koriste virtualni IOMMU, gdje nepouzdani guest može uzrokovati korupciju memorije u host QEMU procesu.

Izvor: Tencent Security

CenterPoint Energy breach pogodio više od milijun osoba

CenterPoint Energy obavijestio je nadležna tijela da su u sigurnosnom incidentu kompromitirani osobni podaci više od milijun stanovnika Teksasa. Komunalna tvrtka ranije je potvrdila krađu korisničkih podataka iz svojih sustava, dok je napadač tvrdio da posjeduje više milijuna zapisa.

Izvor: SecurityWeek

Sigurnosne Vijesti Novosti Security News HR

Sigurnosne vijesti tjedna [10/26-2]

Fortinet FortiMail zero-day aktivno se iskorištava, a zakrpa još nije dostupna

CISA i Fortinet upozorili su na aktivnu eksploataciju CVE-2026-104286, kritične FortiMail ranjivosti s CVSS ocjenom 9,8. Posebno oblikovani HTTP ili HTTPS zahtjevi napadaču mogu omogućiti zapisivanje proizvoljnih datoteka na sustav i potencijalno izvršavanje koda ili naredbi, dok je Fortinet do objave zakrpe preporučio privremene mjere zaštite.

Izvor: SecurityWeek

Atlassian Data Center ranjivost ciljana nekoliko sati nakon javne objave

Napadači su počeli ispitivati i pokušavati iskorištavati CVE-2026-21589 otprilike dva sata nakon objave tehničkih detalja. Kritična neautentificirana ranjivost omogućuje pristup određenim datotekama i pogađa više Atlassian Data Center proizvoda, uključujući Jira, Confluence, Bitbucket, Bamboo i Crowd.

Izvor: The Hacker News

Novi NetScaler zero-day iskorištava se u ciljanim napadima

Citrix je zakrpao CVE-2026-88779 nakon što je zabilježena njegova eksploatacija u ciljanim zero-day napadima na NetScaler ADC i Gateway sustave. Memory overflow ranjivost može uzrokovati prekid rada ako je pogođeni sustav konfiguriran kao SAML service provider ili identity provider.

Izvor: The Hacker News

Cisco zakrpao kritične Nexus ranjivosti koje mogu omogućiti root preuzimanje uređaja

Cisco je objavio pet kritičnih ranjivosti u NX-OS-u koje pogađaju Nexus 3000 i Nexus 9000 Series preklopnike. Ranjivosti zahvaćaju funkcije poput NX-API-ja, NGOAM-a i MPLS OAM-a te potencijalno omogućuju izvršavanje proizvoljnog koda s root ovlastima ili rušenje pogođenog uređaja.

Izvor: BleepingComputer

SonicWall zakrpao SMA1000 SSRF ranjivost maksimalne ozbiljnosti

SonicWall je objavio hitne zakrpe za CVE-2026-102255, ranjivost s CVSS ocjenom 10 koja pogađa SMA1000 uređaje. Udaljeni neautentificirani napadač može zloupotrijebiti alternativnu pristupnu putanju kako bi uređaj slao zahtjeve u njegovo ime, pristupio internoj funkcionalnosti i izvodio neovlaštene operacije.

Izvor: SecurityWeek

Tensorlake npm paket kompromitiran Shai-Hulud crvom

Verzija 0.5.144 npm paketa tensorlake kompromitirana je novom varijantom Shai-Hulud crva koja krade tajne podatke i pokušava se širiti kroz povezane softverske supply chaine. Tensorlake pruža sandbox infrastrukturu za AI agente, a njegov npm paket prema dostupnim podacima ima više od 100.000 instalacija.

Izvor: Aikido Security

FBI upozorava da FortiBleed ostaje aktivan nakon prikupljanja više od 86.000 vjerodajnica

FBI i U.S. Secret Service upozorili su da FortiBleed kampanja i dalje cilja internet-facing Fortinet FortiGate firewalle i SSL VPN gatewaye. Kampanja je prema dostupnim podacima prikupila više od 86.000 valjanih vjerodajnica uređaja u 194 države, a zabilježeno je i korištenje tog pristupa kao početne točke za ransomware napade.

Izvor: The Hacker News

Ransomware napad prekinuo rad japanske IDCF Cloud infrastrukture

IDC Frontier potvrdio je da je ransomware uzrokovao prekid rada u IDCF Cloud East Japan Region 1 okruženju. Nakon otkrivanja napada tvrtka je isključila mrežnu i sistemsku infrastrukturu, što je utjecalo na cloud platformu koju koriste državni i poslovni korisnici.

Izvor: BleepingComputer

Iranski Blinder Tunnel ciljao iračku kritičnu infrastrukturu

Unit 42 povezao je Blinder Tunnel kampanju s iranskim državnim akterom kojeg prati kao CL-STA-1178. Operacija je ciljala iračku kritičnu infrastrukturu, a napadači su se predstavljali kao IT odjel Dubai Airportsa kako bi visokovrijednim metama dostavili trojanizirane programske zadatke.

Izvor: Palo Alto Networks Unit 42

ASOS potvrdio breach nakon kompromitacije računa zaposlenika

ASOS je potvrdio da su napadači pristupili računu zaposlenika predstavljajući se kao pouzdani kontakt, nakon čega su zloupotrijebili infrastrukturu za komunikaciju s korisnicima i poslali neovlaštene push obavijesti. Napadači su pristupili i dijelu osobnih podataka, uključujući imena i kontaktne podatke korisnika.

Izvor: The Record

Android telefoni isporučivani s Midnight Mimosa malwareom ugrađenim u firmware

Bitdefender je otkrio Midnight Mimosa malware unaprijed instaliran na jeftinijim Android uređajima temeljenima na MediaTek platformama. Malware ima sistemske ovlasti prije prvog uključivanja uređaja te može neprimjetno instalirati aplikacije, dodjeljivati dozvole i učitavati kod koji napadač šalje na daljinu.

Izvor: Bitdefender

FakeGit kampanja ponovno aktivirala više od 17.000 zlonamjernih GitHub repozitorija

Istraživači su zabilježili kako FakeGit infrastruktura masovno preusmjerava postojeće GitHub repozitorije prema SmartLoader malwareu. U približno 34 sata izmijenjeno je više od 13.000 repozitorija, što pokazuje kako napadači mogu ponovno koristiti dugotrajnu mrežu lažnih repozitorija bez izgradnje nove infrastrukture.

Izvor: Apiiro

Aktivna WordPress XSS kampanja skriva vlastiti administratorski račun

Napadači aktivno iskorištavaju stored XSS ranjivosti u pluginima WPC Product Bundles for WooCommerce i Ninja Forms za distribuciju istog zlonamjernog JavaScript payloada. Implant se izvršava u pregledniku prijavljenog administratora i namijenjen je uspostavi trajnog pristupa, uključujući skrivanje administratorskog računa pod kontrolom napadača.

Izvor: Patchstack

Kineski državno povezani hakeri koristili portal za pristup ukradenim emailovima

FBI i partnerske agencije objavili su da su akteri povezani s kineskom tvrtkom Integrity Technology Group kompromitirali državne institucije, tijela kaznenog progona, zdravstvene sustave i vjerske organizacije u jugoistočnoj Aziji. Operacija je uključivala skeniranje ranjivosti, napade na Microsoft 365 i Exchange račune te infrastrukturu koja je trećim stranama omogućavala pristup ukradenim emailovima.

Izvor: The Hacker News

UAT-11985 koristi AI-assisted mamce i Google AitM phishing u stvarnom vremenu

Cisco Talos identificirao je APT kampanju protiv osoba povezanih s tajvanskim istraživačkim organizacijama koja koristi prilagođene pozivnice na događanja i zlonamjerne QR kodove. Kampanja koristi adversary-in-the-middle phishing framework koji imitira Google autentikaciju i u stvarnom vremenu presreće vjerodajnice i MFA izazove.

Izvor: Cisco Talos

Security Blog

Znate li što vam je stvarno izloženo internetu?

Većina organizacija zna za sustave koji moraju biti javno dostupni. Web stranica, VPN, korisnički portal ili drugi poslovni servis imaju jasan razlog zašto im se može pristupiti s interneta. Veći problem mogu biti sustavi za koje se više nitko ne sjeća da su dostupni.

Infrastruktura se s vremenom mijenja. Postavi se novi server, dobavljaču se omogući udaljeni pristup, otvori testno okruženje ili se privremeno omogući administracija izvana. Aplikacija se kasnije preseli, dobavljač se promijeni ili projekt završi, ali dio stare konfiguracije ostane. Nakon nekoliko godina ono što organizacija misli da ima izloženo internetu i ono što je stvarno dostupno više ne mora biti isto.

Privremeni pristup lako postane trajan

Ne mora se raditi o serveru koji je netko zaboravio prije deset godina. Dovoljno je administracijsko sučelje mrežnog uređaja, stara VPN usluga, testna aplikacija ili udaljeni pristup koji je trebao biti privremen. Takvi sustavi često nisu dio svakodnevnog rada pa mogu dugo ostati izvan fokusa. Produkcijsku aplikaciju netko koristi svaki dan, dok stari servis može ostati dostupan bez da ga itko primijeti. Sama dostupnost s interneta nije sigurnosni propust. Mnogi servisi moraju biti javno dostupni da bi poslovanje funkcioniralo. Bitno je treba li određeni servis biti dostupan, koristi li se još uvijek i je li sigurno konfiguriran. VPN koji organizacija svakodnevno koristi ima opravdan razlog biti izložen. Administracijsko sučelje uređaja koje je ostalo otvoreno nakon intervencije dobavljača vjerojatno nema.

Dokumentacija i stvarno stanje nisu uvijek isti

Slično vrijedi za testna okruženja. Produkcijska aplikacija može se redovito održavati, dok stara testna instanca ostane dostupna na poddomeni nakon završetka projekta. Organizacija može uredno ažurirati servere, a previdjeti mrežni uređaj koji godinama radi bez većih promjena. Iz perspektive nekoga tko sustave traži izvana, nije važno nalazi li se nešto na službenom popisu IT imovine. Važno je može li mu se pristupiti. Zato ni uredan inventar ne mora uvijek odgovarati stvarnom stanju. Dokumentacija može zaostati za promjenama, privremena konfiguracija može ostati aktivna, a sustav koji se više ne koristi može nastaviti raditi. Takve razlike između dokumentiranog i stvarnog stanja lako se previde dok nema razloga detaljnije ih provjeravati.

Popis ranjivosti nije dovoljan

Sigurnosna procjena ranjivosti ne bi trebala završiti popisom verzija softvera i pronađenih CVE oznaka. Nalaz treba promatrati zajedno s njegovom izloženošću i ulogom sustava na kojem je pronađen. Ista ranjivost na javno dostupnom sustavu i na sustavu kojem se može pristupiti samo iz ograničenog dijela interne mreže nema nužno isti prioritet za organizaciju. Isto vrijedi za rezultate automatiziranih alata. Scanner može prijaviti velik broj potencijalnih ranjivosti, ali to ne znači da se svaki nalaz stvarno odnosi na konkretan sustav ili da je svaki jednako važan. Rezultat može ovisiti o detektiranoj verziji, konfiguraciji ili pretpostavkama koje alat sam ne može potvrditi. Dio nalaza zato zahtijeva dodatnu provjeru prije nego što se može zaključiti postoji li ranjivost i koliki rizik predstavlja.

Bez takve analize lako je upasti u ciklus u kojem se rezultat scannera tretira kao gotov plan rada. Organizacija popravi ono što je prijavljeno, ponovno pokrene skeniranje i dobije novu listu. Zatim ponovno kreće isti proces. Nova lista sama po sebi ne govori je li sustav sada bitno sigurniji niti jesu li prvo riješeni problemi koji predstavljaju najveći rizik. Vulnerability management nije pokušaj da rezultat svakog skeniranja bude potpuno prazan, nego proces u kojem treba razlikovati stvarne i primjenjive nalaze od tehničkog šuma te odrediti što treba riješiti prvo.

Sustav pritom ne mora sadržavati poznatu kritičnu ranjivost da bi predstavljao problem. Nepotrebno izložen servis, pogrešna konfiguracija ili pristup koji je odavno trebao biti uklonjen mogu biti jednako važni za stvarnu sigurnost okruženja. Zato neovisna sigurnosna analiza treba odgovoriti na više od pitanja što je scanner pronašao. Treba provjeriti što je stvarno izloženo, potvrditi relevantne nalaze i procijeniti njihov značaj u konkretnom okruženju.

AresISEC kroz Sigurnosnu procjenu ranjivosti provjerava sustave, aplikacije i infrastrukturu kako bi identificirao sigurnosne slabosti i procijenio ih u kontekstu stvarnog okruženja. Cilj nije dobiti što dulji popis nalaza, nego utvrditi što predstavlja relevantan rizik i što ima smisla prvo riješiti.

Provjerite ono što mislite da znate

Dobar prvi korak može biti jednostavna interna provjera. Usporedite popis sustava za koje vjerujete da su dostupni s interneta sa stvarnim stanjem. Provjerite postoje li testna okruženja, stari sustavi, pristupi vanjskih dobavljača ili konfiguracije koje su prvotno trebale biti privremene. Ako ne možete sa sigurnošću objasniti zašto je neki sustav ili servis dostupan s interneta, vrijedi provjeriti treba li još uvijek biti.

Problem nije servis koji s razlogom mora biti dostupan s interneta. Problem je onaj za koji više nitko ne zna zašto je još uvijek tamo.

Izvori:

Znate li što je stvarno izloženo i koje ranjivosti predstavljaju stvaran rizik?

AresISEC Sigurnosna procjena ranjivosti uključuje provjeru izloženih sustava, analizu pronađenih slabosti i procjenu njihove važnosti u konkretnom okruženju.

Zatražite sigurnosnu procjenu ranjivosti
Security Blog Realne situacije u kibernetičkoj sigurnosti

Imamo vanjski IT. Zar to nije dovoljno?

Imate vanjski IT koji održava računala, korisnike, mrežu, backup i svakodnevnu podršku. Kada nešto ne radi, znate koga nazvati, zaposlenici imaju pristupe koji im trebaju i sustavi uglavnom funkcioniraju kako se očekuje. Zbog toga je razumljivo pretpostaviti da je time pokrivena i sigurnost. Međutim, održavanje IT-a i neovisna sigurnosna provjera nisu ista stvar.

Kod hotela, računovodstvenih servisa, klinika, odvjetničkih društava i drugih tvrtki koje IT održavanje povjeravaju vanjskom partneru, to što netko brine da sustavi rade ne znači nužno da netko zasebno provjerava njihovu izloženost, korisničke pristupe, mrežnu segmentaciju ili posljedice kompromitacije jednog računa ili uređaja.

Sustav može raditi bez problema i svejedno imati sigurnosnu slabost

Svakodnevno IT održavanje ima vrlo praktičan cilj: računala moraju raditi, korisnici trebaju imati pristup aplikacijama, mreža mora biti dostupna, backup se mora izvršavati, a tehnički problemi rješavati što prije. Sigurnosna provjera postavlja druga pitanja. Koji su sustavi dostupni s interneta? Postoje li udaljeni pristupi koji više nisu potrebni? Imaju li korisnici više ovlasti nego što im zaista treba? Jesu li pojedini dijelovi mreže dovoljno odvojeni? Što bi kompromitacija jednog korisničkog računa omogućila dalje?

Takve slabosti ne moraju uzrokovati kvar niti biti vidljive kroz svakodnevni rad. Sustav može godinama uredno funkcionirati, a da pritom postoji stari pristup, nepotrebno izložena usluga, preširoka ovlast ili konfiguracija koja bi u slučaju incidenta omogućila pristup sustavima kojima napadač inače ne bi mogao pristupiti.

Vanjski IT može vrlo dobro raditi svoj posao

Dobar IT partner poznaje okruženje, održava sustave i najčešće već provodi niz važnih sigurnosnih mjera. Instalira nadogradnje, upravlja korisnicima, održava backup, konfigurira mrežnu opremu, štiti krajnje uređaje i rješava probleme kada nastanu. To ipak ne znači da je isto okruženje prošlo zasebnu sigurnosnu provjeru.

Tvrtka koja je sustav postavila i svakodnevno ga održava gleda ga prvenstveno kroz potrebe poslovanja i stabilnosti. Sigurnosna procjena gleda isto okruženje iz drugog kuta: što se može iskoristiti, koliko daleko kompromitacija jednog dijela može ići i koje kontrole stvarno ograničavaju posljedice incidenta.

To nije kritika vanjskog IT-a niti razlog za promjenu partnera. Neovisna provjera jednostavno ima drugu svrhu.

Jedan kompromitirani račun može biti dovoljan

U manjim organizacijama često nema stotina sustava. Postoji nekoliko računala, poslovni e-mail, cloud aplikacije, udaljeni pristup i nekoliko servisa o kojima svakodnevni rad izravno ovisi. Upravo zato pojedini račun ili uređaj može imati velik značaj.

U računovodstvenom servisu poslovni mailbox može sadržavati komunikaciju i dokumentaciju velikog broja klijenata. U hotelu recepcijsko računalo može imati pristup sustavima potrebnima za svakodnevni rad. U klinici se preko relativno malog broja računala i korisničkih računa pristupa sustavima i osjetljivim podacima. U odvjetničkom društvu poslovni e-mail, dokumentacija i cloud servisi mogu sadržavati informacije povezane s velikim brojem predmeta i klijenata.

Zato pitanje nije samo može li netko kompromitirati jedan korisnički račun. Važno je što mu taj račun omogućuje dalje. Može li pristupiti drugim sustavima ili dijeljenim mapama? Postoje li spremljene vjerodajnice? Jesu li administrativni pristupi dostupni s običnih korisničkih računala? Može li kompromitirani uređaj komunicirati s dijelovima mreže kojima za svakodnevni rad uopće ne treba pristupati?

Upravo takve stvari određuju ostaje li sigurnosni incident ograničen na jedan račun ili uređaj ili se širi dalje kroz okruženje.

„Ali naš IT brine i o sigurnosti”

Vrlo vjerojatno brine. Nadogradnje, backup, upravljanje korisnicima, zaštita krajnjih uređaja i mrežne konfiguracije sve su važni dijelovi sigurnosti. Razlika je u tome što sigurnosna procjena ne provjerava samo postoji li određena mjera, nego kako je postavljena i što se događa kada jedna od kontrola zakaže.

Backup može postojati, ali može li se iz njega stvarno vratiti ono što je potrebno za rad? Udaljeni pristup može biti zaštićen, ali tko mu još uvijek ima pristup i je li taj pristup i dalje potreban? Firewall može biti pravilno postavljen, ali može li kompromitirano računalo unutar mreže pristupati sustavima kojima ne bi trebalo?

Neovisna provjera zato ne zamjenjuje vanjski IT. U praksi mu može dati konkretne nalaze koje nakon toga može provjeriti i riješiti.

Sigurnosna provjera ne mora biti veliki projekt

Za tvrtku koja ima nekoliko ili nekoliko desetaka zaposlenika cybersecurity ne mora početi novom infrastrukturom, dodatnim alatima ili velikim projektom. Prvo ima smisla utvrditi kako trenutno izgleda okruženje, što je izloženo, tko čemu ima pristup, kako su odvojeni pojedini sustavi i postoje li slabosti koje predstavljaju stvaran rizik za poslovanje.

Takva provjera može pokazati da je većina stvari dobro postavljena i da treba riješiti nekoliko konkretnih problema. Može otkriti i pristup koji je ostao nakon starog projekta, korisnički račun koji ima više ovlasti nego što mu treba, uređaj koji više nitko ne koristi ili servis koji je još uvijek dostupan izvana iako za to više nema razloga.

Bitno je znati stvarno stanje, umjesto pretpostaviti da je sigurnost pokrivena zato što IT funkcionira.

Vanjski IT i sigurnosna provjera nisu suprotstavljene uloge

Vanjski IT održava sustave i omogućuje da poslovanje svakodnevno funkcionira. Neovisna sigurnosna provjera provjerava postoje li slabosti koje kroz takav svakodnevni rad nisu bile vidljive i kakve bi posljedice imale ako ih netko iskoristi.

Te dvije uloge mogu se vrlo dobro nadopunjavati. Vanjski IT poznaje okruženje i može provesti potrebne promjene, dok sigurnosna procjena daje neovisan pogled na izloženost, pristupe, konfiguracije i mogućnosti širenja kompromitacije.

AresISEC sigurnosne procjene polaze od stvarnog IT okruženja organizacije. Cilj nije mijenjati postojećeg IT partnera niti tražiti probleme tamo gdje ih nema, nego utvrditi postoje li slabosti koje imaju stvaran utjecaj na poslovanje i što ih ima smisla riješiti.

Imati vanjski IT ne znači automatski da je pokriven i cybersecurity.

Ako želite provjeriti koliko su vaši postojeći sustavi i pristupi sigurni u praksi, javite nam se.

Sigurnosne Vijesti Novosti Security News HR

Sigurnosne vijesti tjedna [10/26-1]

Dva Citrix NetScaler zero-daya aktivno se iskorištavaju

Napadači aktivno iskorištavaju CVE-2026-88771 i CVE-2026-88772 protiv Citrix NetScaler ADC i Gateway uređaja. Mandiant je zabilježio pogođene organizacije u Sjevernoj Americi i Europi, a post-exploitation alati uključuju prilagođene WHIPSHOT web shellove i SLAPSHOT tunneler za internu rekognosciju i krađu vjerodajnica.

Izvor: Google Threat Intelligence Group

ShinyHunters ponovno masovno iskorištava Oracle PeopleSoft

Google Threat Intelligence Group i Mandiant identificirali su novi globalni val eksploatacije CVE-2026-35273 u Oracle PeopleSoftu. Akter povezan sa ShinyHuntersom izmijenio je exploit kako bi zaobišao WAF pravila URL-encodingom dijela ranjive PSEMHUB putanje, čime je mogao napadati i sustave za koje se smatralo da su zaštićeni postojećim mitigacijama.

Izvor: Google Threat Intelligence Group

Microsoft SharePoint RCE sada se aktivno iskorištava

Microsoft je potvrdio aktivnu eksploataciju CVE-2026-65660, SharePoint ranjivosti za udaljeno izvršavanje koda zakrpane u kolovozu. Autentificirani napadač s niskom razinom pristupa može iskoristiti code injection propust za izvršavanje proizvoljnog koda na pogođenom SharePoint poslužitelju bez interakcije korisnika.

Izvor: SecurityWeek

Bitget: krađa 387,5 milijuna dolara počela je zero-day ranjivostima u sigurnosnim uređajima

Kriptomjenjačnica Bitget objavila je da su napadači pristupili njezinom wallet okruženju iskorištavanjem zero-day ranjivosti u dva sigurnosna uređaja treće strane. Nakon kompromitacije instalirani su web shellovi i malware u produkcijsko okruženje, a zatim je prilagođeni alat za isplate iskorišten za krađu približno 387,5 milijuna dolara iz hot i warm walleta.

Izvor: BleepingComputer

Apple zakrpao CoreGraphics zero-day iskorištavan u ciljanim napadima

Apple je zakrpao CVE-2026-86950, out-of-bounds write ranjivost u CoreGraphicsu koja je možda iskorištavana u napadima koje je tvrtka opisala kao iznimno sofisticirane i usmjerene na određene pojedince. Obrada posebno oblikovane datoteke može dovesti do izvršavanja proizvoljnog koda na pogođenim iOS i macOS uređajima.

Izvor: SecurityWeek

Zammad zero-dayevi iskorišteni u AI-powered napadu na DIVD

Nizozemski Institute for Vulnerability Disclosure objavio je da su napadači kompromitirali njegovu infrastrukturu iskorištavanjem dvije dotad nepoznate ranjivosti u Zammad support platformi. DIVD je operaciju opisao kao automatizirani agentic AI-powered napad i nakon otkrivanja kompromitacije 21. rujna pokrenuo puni incident response.

Izvor: SecurityWeek

Storm-3168 koristi kompromitirane service principale za destruktivne Azure napade

Microsoft je dokumentirao destruktivnu Azure aktivnost skupine Storm-3168, poznate i kao JADEPUFFER, koja uključuje kompromitirane service principale i ukradene cloud vjerodajnice. Napadači su izvodili masovne destruktivne operacije nad storage računima, SQL bazama, Key Vaultovima, virtualnim strojevima, Function Apps i App Services resursima te recovery protection kontrolama.

Izvor: Microsoft

Eksploatacija Zimbra RCE-a dovodi do web shellova, krađe vjerodajnica i trajnog pristupa

Microsoft je objavio nove detalje o eksploataciji CVE-2026-73570, neautentificirane command injection ranjivosti na internet-facing Zimbra poslužiteljima s određenom SNMP funkcionalnošću. Zabilježene aktivnosti nakon kompromitacije uključivale su JSP web shellove, reverse shellove, eskalaciju privilegija, trajne remote-access alate te pristup mailboxovima i autentikacijskim podacima.

Izvor: Microsoft

Ranjivost službenog MCP Python SDK-a može izložiti OAuth vjerodajnice

Ranjivost u službenom Model Context Protocol Python SDK-u može zlonamjernom MCP poslužitelju omogućiti preusmjeravanje OAuth token exchangea prema infrastrukturi pod kontrolom napadača. Pogođeni klijenti mogli su otkriti client secret, authorization code i PKCE proof key, nakon čega napadač može zatražiti access token s ovlastima dodijeljenima aplikaciji.

Izvor: The Hacker News

Ponovno omogućene GitHub Actions aktivirale Mini Shai-Hulud supply chain malware

Dvije GitHub Actions kompromitirane tijekom Mini Shai-Hulud kampanje ponovno su postale dostupne dok su njihovi release tagovi i dalje upućivali na zlonamjerni kod. Workflowi koji su koristili te verzijske oznake ponovno su počeli preuzimati i izvršavati kompromitirane actione sve dok GitHub nije ponovno onemogućio repozitorije.

Izvor: Socket

Warlock ransomware skupina cilja vodne i telekomunikacijske operatore

Skupina povezana s Kinom koja stoji iza Warlock ransomwarea nastavlja koristiti Microsoft SharePoint ranjivosti za kompromitaciju organizacija. Među novijim žrtvama nalaze se vodni i telekomunikacijski operator, regionalna državna institucija i sveučilište u Europi, Africi i Latinskoj Americi.

Izvor: Security.com

SalesBleed ranjivosti omogućavale zero-click eksfiltraciju podataka kroz Salesforce Agentforce

Istraživači su objavili tri ranjivosti u Salesforce Agentforceu koje napadaču mogu omogućiti ubacivanje zlonamjernih instrukcija kroz Web-to-Lead obrasce. Dvije ranjivosti omogućavale su zero-click izvlačenje osjetljivih CRM podataka kada bi Agentforce agent naknadno obradio zaraženi lead, dok se treća mogla koristiti za distribuciju phishing poruka.

Izvor: SecurityWeek

Objavljen javni exploit za kritičnu Next.js RCE ranjivost

Javno je dostupan funkcionalni proof-of-concept exploit za CVE-2026-94545, kritičnu ranjivost u Next.js next/og image API-ju. Jedan neautentificirani zahtjev može omogućiti izvršavanje naredbi na ranjivom poslužitelju, iako u trenutku objave nije bilo potvrđene eksploatacije u stvarnim napadima.

Izvor: SecurityOnline

Times Car breach zahvatio 6,6 milijuna korisničkih računa

Japanski car-sharing servis Times Car potvrdio je da su napadači kompromitirali približno 6,6 milijuna korisničkih računa nakon neovlaštenog pristupa njihovim sustavima. Tvrtka je isprva istraživala jesu li osobni podaci korisnika bili dostupni napadačima, a naknadno je potvrdila krađu podataka.

Izvor: BleepingComputer

NeedyMantis malware koristi se za trajni pristup u ciljanim operacijama

Microsoft je identificirao NeedyMantis, modularni post-compromise malware korišten u ciljanim operacijama protiv telekomunikacijskih organizacija, sveučilišta, medicinskih neprofitnih organizacija, međuvladinih institucija i državnih izvođača. Malware se postavlja nakon početne kompromitacije kako bi održao dugotrajan pristup i omogućio daljnje aktivnosti, a zabilježene operacije podudaraju se s aktivnostima threat actora iz Kine.

Izvor: Microsoft

Security Blog

Mislite da ste spremni za NIS2. Možete li to i pokazati?

Kad organizacija počne provjeravati koliko je stvarno spremna za NIS2, početna slika često izgleda sasvim dobro. Postoji firewall, backup se radi redovito, MFA je uključen, zaposlenici prolaze sigurnosne edukacije, a za incidente se zna koga treba nazvati. Većina tih stvari nije uvedena zbog NIS2, nego zato što su tijekom godina postale dio normalnog rada. I to je dobra početna pozicija.

Problem nastaje kada se s pitanja “imate li to?” prijeđe na “kako je to kod vas stvarno provedeno?”. NIS2 ne svodi upravljanje kibernetičkim rizicima na posjedovanje određenih sigurnosnih proizvoda ili nekoliko napisanih procedura. Među područjima koja obuhvaća nalaze se upravljanje incidentima, kontinuitet poslovanja i oporavak, sigurnost dobavljačkog lanca, upravljanje ranjivostima, kontrola pristupa, edukacija te provjera učinkovitosti uvedenih mjera. Zato dvije organizacije koje na osnovnoj checklisti imaju gotovo sve označeno mogu u praksi biti na vrlo različitoj razini spremnosti.

Uzmimo MFA. Tvrtka ga koristi za Microsoft 365 i VPN pa će sasvim opravdano reći da ima višefaktorsku autentikaciju. Ali što je s administratorskim računima? Postoje li stari sustavi koji je ne podržavaju? Ima li iznimaka i zna li se zašto postoje? Ako kompromitirani administratorski račun i dalje može otvoriti put prema važnom dijelu infrastrukture bez dodatne provjere, sama činjenica da organizacija “ima MFA” ne govori dovoljno o stvarnom riziku.

S ranjivostima se događa nešto slično. Organizacija može svaki mjesec pokrenuti vulnerability scanner i uredno spremiti izvještaj. Puno je važnije što se događa poslije. Ako se isti ozbiljan nalaz pojavljuje šest mjeseci zaredom jer nitko nije odredio vlasnika, rok ili način sanacije, skeniranje postoji, ali proces upravljanja ranjivostima očito ima rupu. Ponekad se problem ne može odmah ukloniti i to je realnost svakog IT okruženja. Tada treba znati koliki rizik ostaje, može li se privremeno smanjiti i tko je donio odluku da se s njim nastavi živjeti.

Dobavljači su područje u kojem se stvarno stanje također lako izgubi iz vida. Organizacija zna tko joj održava infrastrukturu, gdje joj je hosting i koje cloud ili SaaS usluge koristi, ali to ne znači da ima dobar pregled njihovih pristupa i ovisnosti koje su se s vremenom stvorile. Vanjski IT možda ima administratorske račune, dobavljač aplikacije udaljeni pristup produkciji, a poslovno važan sustav može ovisiti o usluzi nad kojom organizacija nema izravnu kontrolu. Ako takav dobavljač ima sigurnosni incident, pitanje više nije samo koliko je siguran on, nego što njegov incident može napraviti vašem poslovanju.

Kod incidenata se razlika između pretpostavljene i stvarne spremnosti obično vidi još brže. U manjoj organizaciji često svi znaju koga treba nazvati ako nešto pođe po zlu. Takav način rada može sasvim dobro funkcionirati kod manjih problema. Kod ozbiljnog incidenta odjednom treba odlučiti što izolirati, koje sustave ostaviti dostupnima, koje podatke sačuvati, tko vodi tehnički dio odgovora, tko komunicira prema upravi i postoji li obveza prijave incidenta. Ako se sve oslanja na jednu osobu koja “zna kako stvari rade”, plan zapravo postoji samo dok je ta osoba dostupna.

Ni backup sam po sebi ne daje odgovor na pitanje koliko je organizacija spremna za oporavak. Može se izvršavati svake noći i mjesecima prolaziti bez greške, a da nitko ne zna koliko bi stvarni povrat sustava trajao. Možda se baza može vratiti, ali aplikacija ovisi o drugom servisu koji nije uključen u plan. Možda su svi podaci dostupni, ali nije određeno što se vraća prvo. Tek kada se takve stvari provjere, može se govoriti o stvarnoj sposobnosti oporavka, a ne samo o postojanju backupa.

Upravo zato kod NIS2 spremnosti dokazi nisu zanimljivi samo zbog buduće provjere ili samoprocjene. Oni organizaciji daju puno praktičniji odgovor na pitanje funkcioniraju li njezine sigurnosne mjere onako kako pretpostavlja. Rezultat recovery testa govori više od same tvrdnje da postoji backup. Evidencija pregleda privilegiranih računa pokazuje da se pristupi zaista pregledavaju. Zatvoreni nalazi pokazuju da vulnerability scanning završava sanacijom, a ne PDF izvještajem koji će netko spremiti u mapu. Za to nije potrebno izmišljati novu NIS2 dokumentaciju ako odgovarajući trag već nastaje kroz svakodnevni rad.

Hrvatski okvir za NIS2 također razlikuje dokumentiranost sigurnosnih mjera od njihove implementacije. To je važna razlika jer organizacija može imati vrlo urednu proceduru koju u praksi nitko ne slijedi, ali može postojati i obrnuta situacija. Neka sigurnosna praksa možda već godinama dobro funkcionira, samo nije dovoljno uređena ili dokumentirana. GAP analiza treba razlikovati te situacije, a ne ih sve svesti na istu oznaku “nedostaje”.

Kod AresISEC NIS2 GAP analize spremnosti zato ne gledamo samo postoji li određena politika, procedura ili sigurnosna tehnologija. Provjeravamo kako je mjera stvarno provedena i što se može potvrditi iz dostupnih informacija i dokaza. Cilj nije izdati certifikat niti pravno mišljenje da je organizacija “NIS2 compliant”, nego dobiti realnu sliku postojećeg stanja i utvrditi gdje postoji razlika između onoga što organizacija smatra riješenim i onoga što je stvarno uspostavljeno.

Takvu provjeru ima smisla napraviti prije formalne samoprocjene ili druge provjere, dok još postoji vrijeme za rješavanje pronađenih nedostataka. Ne mora rezultat biti deset novih politika i još jedan sigurnosni alat. Nekad treba urediti proces koji već postoji, zatvoriti tehnički nedostatak, jasno odrediti odgovornost ili konačno provjeriti radi li nešto što se godinama uzimalo zdravo za gotovo.

Zato je kod pripreme za NIS2 korisnije krenuti od stvarnog okruženja nego od checkliste. Pitanje nije samo imate li neku sigurnosnu mjeru. Pitanje je možete li pokazati kako je provedena i radi li kada je stvarno potrebna.

Izvori:

European Union – Directive (EU) 2022/2555 (NIS2 Directive)

Narodne novine – Zakon o kibernetičkoj sigurnosti, NN 14/2024

Narodne novine – Uredba o kibernetičkoj sigurnosti, NN 135/2024

Znate li što je u vašoj organizaciji za NIS2 stvarno uspostavljeno, a što samo pretpostavljate da je riješeno?

AresISEC NIS2 GAP analiza spremnosti provjerava postojeće stanje prema relevantnim zahtjevima i pomaže utvrditi koje nedostatke treba riješiti prije sljedećih koraka.

Zatražite NIS2 GAP analizu
Sigurnosne Vijesti Novosti Security News HR

Sigurnosne vijesti tjedna [09/26-4]

Kritična WordPress ranjivost iskorištavana nekoliko sati nakon objave

Napadači su počeli iskorištavati CVE-2026-87902 samo nekoliko sati nakon javne objave detalja ranjivosti. Path traversal propust pogađa WordPress page-template resolution i, uz određene uvjete na poslužitelju i aktivnoj temi, neautentificiranom napadaču može omogućiti udaljeno izvršavanje koda.

Izvor: SecurityWeek

Kritična Roundcube ranjivost sada se aktivno iskorištava

Canadian Centre for Cyber Security upozorio je na aktivnu eksploataciju CVE-2026-48842 u Roundcube Webmailu. Pre-authentication SQL injection ranjivost napadaču bez vjerodajnica može omogućiti zaobilaženje autentikacije, izvršavanje zlonamjernih upita i pristup podacima u bazi ranjive Roundcube instalacije.

Izvor: BleepingComputer

Cybernapadi ciljali OT sustave vodovoda u Coloradu

Napadači su ciljali operativnu tehnologiju dvaju privatnih vodovodnih sustava u Coloradu te mijenjali postavke opreme, isključivali udaljeni pristup i alarme i mijenjali cikluse pumpanja. Poremećaji su bili kratkotrajni i nisu utjecali na opskrbu vodom ili javnu sigurnost, ali incident pokazuje pokušaj izravnog utjecaja na fizičku infrastrukturu.

Izvor: SecurityWeek

Brevo supply chain napad dosegnuo više od 100.000 stranica

Nova analiza Brevo kompromitacije pokazuje da je zlonamjerni JavaScript distribuiran kroz njihovu infrastrukturu potencijalno dosegnuo više od 100.000 korisničkih stranica. Napadači su ukradeni Cloudflare API ključ iskoristili za izmjenu Brevo skripti na CDN edgeu te distribuciju ClickFix sadržaja i WordPress backdoora.

Izvor: Sansec

Graphalgo malware proširio se s npm-a na Terraform providere i Go module

Istraživači su pronašli Graphalgo malware distribuiran kroz najmanje dva Terraform providera i dva Go modula, što je prvi zabilježeni slučaj korištenja Terraform providera kao kanala za distribuciju malwarea. Go payload dijeli blockchain i Slack infrastrukturu te kriptografske elemente s ranijim zlonamjernim npm paketima.

Izvor: Aikido Security

npm supply chain napad zloupotrijebio trusted publishing za distribuciju GHAPPIER loadera

Napadači su kompromitirali maintainer račun paketa @dforge-core/dforge-mcp i izmijenili GitHub Actions release workflow kako bi zlonamjernu verziju objavili putem npm trusted publishinga. Release je imao valjane provenance potpise i istodobno distribuirao remote-shell implant, što pokazuje da provenance potvrđuje gdje je paket izgrađen, ali ne i da je njegov izvorni kod siguran.

Izvor: Orca Security

Kompromitirani MemTensor paketi distribuirali cross-platform credential stealer

Legitimni MemTensor paketi na npm-u i PyPI-ju kompromitirani su kako bi distribuirali Go implant nazvan sckit. Zlonamjerne verzije pokreću payload pri pokretanju agent gatewaya ili obradi memory-recall događaja, a ciljaju Windows, Linux i macOS sustave.

Izvor: The Hacker News

EvilTokens kompromitirao više od 12.000 Microsoft 365 inboxa

Microsoft navodi da je EvilTokens phishing-as-a-service platforma kompromitirala više od 12.000 inboxa u više od 10.000 organizacija. Servis povezuje device-code i adversary-in-the-middle phishing s AI-assisted izradom mamaca i analizom kompromitiranih mailboxa radi pronalaska vrijednijih meta.

Izvor: Microsoft

cPanel ranjivost omogućuje hosting korisniku izvršavanje koda kao root

Ranjivost u cPanel CalDAV i CardDAV servisu može bilo kojem autentificiranom hosting računu omogućiti izvršavanje koda kao root i potpuno preuzimanje dijeljenog poslužitelja. cPanel je objavio zakrpe, a za iskorištavanje je dovoljan običan korisnički račun na pogođenom serveru.

Izvor: The Hacker News

Plugin4Shell pogađa četiri velika AI coding agenta

Istraživači su objavili Plugin4Shell, supply-chain slabost koja pogađa Claude Code, Codex, GitHub Copilot i Gemini CLI. Vlasnik repozitorija mogao je nakon pregleda zamijeniti sadržaj plugina i navesti agenta da instalira zlonamjerni kod iako je marketplace plugin vezao uz prethodno odobreni commit hash.

Izvor: The Hacker News

Autonomni AI agenti korišteni za masovne napade na online trgovine

Gambit Security opisuje aktualnu kampanju u kojoj financijski motivirani napadač koristi open-source AI harness alate za automatizirane napade na online trgovine. Istraživači su rekonstruirali 105 attack projekata pokrenutih u šest dana, uz najmanje 27 kompromitiranih tvrtki te izlaganje stotina tisuća podataka o platnim karticama i instalaciju web skimmera.

Izvor: Gambit Security

OpenAI agenti pristupili nejavnim podacima na australskom državnom portalu

AI agenti korišteni u OpenAI istraživanju iskoristili su sigurnosnu slabost na australskom Medicare statističkom portalu tijekom zadataka prikupljanja informacija. Incident iz lipnja omogućio je pristup javnim i nejavnim podacima i bio je dio šireg automatiziranog ispitivanja javnih data providera u više država.

Izvor: BleepingComputer

Password spraying kampanja cilja zaboravljene Microsoft 365 service račune

Proofpoint je identificirao aktivnu TeamFiltration kampanju koja je ciljala više od 5.700 računa u 28 Microsoft 365 tenanta u Latinskoj Americi. Svih sedam uspješno kompromitiranih računa bili su unmanaged funkcionalni ili service računi bez MFA zaštite i bez prethodnog legitimnog login obrasca.

Izvor: Proofpoint

Napadači ciljaju istaknute Rust maintainere u supply chain kampanji

Rust projekt upozorio je na aktualnu kampanju usmjerenu na članove projekta i vlasnike popularnih crateova. Napadači koriste uvjerljive ponude za posao, projekte i ugovore kako bi mete naveli na video poziv, a zatim pokušavaju instalirati malware ili navesti korisnika na izvršavanje naredbi s ciljem kompromitacije računa i objave zlonamjernih paketa.

Izvor: Rust Project

Lažni LastPass GitHub repozitoriji distribuiraju Rapuncel infostealer i EDR killer

Aktualna kampanja koristi SEO-optimizirane GitHub repozitorije koji se predstavljaju kao LastPass i deseci drugih poznatih softverskih tvrtki kako bi distribuirali novi Rapuncel infostealer. Kampanja također isporučuje Microsoft-signed kernel driver sposoban onesposobiti velik broj antivirusnih i EDR proizvoda.

Izvor: BleepingComputer

Sigurnosne Vijesti Novosti Security News HR

Sigurnosne vijesti tjedna [09/26-3]

Cisco ISE zero-day iskorištava se za zaobilaženje autentikacije
Cisco je objavio hitne zakrpe za CVE-2026-76460, ranjivost maksimalne ozbiljnosti u Identity Services Engineu i ISE Passive Identity Connectoru koja se iskorištavala kao zero-day. Propust s CVSS ocjenom 10 udaljenom napadaču omogućuje zaobilaženje autentikacije kroz ranjivi API endpoint i pristup pogođenim uređajima neovisno o njihovoj konfiguraciji.
Izvor: SecurityWeek
Issabel Framework RCE aktivno se iskorištava preko hard-coded JWT ključa
Napadači iskorištavaju CVE-2026-89026, kritičnu ranjivost u Issabel PBX Frameworku uzrokovanu JWT signing ključem koji je identičan na svim instalacijama. Udaljeni neautentificirani napadač može krivotvoriti valjane bearer tokene i izvršavati proizvoljne naredbe operacijskog sustava kroz PBX API.
Izvor: The Hacker News
Kritična ScreenConnect ranjivost sada je potvrđeno aktivno iskorištavana
CISA je potvrdila aktivnu eksploataciju CVE-2026-84869 u ConnectWise ScreenConnectu. Missing-authorization ranjivost napadaču s osnovnim privilegijama može omogućiti prijenos ili izvršavanje datoteka bez interakcije korisnika, a ConnectWise ju je zakrpao u verziji 26.6.5 i novijima.
Izvor: BleepingComputer
Google Pixel modem zero-day iskorištava se u ciljanim napadima
Google je zakrpao CVE-2026-58704 nakon što je zabilježio ograničenu ciljanu eksploataciju protiv Pixel uređaja. Ranjivost u modemu napadaču u blizini može omogućiti udaljenu eskalaciju privilegija bez interakcije korisnika, a CISA ju je naknadno dodala u Known Exploited Vulnerabilities katalog.
Izvor: SecurityWeek
Napadači ciljaju WSO2 API Manager krivotvorenim administratorskim tokenima
Aktivni pokušaji eksploatacije ciljaju CVE-2026-5430, kritičnu slabost u provjeri JWT potpisa u WSO2 API Manageru. Korištenjem nepodržanog algoritma za potpis napadači mogu zaobići autentikaciju i potencijalno dobiti pristup administratorskim računima ili potpuno preuzeti račun.
Izvor: The Hacker News
One-click Sogou RCE iskorištava se za instalaciju GRAYRABBIT backdoora
CVE-2026-51990 u široko korištenom Sogou Input Methodu povezuje slabosti u custom protocol handleru, webview navigaciji i zastarjelom Chromium engineu bez sandboxa u one-click RCE lanac. Gen Threat Labs zabilježio je da skupina UNC3569 aktivno koristi ranjivost za instalaciju GRAYRABBIT backdoora.
Izvor: Gen Threat Labs
Brevo supply chain kompromitacija ubacivala ClickFix skripte na korisničke stranice
Brevo je potvrdio da su napadači ukrali Cloudflare API ključ i iskoristili ga za postavljanje zlonamjernog Workera koji je mijenjao sadržaj na CDN edgeu. Kompromitacija je zahvatila Brevo stranice i JavaScript komponente ugrađene na stranice korisnika, gdje je približno pet i pol sati ubacivan ClickFix sadržaj za distribuciju malwarea.
Izvor: BleepingComputer
Artifactory napadi povezuju tri ranjivosti i instaliraju trajne backdoore
Wiz je zabilježio napadače koji povezuju CVE-2026-42016, CVE-2026-42018 i CVE-2026-82329 protiv JFrog Artifactoryja kako bi zaobišli autentikaciju, eskalirali privilegije i stekli administratorsku kontrolu. Post-exploitation aktivnost uključivala je izradu trajnih administratorskih računa, zlonamjerne Groovy plugine za izvršavanje koda i Rust backdoore.
Izvor: Wiz
Cyclops Blink ponovno pronađen na kompromitiranim Cisco Firewall Management Center uređajima
Istraživači su identificirali novu varijantu Cyclops Blink malwarea na više kompromitiranih Cisco Firewall Management Center sustava. Modularni Linux implant omogućuje trajni udaljeni pristup i procjenjuje se da je vjerojatno povezan s ruskom skupinom IRON VIKING, poznatom i kao Sandworm i Seashell Blizzard.
Izvor: Sophos
Passkey-themed social engineering dovodi do identity i cloud kompromitacije
Microsoft prati aktivne napade koji počinju social engineeringom usmjerenim na identitete, nakon čega napadači dodaju vlastite metode autentikacije i uspostavljaju trajni cloud pristup. Kompromitirani identiteti zatim se koriste za intenzivnu Microsoft Graph aktivnost, preuzimanje sadržaja iz SharePointa i OneDrivea, prikupljanje emailova i aktivnosti koje odgovaraju automatiziranoj eksfiltraciji podataka.
Izvor: Microsoft
Red Heron iskorištava Giteu za krađu izvornog koda i instalaciju Linux rootkita
Kineski govoreći threat actor Red Heron brzo je weaponizirao CVE-2026-60004 protiv internet-facing Gitea poslužitelja u više država. Kampanja je od krađe izvornog koda napredovala prema prikupljanju vjerodajnica, uspostavi trajnog pristupa i lateralnom kretanju, a analiza izložene napadačke infrastrukture otkrila je i prethodno nedokumentirani Linux implant.
Izvor: Acronis
Dva kritična lanca u The Events Calendar pluginu omogućuju WordPress RCE
Istraživači su objavili dva neovisna neautentificirana attack chaina u WordPress pluginu The Events Calendar. Prvi koristi PHP Object Injection za izvršavanje OS naredbi, dok drugi može resetirati administratorsku lozinku i omogućiti potpuno preuzimanje stranice instalacijom zlonamjernog plugina.
Izvor: Wordfence
Kritična Unbound DNSSEC ranjivost može dovesti do udaljenog izvršavanja koda
Sve Unbound verzije prije 1.26.1 sadrže CVE-2026-81642, kritični heap overflow u DNSSEC validatoru. Napadač koji kontrolira zlonamjernu DNS zonu može aktivirati ranjivost kroz upite koje obrađuje pogođeni resolver i potencijalno postići udaljeno izvršavanje koda.
Izvor: The Hacker News
Oracle rujanski security update zakrpao više od 800 ranjivosti
Oracleov rujanski Critical Security Patch Update donosi 673 nove zakrpe kojima se rješava više od 800 ranjivosti u različitim proizvodima. Više od 100 novozakrpanih problema ima kritičnu ozbiljnost, dok se više od 240 može prema dostupnim informacijama iskoristiti udaljeno bez autentikacije.
Izvor: SecurityWeek
Gyazo breach izložio 23,6 milijuna korisnika i stotine milijuna image zapisa
Image-sharing servis Gyazo objavio je breach koji je zahvatio približno 23,62 milijuna korisničkih zapisa, uključujući email adrese i hashirane lozinke. Incident je izložio i približno 490 milijuna metadata zapisa o slikama, uključujući identifikatore koji su se u pojedinim slučajevima mogli koristiti za neovlašteni pristup slikama.
Izvor: The Hacker News
Sigurnosne Vijesti Novosti Security News HR

Sigurnosne vijesti tjedna [09/26-2]

N-able N-central ranjivost maksimalne ozbiljnosti aktivno se iskorištava
Napadači aktivno iskorištavaju CVE-2026-86218, ranjivost za udaljeno izvršavanje koda maksimalne ozbiljnosti u N-able N-central platformi. Propust može omogućiti neautentificirani pristup RMM konzoli, nakon čega napadači mogu izvršavati skripte, distribuirati alate i otvarati udaljene sesije prema downstream endpointima kojima kompromitirani poslužitelj upravlja.
Izvor: BleepingComputer

Cisco Secure Firewall Management Center ranjivosti iskorištavaju se za root pristup
Cisco Talos prati aktivnu eksploataciju dvije ranjivosti u Secure Firewall Management Centeru. CVE-2026-20079, s CVSS ocjenom 10.0, udaljenom neautentificiranom napadaču omogućuje zaobilaženje autentikacije i izvršavanje skripti za dobivanje root pristupa, dok se CVE-2026-20316 može kombinirati s drugim ranjivostima za eskalaciju privilegija.
Izvor: Cisco Talos

Kritični NetScaler authentication bypass sada se aktivno iskorištava
CISA je potvrdila aktivnu eksploataciju CVE-2026-19490, kritične authentication bypass ranjivosti u NetScaler ADC i NetScaler Gateway uređajima konfiguriranima kao gateway ili AAA virtual server. Propust se može iskoristiti udaljeno bez autentikacije, što posebno ugrožava internet-facing VPN i remote access infrastrukturu.
Izvor: SecurityWeek

Više state-aligned skupina koristi BlueMoon lanac Chrome i Windows zero-dayeva
Proofpoint je identificirao više cyberespionage skupina koje koriste novi exploit kit nazvan BlueMoon, prvo zabilježen kod kineski povezane skupine TA412, a ubrzo zatim i kod drugih aktera. Lanac povezuje Chromium V8 ranjivost, sandbox escape i Windows kernel privilege escalation zero-day CVE-2026-85880 kako bi napadač izašao iz browser renderer procesa i kompromitirao ciljani sustav.
Izvor: Proofpoint

Adobe Commerce zero-day koristi se za postavljanje backdoora u online trgovine
Threat actori iskorištavaju dotad nepoznatu Adobe Commerce i Magento ranjivost nazvanu StyleSmuggler. Napad skriva PHP kod unutar style svojstava predložaka, a zatim koristi neuspjelu obradu plaćanja za njegovo izvršavanje i uspostavu prikrivenog trajnog pristupa poslužitelju.
Izvor: SecurityWeek

AI-assisted kampanja automatizira PaperCut eksploataciju u velikom opsegu
Istraživači su povezali iskorištavanje CVE-2026-81578 i CVE-2026-82078 u PaperCut NG/MF-u s infrastrukturom koja pokazuje AI-assisted workflow od istraživanja ranjivosti i razvoja exploita do pronalaska meta, izvođenja napada, analize neuspjeha i ponovljenih valova eksploatacije. Kampanja pokazuje kako AI može automatizirati veći dio kompletnog exploit workflowa.
Izvor: GreyNoise

Fortinet RCE iskorištava se za instalaciju PivotC2 RAT-a
Napadači iskorištavaju CVE-2025-25249, neautentificiranu RCE ranjivost u FortiOS-u i FortiSwitchManageru. Na kompromitirane uređaje postavlja se PivotC2, Node.js post-exploitation RAT koji omogućuje interaktivni shell, tuneliranje prometa, mrežno skeniranje i prikupljanje konfiguracija.
Izvor: SecurityWeek

ScreenConnect aktivnost povećava zabrinutost zbog nezakrpane file transfer ranjivosti
ConnectWise je objavio novu ScreenConnect ranjivost povezanu s file transfer funkcionalnošću u cloud i on-premises implementacijama te je u početku ponudio privremene mitigacije dok se pripremala zakrpa. Huntress je istodobno zabilježio sumnjive ScreenConnect instalacije na međusobno nepovezanim sustavima, uz obrazac koji bi mogao odgovarati worm-like aktivnosti.
Izvor: Huntress

Istraživači demonstrirali cross-account ChatGPT kanal za pristup Gmail podacima
Check Point Research opisao je komunikacijski kanal između inače izoliranih ChatGPT code-execution okruženja preko dijeljenih Artifactory metadata podataka. U demonstraciji su napadačeve instrukcije navele odvojenu sesiju žrtve da dohvaća informacije iz povezanog Gmail računa, bez neuobičajene aktivnosti vidljive u samom razgovoru.
Izvor: Check Point Research

Shai-Hulud npm supply chain malware ponovno se pojavio
Istraživači su 111 dana nakon prethodne velike npm kampanje ponovno otkrili Shai-Hulud, s malwareom koji odgovara ranijem @AntV napadu unatoč novim publish-time kontrolama. Ranije verzije ovog worma već su proširile pretragu vjerodajnica sa 189 na 469 lokacija u developer, CI/CD, cloud i AI konfiguracijama.
Izvor: Aikido Security

BigBear 2.0 zaobišao MFA u 258 Microsoft 365 organizacija
BigBear 2.0 phishing-as-a-service operacija navodno je kompromitirala 258 organizacija i prikupila više od 5.000 Microsoft 365 vjerodajnica. Evilginx2 adversary-in-the-middle infrastruktura presreće vjerodajnice i autentificirane session cookieje, čime napadači mogu preuzeti korisničke sesije i nakon uspješno odrađenog MFA postupka.
Izvor: BleepingComputer

Iz Liquid Networka izvučeno približno 320 milijuna dolara u Bitcoinu
Iz federation walleta koji podržava Liquid Network povučeno je približno 4.000 BTC-a, vrijednih oko 320 milijuna dolara. Akteri tvrde da su white-hat hakeri, ali incident predstavlja veliku kompromitaciju infrastrukture koju koriste burze i druge financijske institucije.
Izvor: The Register

Mathspace breach izložio podatke više od milijun ljudi
Edukacijska platforma Mathspace objavila je da su napadači ukrali podatke više od milijun učenika, roditelja i zaposlenika nakon kompromitacije internog Metabase reporting sustava. Platformu koriste tisuće škola u Australiji, Novom Zelandu, Sjedinjenim Državama i Ujedinjenom Kraljevstvu.
Izvor: BleepingComputer

Check Point zakrpao dvije kritične VPN certificate ranjivosti koje omogućuju neautentificirani RCE
Check Point je zakrpao dvije ranjivosti s CVSS ocjenom 9.8 u obradi VPN certifikata na Security Gateway i management proizvodima. Pod određenim uvjetima propusti mogu udaljenom neautentificiranom napadaču omogućiti izvršavanje koda, iako u trenutku objave nije bilo dokaza o njihovoj eksploataciji.
Izvor: The Hacker News

Ivanti zakrpao više kritičnih RCE ranjivosti u enterprise security proizvodima
Ivanti je objavio zakrpe za kritične ranjivosti u proizvodima Neurons for ITSM, Sentry i Endpoint Manager Mobile. Šest kritičnih problema u Neurons for ITSM-u može dovesti do udaljenog izvršavanja koda, uključujući missing authorization i unsafe deserialization propuste s CVSS ocjenama do 9.9.
Izvor: SecurityWeek

Security Blog

Imate ISO 27001 dokumentaciju. Ali provodite li je u praksi?

Jedno od prvih pitanja tijekom ISO 27001 GAP analize često je postoji li određena politika ili procedura. Dokument postoji, odobren je, ima vlasnika, verziju i datum posljednje izmjene. U njemu piše da se korisnički pristupi redovito pregledavaju, da se sigurnosni incidenti evidentiraju, da se backup testira i da se pristupi ukidaju kada zaposlenik napusti organizaciju. Na papiru sve izgleda dobro. Problem nastaje kada se postavi sljedeće pitanje: kada je posljednji put napravljen pregled korisničkih prava? Ako organizacija ne može pokazati kada je pregled proveden, tko ga je napravio i što je nakon njega promijenjeno, postojanje politike ne govori nam provodi li se proces koji ona opisuje.

To je jedna od važnijih razlika između ISO 27001 dokumentacije i ISMS-a koji stvarno funkcionira. Dokumentacija određuje pravila, ali provedba tih pravila mora biti vidljiva u stvarnom radu organizacije. Organizacija, primjerice, može imati dobro napisanu politiku prema kojoj se prava korisnika periodički pregledavaju, ali tijekom provjere otkrije se da je posljednji formalni pregled napravljen prije dvije godine. U međuvremenu su zaposlenici mijenjali radna mjesta, projekti su završavali, uvedene su nove aplikacije, a prava koja više nisu bila potrebna ostala su aktivna. Politika u tom slučaju nije nužno problem. Problem je razlika između onoga što je organizacija propisala i onoga što stvarno radi.

Isto vrijedi za druge dijelove ISMS-a. Procedura za upravljanje sigurnosnim incidentima može detaljno opisivati prijavu, klasifikaciju i eskalaciju incidenta, ali ako se sigurnosni događaji rješavaju kroz telefonske pozive i poruke bez ikakve evidencije, kasnije je teško pokazati kako je incident obrađen, koje su odluke donesene i jesu li iz njega proizašle neke promjene. Backup može biti uredno definiran internom procedurom i izvršavati se svake noći, a izvještaji mogu mjesecima pokazivati uspješno izvršavanje. To još uvijek nije isto što i dokaz da organizacija može vratiti sustav kada joj stvarno zatreba. Ako je posljednji restore test napravljen prije nekoliko godina ili nitko ne zna koliko bi trajao oporavak ključnog sustava, postoji razlika između dokaza da se backup izrađuje i dokaza da proces oporavka funkcionira. Kod dobavljača se isti problem pojavljuje na drugi način. Organizacija može imati proceduru prema kojoj se prije angažiranja dobavljača procjenjuju sigurnosni zahtjevi. Ako postoji samo popis dobavljača, ali nema traga o tome tko je procijenjen, prema kojim kriterijima i što je napravljeno kada je pronađen rizik, teško je zaključiti da se definirani proces stvarno provodi.

Zbog toga tijekom ISO 27001 GAP analize nije dovoljno pitati samo “imate li ovo?”. Treba pogledati što se iza toga stvarno događa. AresISEC kod takve analize ne promatra samo postoji li politika, procedura ili drugi dokument. Važno je utvrditi postoji li proces koji dokument opisuje i postoji li odgovarajući trag njegove provedbe. Taj trag ne mora uvijek biti novi dokument napravljen posebno zbog ISO 27001. Ako se pregled pristupa već provodi kroz postojeći IT sustav, dokaz može biti zapis tog pregleda i promjena koje su nakon njega napravljene. Ako se testira oporavak, to mogu biti rezultati testa. Ako se održava sigurnosna obuka, postojeći zapisi mogu pokazati kada je održana i tko je sudjelovao. Ako se dobavljači već procjenjuju u sklopu nabave, nema smisla stvarati paralelan proces samo kako bi postojao “ISO dokaz”.

To je posebno važno u organizacijama koje već imaju razvijene sigurnosne prakse. ISO 27001 implementacija ne bi trebala značiti da se postojeći način rada odbacuje i zamjenjuje hrpom novih Word i Excel dokumenata. Ako proces već postoji i funkcionira, prvo treba utvrditi zadovoljava li potrebe ISMS-a i može li se njegova provedba dokazati. Tek tada ima smisla određivati što treba promijeniti. Postoji i druga strana problema. Ako tijekom GAP analize određeni dokaz nije dostupan, to ne znači automatski da se aktivnost nikada nije provodila. Možda se provodi, ali se rezultati ne evidentiraju. Možda dokaz postoji u sustavu kojem osoba uključena u analizu nema pristup. Možda je proces neformalan i ovisi o jednoj osobi koja ga provodi godinama, ali nikada nije definiran na način koji bi organizaciji omogućio da ga pouzdano ponovi. Zato je važno razlikovati situaciju u kojoj kontrola nije implementirana od situacije u kojoj njezinu provedbu nije moguće potvrditi dostupnim dokazima.

Ta razlika nije važna samo zbog audita. Važna je samoj organizaciji. Ako sigurnosni proces funkcionira samo zato što jedna osoba zna što treba napraviti, organizacija ima problem čak i ako je ta osoba svaki put napravila sve ispravno. Ako nitko ne može utvrditi kada je posljednji put napravljen pregled pristupa, teško je znati je li sljedeći pregled zakasnio. Ako se incidenti ne evidentiraju, teško je kasnije prepoznati ponavljaju li se isti uzroci. Dokazi zato nisu administracija koju treba proizvoditi samo zbog certifikacijskog audita. Oni organizaciji omogućuju da zna provode li se vlastita pravila i daju li sigurnosne kontrole rezultat koji se od njih očekuje.

ISO/IEC 27001 upravo zato ne završava pisanjem politika. ISMS treba uspostaviti, provoditi, održavati i kontinuirano poboljšavati. Kada se ISO 27001 projekt previše usmjeri na izradu dokumentacije, vrlo je lako izgubiti tu razliku. Na kraju možete imati urednu mapu politika, procedura i registara, ali pitanje koje vrijedi postaviti ostaje vrlo jednostavno: možete li pokazati da ono što u njima piše stvarno radite?

Izvori:
ISO – ISO/IEC 27001:2022 Information security management systems

ISO – ISO/IEC TS 27008:2019 Guidelines for the assessment of information security controls

ISO – How to measure the effectiveness of information security

Imate ISO 27001 dokumentaciju, ali niste sigurni koliko se ona podudara sa stvarnim načinom rada organizacije?AresISEC ISO 27001 GAP analiza provjerava postojeće procese i dostupne dokaze kako bi utvrdila što već funkcionira, što nije moguće potvrditi i što još treba uspostaviti.
Zatražite ISO 27001 GAP analizu

AresISEC d.o.o. · Zagreb, Croatia · OIB: 49411602130

HR: Politika privatnosti | Uvjeti korištenja | Odgovorno prijavljivanje sigurnosnih ranjivosti

EN: Privacy Policy | Terms of Service | Responsible Disclosure

Facebook-f Linkedin Wpforms
ARESISEC Logo

© 2026 AresISEC

Scroll to top