Sigurnosne vijesti tjedna [05/26-1]

PAN-OS nulti dan pod aktivnom eksploatacijom daje root pristup firewallima
Palo Alto Networks upozorio je da se CVE-2026-0300 u PAN-OS Captive Portal komponenti aktivno iskorištava i omogućuje neautentificirano udaljeno izvršavanje koda s root ovlastima. Budući da pogađa internetom izložene firewalle, riječ je o jednom od najprioritetnijih problema ovog tjedna.
Izvor: Palo Alto Networks

cPanel ranjivost iskorištava se protiv državnih i MSP okruženja
Napadači su vrlo brzo nakon objave počeli iskorištavati CVE-2026-41940 u cPanel i WHM sustavima, ciljajući državne, vojne, hosting i managed service provider mreže. Propust omogućuje zaobilaženje prijave i napadačima daje povišenu kontrolu nad izloženim upravljačkim sučeljima.
Izvor: The Hacker News

DigiCert je opozvao lažno izdane certifikate nakon napada na support portal
DigiCert je opozvao certifikate do kojih su napadači došli nakon kompromitacije sustava putem zlonamjernog payloada dostavljenog support timu, a zatim i prodora u interni support portal. Incident je posebno važan jer uključuje EV Code Signing certifikate i pokazuje slabosti u internim procesima povjerenja.
Izvor: SecurityWeek

Copy Fail Linux root propust prešao je iz objave u stvarnu eksploataciju
CVE-2026-31431, poznat kao Copy Fail, već je dodan u CISA KEV katalog nakon opažene ograničene eksploatacije u stvarnim napadima. Propust pogađa Linux sustave u više glavnih distribucija i lokalnim napadačima može omogućiti podizanje ovlasti do root razine.
Izvor: SecurityWeek

Vendor je potvrdio supply chain napad na DAEMON Tools
DAEMON Tools Lite potvrdio je neovlašteno zadiranje u svoju infrastrukturu nakon što su trojanizirani instaleri distribuirani s legitimne stranice. Riječ je o klasičnom supply chain incidentu jer su digitalno potpisani instalacijski paketi pouzdanog proizvođača pretvoreni u kanal za isporuku malwarea.
Izvor: DAEMON Tools

Službeni SAP npm paketi kompromitirani su u TeamPCP supply chain napadu
Više službenih SAP CAP i Cloud MTA npm paketa kompromitirano je zlonamjernim kodom koji preuzima i izvršava neprovjerene binarne datoteke. Budući da se ti paketi koriste u stvarnim developerskim i CI/CD procesima, incident izravno ugrožava vjerodajnice, tokene i build okruženja.
Izvor: Socket

Zloupotreba AI supply chaina pogađa Hugging Face i OpenClaw ekosustave
Acronis je izvijestio o aktivnoj zloupotrebi AI platformi poput Hugging Facea i OpenClawa te identificirao više od 575 zlonamjernih skillova unutar OpenClaw ekosustava. Kampanja pokazuje kako napadači koriste povjerenje u AI alate i workflowe za distribuciju malwarea bez oslanjanja samo na klasični phishing.
Izvor: Acronis

Trellix je potvrdio proboj u repozitorij izvornog koda
Trellix je objavio da je dio njegova repozitorija izvornog koda bio predmet neovlaštenog pristupa i da istraga još traje uz podršku forenzičkih stručnjaka. Iako tvrtka navodi da zasad nema dokaza o utjecaju na release ili distribucijske procese, riječ je o važnom incidentu jer pogađa velikog sigurnosnog proizvođača.
Izvor: Trellix

Microsoft je opisao veliku code of conduct phishing kampanju s krađom AiTM tokena
Microsoft je opisao veliku phishing kampanju koja koristi mamce povezane s pravilima ponašanja, višefaznu isporuku i legitimne email servise za krađu vjerodajnica i sesijskih tokena. Kampanja je ciljala desetke tisuća korisnika i pokazuje koliko je enterprise stil phishinga postao uvjerljiviji i sofisticiraniji.
Izvor: Microsoft Security Blog

Zloupotreba Google AppSheeta povezana je s kompromitacijom 30.000 Facebook računa
Istraživači su pratili phishing operaciju koja je koristila Google AppSheet za slanje autentificiranih poruka i kompromitaciju više od 30.000 Facebook računa. Kampanja se istaknula time što je zloupotrijebila pouzdanu Google infrastrukturu radi bolje isporuke i zaobilaženja uobičajenih email provjera povjerenja.
Izvor: Guardio

Breeze Cache WordPress dodatak nalazi se pod aktivnom eksploatacijom
Napadači aktivno iskorištavaju kritičan propust za učitavanje proizvoljnih datoteka u Breeze Cache dodatku za WordPress. Uz stotine tisuća aktivnih instalacija i mogućnost udaljenog izvršavanja koda, riječ je o propustu koji je vrlo brzo prešao iz objave u široku napadačku aktivnost.
Izvor: Wordfence

MetInfo CMS RCE propust iskorištava se u stvarnim napadima
Napadači iskorištavaju CVE-2026-29014, kritičan neautentificiran PHP code injection propust u MetInfo CMS-u. Ranjivost omogućuje udaljeno izvršavanje koda putem posebno oblikovanih zahtjeva i već je privukla stvarnu napadačku aktivnost.
Izvor: The Hacker News

Kritičan Ollama propust može izložiti 300.000 AI implementacija krađi tajni
Kritična ranjivost u Ollami može udaljenim neautentificiranim napadačima omogućiti izvlačenje promptova, poruka, API ključeva i drugih tajni iz približno 300.000 izloženih implementacija. Budući da se Ollama široko koristi kao self hosted inference engine, problem izravno pogađa stvarna enterprise AI okruženja, a ne samo testne instalacije.
Izvor: SecurityWeek

Talos je razotkrio kineski APT UAT-8302 i njegov arsenal malwarea
Cisco Talos opisao je UAT-8302 kao APT skupinu povezanu s Kinom, fokusiranu na stjecanje i održavanje dugotrajnog pristupa državnim i povezanim organizacijama. Skupina koristi krađu vjerodajnica, open source alate i vlastiti malware te pokazuje tehnička preklapanja s drugim sofisticiranim kineskim prijetnjama.
Izvor: Cisco Talos

Kritični vm2 sandbox escape propusti omogućuju izvršavanje koda na hostu
Kritični propusti u vm2 Node.js sandbox biblioteci omogućuju napadačima bijeg iz sandboxa i izvršavanje koda na host sustavu. Problem je posebno važan zato što se vm2 često koristi upravo za pokretanje nepouzdanog JavaScripta, pa propust pogađa samu sigurnosnu granicu na koju se organizacije oslanjaju.
Izvor: GitHub Security Advisories

Sigurnosne vijesti tjedna [04/26-4]

Kritičan cPanel i WHM propust zaobilaženja prijave traži hitnu ručnu nadogradnju
Kritičan cPanel i WHM propust označen kao CVE-2026-41940 može napadačima omogućiti pristup upravljačkoj ploči bez autentifikacije. Zakrpa traži ručno dohvaćanje ispravljene verzije, pa su javno izložena hosting okruženja hitan prioritet.
Izvor: BleepingComputer

Microsoft potvrdio aktivnu eksploataciju Windows Shell propusta CVE-2026-32202
Microsoft je ažurirao upozorenje i označio CVE-2026-32202 kao ranjivost koja se aktivno iskorištava u stvarnim napadima. Problem proizlazi iz nepotpune zakrpe ranijeg lanca eksploatacije i može prisiliti sustav na autentifikaciju te otkriti osjetljive informacije kroz zlonamjerne LNK datoteke.
Izvor: The Hacker News

Službeni SAP CAP i Cloud MTA npm paketi kompromitirani u supply chain napadu
Više službenih SAP npm paketa povezanih s CAP i Cloud MTA ekosustavom kompromitirano je zlonamjernom preinstall rutinom koja preuzima i pokreće Bun te snažno zamagljen payload. Budući da se ti paketi koriste u stvarnim developerskim i CI/CD procesima, incident izravno ugrožava tokene, vjerodajnice i enterprise build okruženja.
Izvor: Socket

WordPress dodatak Quick Page Post Redirect godinama je skrivao uspavani backdoor
Istraživači su otkrili da je dodatak Quick Page Post Redirect još od 2021. sadržavao skriveni backdoor koji pogađa više od 70.000 WordPress stranica. Kod je operateru omogućavao ubacivanje proizvoljnog sadržaja ili koda, dok je istodobno ostajao nevidljiv prijavljenim administratorima, što ovaj slučaj pretvara u dugotrajnu supply chain kompromitaciju.
Izvor: BleepingComputer

Qinglong propusti za udaljeno izvršavanje koda iskorištavaju se za cryptomining
Napadači iskorištavaju propuste zaobilaženja autentifikacije u Qinglongu kako bi dobili neautentificirano udaljeno izvršavanje koda i postavili .fullgc cryptominer na izložene poslužitelje. Slučaj je važan zato što je popularan developerski alat s velikom rasprostranjenošću vrlo brzo prešao iz objavljenog propusta u stvarnu zloupotrebu, uz vrlo malo vidljivosti izvan kineskog jezičnog prostora.
Izvor: Snyk

Hugging Face LeRobot PolicyServer izložen je neautentificiranom RCE napadu
CVE-2026-25874 pogađa LeRobot PolicyServer jer preko gRPC sučelja deserijalizira nepouzdane pickle podatke. Neautentificirani napadač koji može dohvatiti servis može izvršavati proizvoljne naredbe operativnog sustava na sustavima koji mogu imati pristup GPU resursima, robotskom hardveru i povlaštenim internim mrežama.
Izvor: Resecurity

UAT-4356 i dalje cilja Cisco Firepower uređaje pomoću FIRESTARTER backdoora
Cisco Talos navodi da UAT-4356 i dalje iskorištava ranije poznate propuste na Firepower FXOS uređajima i postavlja FIRESTARTER backdoor. Implant može pokretati proizvoljan shellcode unutar LINA procesa, što još jednom potvrđuje da su perimetarski uređaji meta visoke vrijednosti za špijunažu i dugotrajnu prisutnost.
Izvor: Cisco Talos

Akteri povezani s Kinom koriste skrivene mreže kompromitiranih rubnih uređaja
CISA i partnerske agencije upozorile su da akteri povezani s Kinom strateški koriste velike skrivene mreže sastavljene od kompromitiranih routera i drugih rubnih uređaja. Takve mreže podržavaju cijeli lanac napada, od izviđanja do eksfiltracije, te su osmišljene tako da budu jeftine, odvojive od počinitelja i teške za blokiranje statičkim indikatorima.
Izvor: CISA

GopherWhisper koristi Slack, Discord i Outlook u kineski usmjerenoj špijunaži
ESET je objavio detalje o dosad nepoznatoj skupini GopherWhisper povezanoj s Kinom koja je ciljala državnu instituciju u Mongoliji alatima većinom pisanima u Gou. Skupina je zloupotrebljavala Slack, Discord, Outlook i servise za dijeljenje datoteka za upravljanje i eksfiltraciju, čime se zlonamjeran promet lakše uklapao u legitimne cloud aktivnosti.
Izvor: ESET

Vercel pronašao dodatne kompromitirane račune u incidentu povezanom s Context.ai
Vercel navodi da je proširena istraga otkrila dodatne kompromitirane korisničke račune povezane s travanjskim incidentom. Tvrtka tvrdi da je upad započeo kompromitacijom u Context.ai, nakon čega je napadač preko računa jednog zaposlenika uspio pristupiti neosjetljivim varijablama okruženja.
Izvor: Vercel

Bitwarden CLI kompromitiran je u tekućoj Checkmarx supply chain kampanji
Zlonamjerni paket @bitwarden/cli 2026.4.0 sadržavao je logiku za krađu vjerodajnica i daljnje širenje povezanu sa širom Checkmarx kampanjom. Iako je problem bio ograničen na npm CLI paket, tijekom uobičajene instalacije ugrozio je developerske tajne, CI artefakte i cloud vjerodajnice.
Izvor: Socket

Device code phishing skočio je na više od 7 milijuna napada u četiri tjedna
Barracuda navodi da je device code phishing premašio 7 milijuna napada u samo četiri tjedna, uglavnom zahvaljujući kitu EvilTokens. Tehnika zloupotrebljava legitimne OAuth prijavne tokove za uređaje i napadačima daje trajan odobren pristup bez oslanjanja isključivo na klasične lažne stranice za prijavu.
Izvor: Barracuda

BlackFile je povezan s vishing iznudama usmjerenima na maloprodaju i ugostiteljstvo
BlackFile je povezan s krađom podataka i iznudama koje započinju telefonskim pozivima u kojima se napadači lažno predstavljaju kao interna IT podrška. Kampanje ciljaju maloprodajne i ugostiteljske organizacije, kradu vjerodajnice i jednokratne kodove, a zatim prelaze na višemilijunske ucjene.
Izvor: BleepingComputer

Coinbase Cartel gradi kampanju iznude protiv više od 100 tvrtki na ukradenim infostealer vjerodajnicama
Hudson Rock navodi da je Coinbase Cartel već preuzeo odgovornost za više od 100 žrtava, pri čemu se oslanja na stare infostealer vjerodajnice umjesto na nove exploite ili klasičan ransomware. Skupina cilja cloud okruženja, FTP sustave i servise za prijenos datoteka te se oslanja na čistu krađu podataka i iznudu umjesto enkripcije.
Izvor: InfoStealers

GlassWorm je aktivirao 73 Open VSX sleeper ekstenzije
Socket navodi da se GlassWorm kampanja proširila na 73 imitacijske ekstenzije na Open VSX tržištu, od kojih su neke kasnije aktivirane kao vozila za isporuku malwarea. Taj obrazac je važan zato što ekstenzije u početku mogu izgledati benigno, steći povjerenje, a zatim iskoristiti uobičajeni put nadogradnje ili transitive odnose među ekstenzijama za isporuku zlonamjernog sadržaja.
Izvor: Socket

Sigurnosne vijesti tjedna [04/26-3]

Vercel je otkrio dodatne kompromitirane račune u incidentu povezanom s Context.ai
Vercel je objavio da je tijekom proširene istrage otkrio dodatni skup pogođenih korisničkih računa nakon pregleda novih indikatora kompromitacije i pristupa varijablama okruženja. Incident je krenuo od kompromitacije povezane s Context.ai i pokazuje kako izloženost kroz identitete i OAuth aplikacije treće strane može prerasti u problem za cijelu cloud platformu.
Izvor: Vercel

Bitwarden CLI kompromitiran u tekućoj Checkmarx supply chain kampanji
Zlonamjerni npm paket kratko je bio distribuiran kao @bitwarden/cli verzija 2026.4.0 i sadržavao je logiku za krađu vjerodajnica te širenje prema CI okruženjima. Bitwarden navodi da je utjecaj ograničen na taj kompromitirani CLI release te da nema dokaza o kompromitaciji korisničkih vault podataka ili produkcijskih sustava.
Izvor: JFrog

Kina koristi skrivene mreže sastavljene od kompromitiranih rubnih uređaja
CISA i NCSC upozorili su da akteri povezani s Kinom sve češće koriste covert mreže sastavljene od kompromitiranih routera i drugih rubnih uređaja za izviđanje, isporuku, upravljanje i eksfiltraciju podataka. Upozorenje naglašava jeftin i lako prilagodljiv infrastrukturni model koji brzo mijenja oblik i time slabi vrijednost statičnog blokiranja.
Izvor: CISA

UAT 4356 nastavlja ciljati Cisco Firepower uređaje pomoću FIRESTARTER backdoora
Cisco Talos izvijestio je o nastavku aktivnosti protiv Firepower uređaja koji koriste FXOS, pri čemu UAT 4356 iskorištava n day ranjivosti i postavlja FIRESTARTER backdoor. Time mrežni perimetarski uređaji postaju izravna meta za špijunažu i dugotrajnu prisutnost napadača.
Izvor: Cisco Talos

Breeze Cache WordPress dodatak aktivno se iskorištava za učitavanje datoteka
Napadači aktivno iskorištavaju kritičan propust u Breeze Cache dodatku koji omogućuje neautentificirano učitavanje datoteka i može dovesti do udaljenog izvršavanja koda na ranjivim WordPress stranicama. Za iskorištavanje mora biti uključena određena opcija dodatka, ali prijelaz s objave propusta na stvarne napade ovu temu stavlja u hitan prioritet.
Izvor: BleepingComputer

Marimo RCE dodan je u KEV dok se eksploatacija nastavlja
CISA je dodala CVE-2026-39987 u marimu u Known Exploited Vulnerabilities katalog nakon što su napadači prešli s objave na eksploataciju unutar samo nekoliko sati. Propust omogućuje udaljeno izvršavanje koda bez autentifikacije na izloženim notebook instancama, a već je povezan i s daljnjom malware aktivnošću.
Izvor: CISA

BRIDGE:BREAK propusti izlažu serial to IP pretvarače u OT i zdravstvenim sustavima
Istraživači su objavili 22 ranjivosti u Lantronix i Silex serial to IP pretvaračima te identificirali tisuće javno izloženih uređaja. Budući da ti uređaji često povezuju starije serijske sustave s modernim mrežama, kompromitacija može omogućiti manipulaciju podacima, lateralno kretanje i prekide rada u OT i zdravstvenim okruženjima.
Izvor: Forescout

Void Dokkaebi pretvara lažne razgovore za posao u napade na developerski lanac opskrbe
Trend Micro navodi da skupina Void Dokkaebi povezana sa Sjevernom Korejom i dalje koristi lažne recruiterske procese kako bi navela developere na pokretanje zlonamjernih repozitorija. Važan pomak je to što jedno kompromitirano developersko računalo može postati polazište za trovanje internih repozitorija i daljnje širenje kroz legitimne doprinose kodu.
Izvor: Trend Micro

GopherWhisper zloupotrebljava Slack, Discord i Outlook u napadima na Mongoliju
ESET je objavio detalje o dosad nepoznatoj skupini povezanoj s Kinom pod nazivom GopherWhisper koja cilja mongolske državne institucije. Akteri koriste alatni skup pisan u Gou i legitimne cloud servise poput Slacka, Discorda, Outlooka i file.io za upravljanje i eksfiltraciju, čime zlonamjerni promet lakše stapaju s normalnim radom sustava.
Izvor: ESET

Device code phishing dosegao je 7 milijuna napada u četiri tjedna
Barracuda navodi da je u samo četiri tjedna zabilježila više od 7 milijuna device code phishing napada, što pokazuje brz rast OAuth preuzimanja računa. Tehnika zloupotrebljava legitimne tokove prijave za uređaje kako bi napadač dobio trajno odobren pristup bez klasične krađe i ponovne upotrebe lozinke.
Izvor: Barracuda

Kritičan propust u protobuf.js omogućuje izvršavanje JavaScript koda
Javno je objavljen proof of concept za kritičan protobuf.js propust koji može dovesti do izvršavanja JavaScript koda zbog nesigurnog dinamičkog generiranja koda. Budući da se biblioteka široko koristi u Node.js aplikacijama i cloud okruženjima, potencijalni doseg problema znatno je širi od tipične ranjivosti u jednom paketu.
Izvor: BleepingComputer

Kritičan SGLang RCE omogućuje izvršavanje koda kroz zlonamjerne GGUF modele
Kritična ranjivost označena kao CVE-2026-5760 može omogućiti udaljeno izvršavanje koda na SGLang sustavima kroz posebno pripremljene GGUF model datoteke. Problem je važan zato što je SGLang popularan sloj za posluživanje LLM i multimodalnih radnih opterećenja, pa izravno pogađa AI infrastrukturu.
Izvor: The Hacker News

Lotus Wiper cilja energetski i komunalni sektor u Venezueli
Kaspersky je opisao destruktivnu kampanju koja koristi dosad nepoznati wiper pod nazivom Lotus Wiper protiv energetskog i komunalnog sektora u Venezueli. Lanac napada uključuje skripte koje pripremaju okruženje, slabe obranu i koordiniraju završnu destruktivnu fazu kroz mrežu.
Izvor: Kaspersky

ZionSiphon pokazuje OT fokus na izraelske vodne sustave
Darktrace je analizirao ZionSiphon, skup OT malware alata osmišljen za ciljanje izraelskih sustava za obradu vode i desalinizaciju. Kombinacija perzistencije, USB širenja, ICS skeniranja i logike za sabotažu povezanih s kontrolama klora i tlaka čini ga posebno važnim izvan uobičajenih IT malware priča.
Izvor: Darktrace

Akteri nadzora iskorištavaju mobilnu signalling infrastrukturu telekoma
Citizen Lab je otkrio dvije telecom nadzorne kampanje i povezao stvarni napadački promet s mobilnom signalling infrastrukturom operatora. Izvješće pokazuje kako sumnjivi komercijalni pružatelji nadzora mogu zloupotrebljavati telecom interconnect sustave za prikriveno praćenje lokacije koje može trajati godinama bez jasne vidljivosti za branitelje ili korisnike.
Izvor: Citizen

Sigurnosne vijesti tjedna [04/26-2]

Adobe zakrpao Reader nulti dan iskorištavan mjesecima
Adobe je izdao hitne zakrpe za CVE-2026-34621 nakon potvrde da se propust aktivno iskorištavao više mjeseci. Ranjivost može dovesti do udaljenog izvršavanja koda kada žrtva otvori zlonamjerni PDF, a pogađa Acrobat i Reader na Windows i macOS sustavima.
Izvor: SecurityWeek

Microsoft zakrpao SharePoint nulti dan i još 168 novih ranjivosti
Microsoftov travanjski Patch Tuesday ispravio je 169 ranjivosti, uključujući aktivno iskorištavani SharePoint propust CVE-2026-32201. Uvrštavanje u KEV katalog pokazuje da je riječ o prioritetnom problemu unatoč nižoj ocjeni ozbiljnosti od mnogih drugih ranjivosti iz istog ciklusa zakrpa.
Izvor: The Hacker News

Cisco zakrpao kritične ISE i Webex propuste koji traže hitnu reakciju
Cisco je ispravio kritične ranjivosti u Identity Services Engineu i Webex Servicesu koje mogu omogućiti izvršavanje koda ili neautentificirano lažno predstavljanje korisnika. Za Webex propust korisnici moraju napraviti dodatne korake sanacije i ne mogu se osloniti samo na Cisco pozadinsku zakrpu.
Izvor: SecurityWeek

Backdoor u Smart Slider 3 Pro dodatku distribuiran kroz službeni kanal nadogradnje
Napadači su kompromitirali Nextendovu infrastrukturu za nadogradnje i distribuirali trojaniziranu verziju Smart Slider 3 Pro dodatka za WordPress i Joomla stranice. Zlonamjerna verzija dodala je backdoor mehanizme, skriveni administratorski pristup i perzistenciju, pa je obična nadogradnja postala supply chain incident.
Izvor: Patchstack

CPUID stranica posluživala malware kroz CPU Z i HWMonitor preuzimanja
Napadači su zloupotrijebili CPUID infrastrukturu za preuzimanje i korisnike CPU Z i HWMonitor alata preusmjeravali na trojanizirane datoteke. Budući da je zlonamjerni sadržaj dolazio sa službene stranice, incident pokazuje koliko su pouzdani softverski portali i dalje privlačna supply chain meta.
Izvor: BleepingComputer

Iranski akteri ciljaju internetom izložene Rockwell i Allen Bradley PLC uređaje
Zajedničko američko upozorenje navodi da iranski povezani akteri iskorištavaju internetom izložene OT sustave, posebno Rockwell Automation i Allen Bradley PLC uređaje. Aktivnost je povezana s ometanjem rada i manipulacijom industrijskim upravljačkim okruženjima, a ne samo s izviđanjem.
Izvor: CISA

Marimo pre auth RCE prešao je iz objave u eksploataciju unutar nekoliko sati
CVE-2026-39987 u marimu iskorišten je unutar nekoliko sati nakon javne objave, a kasnije je korišten i za isporuku NKAbuse malwarea kroz Hugging Face infrastrukturu. Propust omogućuje neautentificirano udaljeno izvršavanje koda na izloženim notebook instancama.
Izvor: Sysdig

Fortinet FortiClient EMS nulti dan dodan u KEV nakon aktivne eksploatacije
Fortinet je hitno izdao zakrpe za CVE-2026-35616 nakon što je potvrđena aktivna eksploatacija u stvarnim napadima. Propust pogađa FortiClient EMS i može dovesti do udaljenog izvršavanja koda bez autentifikacije, što izložene upravljačke poslužitelje čini neposrednim rizikom.
Izvor: SecurityWeek

AI omogućeni device code phishing gura OAuth zloupotrebu na veću skalu
Microsoft je uočio automatiziranu device code phishing kampanju koja koristi dinamičko generiranje koda i automatizaciju procesa za veći uspjeh napada i širu zloupotrebu OAuth device toka. Kampanja pokazuje kako napadači tehniku koja je ranije bila uža pretvaraju u ponovljiv obrazac za preuzimanje računa u velikom opsegu.
Izvor: Microsoft Security Blog

Napadači love ključne Node.js održavatelje nakon Axios kompromitacije
Istraživanja nakon Axios incidenta upućuju na širu kampanju usmjerenu na pouzdane Node.js i npm održavatelje kroz ciljane metode društvenog inženjeringa. Rizik se ne zaustavlja na jednom paketu jer kompromitirani račun održavatelja može progurati zlonamjeran kod u široko korištene ovisnosti i razvojne procese.
Izvor: Socket

Sigurnosne vijesti tjedna [04/26-1]

Adobe Reader nulti dan iskorištavan mjesecima kroz zlonamjerne PDF datoteke
Istraživači navode da se zlonamjerni PDF koristi za iskorištavanje Adobe Reader nultog dana najmanje od prosinca, uključujući i sustave koji su bili ažurirani. Dokument pritom prikuplja podatke o okruženju, zloupotrebljava privilegirane Acrobat API pozive za krađu lokalnih podataka i može poslužiti kao uvod u daljnje izvršavanje koda ili bijeg iz sandboxa.
Izvor: BleepingComputer

Smart Slider 3 Pro kompromitiran kroz službeni kanal nadogradnje
Napadači su kompromitirali Nextendovu infrastrukturu za nadogradnje i kroz službeni kanal distribuirali trojaniziranu verziju dodatka Smart Slider 3 Pro za WordPress i Joomla stranice. Svaku stranicu koja je nadograđena na verziju 3.5.1.35 treba smatrati potencijalno kompromitiranom jer je zlonamjerna verzija instalirala više backdoor mehanizama, a nije se radilo samo o običnoj ranjivosti.
Izvor: Patchstack

Fortinet hitno zakrpao aktivno iskorištavan FortiClient EMS nulti dan
Fortinet je izdao hitne zakrpe za CVE-2026-35616 u FortiClient EMS proizvodu nakon potvrde aktivne eksploatacije u stvarnim napadima. Riječ je o kritičnom neautentificiranom propustu kontrole pristupa koji putem posebno oblikovanih zahtjeva može dovesti do udaljenog izvršavanja koda.
Izvor: SecurityWeek

Iranski akteri ciljaju Rockwell i Allen Bradley PLC uređaje
Američke agencije upozorile su da iranski povezani akteri aktivno ciljaju internetom izložene Rockwell Automation i Allen Bradley PLC uređaje unutar kritične infrastrukture. Aktivnost uključuje neovlašten pristup inženjerskim projektima i manipulaciju HMI ili SCADA podacima, a upozorenje te upade povezuje s operativnim prekidima i financijskim gubicima.
Izvor: Censys

Google upozorava na UNC6783 napade preko BPO pružatelja usluga
Google navodi da UNC6783 cilja pružatelje BPO usluga i help desk timove koji rade za tvrtke visoke vrijednosti, a zatim taj pristup koristi za krađu podataka njihovih klijenata. Kampanja se oslanja na social engineering i phishing, uključujući krađu support ticketa i identitetskih podataka koji se potom mogu koristiti za iznudu ili daljnji pristup.
Izvor: SecurityWeek

Napadači šire social engineering kampanju na ključne Node.js održavatelje
Socket je izvijestio da ista social engineering operacija koja je stajala iza kompromitacije Axiosa sada cilja i druge važne Node.js i npm održavatelje. Problem nije samo jedan incident s paketom nego obrazac napada usmjeren na račune visokog povjerenja koji mogu progurati zlonamjeran kod u široko korištene ovisnosti.
Izvor: Socket

React2Shell iskorišten za masovnu krađu vjerodajnica iz Next.js aplikacija
Talos je UAT-10608 opisao kao veliku automatiziranu operaciju krađe vjerodajnica koja iskorištava React2Shell u ranjivim Next.js aplikacijama. Nakon početnog pristupa napadači prikupljaju vjerodajnice, SSH ključeve, cloud tokene i tajne iz okruženja, čime svaku kompromitaciju pretvaraju u detaljnu kartu šire infrastrukture žrtve.
Izvor: Cisco Talos

Device code phishing naglo raste kako se novi kitovi šire internetom
Device code phishing snažno raste jer napadači zloupotrebljavaju OAuth device authorization tijek kako bi naveli korisnike da odobre sesije pod kontrolom napadača na legitimnim stranicama za prijavu. Novi kitovi ovu tehniku guraju prema široj kriminalnoj upotrebi jer ukradeni tokeni mogu zaobići klasično presretanje lozinki i produljiti pristup računu i nakon početnog phishing događaja.
Izvor: BleepingComputer

U Apache ActiveMQu zakrpan RCE propust star 13 godina
Apache ActiveMQ Classic zakrpao je CVE-2026-34197, RCE propust u Jolokia komponenti koji je u kodu postojao 13 godina. U nekim verzijama on može postati praktično neautentificiran kada se spoji s drugim propustom izloženosti, pa se administratorska funkcija pretvara u internetski dostupan put za izvršavanje koda.
Izvor: Horizon3.ai

Storm 1175 dodatno skraćuje vrijeme za obranu od Medusa ransomware napada
Microsoft navodi da Storm 1175 vrlo brzo iskorištava novootkrivene ranjivosti na webom izloženim sustavima kako bi isporučio Medusa ransomware, ponekad unutar 24 sata od početnog pristupa. Fokus grupe na kratki vremenski prozor nakon objave propusta znači da izloženi rubni sustavi mogu prijeći od N day izloženosti do eksfiltracije i enkripcije prije nego što uobičajeni obrambeni procesi stignu reagirati.
Izvor: Microsoft Security Blog

Sigurnosne vijesti dana [26/03/26]

Kineski hakeri otkriveni duboko u telekom backbone infrastrukturi
Istraživači su otkrili kineskog državnog aktera koji je implementirao kernel implantate i pasivne backdoorove unutar globalne telekomunikacijske backbone infrastrukture radi dugotrajne prisutnosti. Operacija nije povezana s poznatim APT skupinama, a cilj joj je visoko razinsko špijuniranje i dugoročni pristup kritičnim sustavima.
Izvor: SecurityWeek

ShadowPrompt ranjivost omogućuje preuzimanje kontrole nad Claude Chrome ekstenzijom
Ranjivost u Claude Chrome ekstenziji omogućila je bilo kojoj web stranici da neprimjetno ubaci upute AI asistentu bez interakcije korisnika. Kombinacija preširoke origin allow liste i DOM XSS propusta omogućuje izvršavanje proizvoljnih naredbi s privilegijama korisnika.
Izvor: Koi AI

Citrix upozorava na kritične NetScaler ranjivosti s mogućnošću krađe sesijskih tokena
Citrix je objavio zakrpe za ranjivost CVE-2026-3055 koja može omogućiti neautentificiranim napadačima krađu osjetljivih podataka poput session tokena. Ranjivost je slična prethodnim CitrixBleed propustima i zahtijeva hitno ažuriranje sustava.
Izvor: BleepingComputer

GlassWorm malware skriva RAT unutar zlonamjerne Chrome ekstenzije
GlassWorm kampanja koristi višefazni napad za instalaciju trajnog RAT-a koji uključuje zlonamjernu Chrome ekstenziju maskiranu kao Google Docs Offline. Malware prikuplja tipkanje, kolačiće, tokene sesije i snimke zaslona te komunicira s C2 serverom skrivenim u blockchainu.
Izvor: Aikido Security

Kritične GitLab ranjivosti omogućuju impersonaciju aplikacija i curenje AI tokena
GitLab je objavio sigurnosno ažuriranje koje rješava više ranjivosti visokog rizika, uključujući propuste koji omogućuju impersonaciju aplikacija, neautorizirane naredbe i DoS napade. Poseban rizik predstavlja mogućnost kompromitacije AI tokena i integriteta računa.
Izvor: SecurityOnline

Sigurnosne vijesti dana [24/03/26]

Izvješće IT ISAC-a za 2025. otkriva ključne prijetnje IT sektoru
Izvješće IT ISAC-a daje pregled glavnih kibernetičkih prijetnji usmjerenih na IT sektor te naglašava važnost razmjene obavještajnih podataka između organizacija. Analiza uključuje pregled prijetnji, tehnika napada i mjera zaštite s ciljem jačanja otpornosti kritične infrastrukture.
Izvor: IT-ISAC

Zlonamjerni npm paketi koriste lažne install logove za isporuku RAT-a
Kampanja povezana sa Sjevernom Korejom cilja developere putem lažnih ponuda za posao i testova kodiranja, koristeći npm pakete koji instaliraju remote access trojance. Napad se oslanja na socijalni inženjering za kompromitaciju razvojnih okruženja.
Izvor: ReversingLabs

GhostClaw kampanja širi se na GitHub i AI workflowe
GhostClaw malware kampanja proširila se s npm paketa na GitHub repozitorije i AI workflowe, ciljajući macOS sustave. Istraživači su otkrili nove vektore infekcije i infrastrukturu, što ukazuje na rastuću sofisticiranost napada.
Izvor: Jamf

Tycoon2FA phishing platforma brzo se oporavila nakon policijske akcije
Phishing as a service platforma Tycoon2FA nastavila je s radom ubrzo nakon koordinirane akcije policije. Unatoč zapljeni domena, operacije su se vratile na prethodnu razinu aktivnosti u samo nekoliko dana.
Izvor: BleepingComputer

Kritična Cisco ranjivost aktivno se iskorištava u napadima
Ranjivost CVE-2026-20131 u Cisco Secure Firewall Management Center omogućuje neautentificiranim napadačima izvođenje koda i stjecanje root privilegija. Ranjivost je aktivno iskorištavana i dodana je u CISA KEV katalog, što zahtijeva hitno otklanjanje.
Izvor: Zscaler ThreatLabz

Sigurnosne vijesti dana [19/03/26]

Tvrtka Aura prijavila povredu podataka koja je zahvatila 900 tisuća zapisa
Sigurnosna tvrtka Aura prijavila je povredu podataka uzrokovanu vishing napadom na zaposlenika, pri čemu su napadači imali pristup računu oko sat vremena. Tvrtka je nakon otkrivanja odmah prekinula pristup, aktivirala plan odgovora na incident i uključila vanjske stručnjake te nadležna tijela.
Izvor: SecurityWeek

Apple ispravio WebKit ranjivost koja omogućuje zaobilaženje same origin politike
Apple je objavio sigurnosna ažuriranja za WebKit ranjivost koja omogućuje zaobilaženje same origin politike putem posebno izrađenog web sadržaja. Ranjivost pogađa iOS, iPadOS i macOS te je riješena poboljšanom validacijom ulaza.
Izvor: The Hacker News

Novi ClickFix napad koristi korisnika za mapiranje zlonamjernih mrežnih diskova
Nova varijanta ClickFix napada ne koristi klasični malware već manipulira korisnicima da sami pokrenu zlonamjerne naredbe putem Windows Run dijaloga. Napad koristi lažne CAPTCHA stranice koje korisnike navode na izvršavanje skrivenih komandi iz clipboarda.
Izvor: Hackread

Kritična ScreenConnect ranjivost izlaže kriptografske ključeve sustava
Ranjivost CVE-2026-3564 omogućuje neovlaštenim napadačima pristup osjetljivim kriptografskim materijalima na razini servera. Problem proizlazi iz načina na koji starije verzije upravljaju tajnama, ostavljajući sustav izloženim napadima.
Izvor: SecurityOnline

KVM uređaji predstavljaju podcijenjenu sigurnosnu prijetnju
Istraživanje pokazuje da kompromitacija KVM uređaja omogućuje napadačima potpunu kontrolu nad povezanim sustavima na razini ispod operativnog sustava. Time se mogu zaobići sigurnosne kontrole poput EDR-a, Secure Boot-a i enkripcije diska.
Izvor: Eclypsium

Sigurnosne vijesti dana [17/03/26]

NCI upozorava na povećane prijetnje kritičnoj infrastrukturi zbog sukoba na Bliskom istoku
Zajedničko upozorenje NCI-a ističe da sukob na Bliskom istoku povećava rizik za kritičnu infrastrukturu globalno. Očekuje se porast kibernetičkih napada od strane iranskih državnih aktera, haktiVista i kriminalnih skupina povezanih s Iranom. Također postoji rizik od fizičkih napada na javne prostore i ključne sustave. Organizacije se pozivaju na povećanu pripravnost i praćenje prijetnji.
Izvor: NCI Advisory

Poisoned Typeface pokazuje kako fontovi mogu kompromitirati AI sustave
Istraživači su pokazali kako se pomoću prilagođenih fontova i CSS-a mogu sakriti zlonamjerne upute koje korisnik vidi u pregledniku, dok AI sustavi analiziraju bezopasan sadržaj. Ova tehnika omogućuje prompt injection i potencijalno izvođenje zlonamjernog koda ili curenje podataka, a pogođeni su svi testirani AI asistenti.
Izvor: LayerX Security

Kritična ranjivost u File Browseru automatski dodjeljuje admin prava
Ranjivost CVE-2026-32760 s maksimalnim CVSS rezultatom 10 omogućuje da svaki novi korisnik automatski dobije administratorske privilegije. Propust u logici registracije može dovesti do potpunog preuzimanja sustava bez tehničkog znanja napadača.
Izvor: SecurityOnline

LeakNet ransomware koristi ClickFix i Deno za prikrivene napade
LeakNet ransomware koristi ClickFix tehniku za početni pristup i open source Deno runtime za izvršavanje zlonamjernog koda direktno u memoriji. Time se smanjuje broj tragova na disku i otežava detekcija napada.
Izvor: BleepingComputer

Authlib ranjivosti omogućuju krivotvorenje tokena i zaobilaženje autentikacije
Tri kritične ranjivosti u Authlib biblioteci mogu omogućiti napadačima zaobilaženje autentikacije, krivotvorenje JWT tokena i dešifriranje osjetljivih podataka. S obzirom na široku upotrebu biblioteke, rizik za globalnu infrastrukturu je značajan.
Izvor: SecurityOnline

Sigurnosne vijesti dana [13/03/26]

Google zakrpao dva Chrome zero day propusta koji su se aktivno iskorištavali
Google je objavio sigurnosne zakrpe za dvije zero day ranjivosti u Chromeu koje su se aktivno iskorištavale u stvarnim napadima. Propusti utječu na komponente Skia i V8. Obje ranjivosti otkrivene su i prijavljene od strane Googlea 10. ožujka 2026., a dodatni tehnički detalji o načinu iskorištavanja i napadačima nisu objavljeni kako bi se spriječila daljnja zloupotreba.
Izvor: The Hacker News

Storm 2561 koristi SEO poisoning za distribuciju lažnih VPN klijenata i krađu vjerodajnica
Microsoft je identificirao kampanju krađe vjerodajnica u kojoj napadači distribuiraju lažne VPN klijente putem SEO poisoning tehnike. Korisnici koji pretražuju legitimni enterprise softver preusmjeravaju se na zlonamjerne ZIP datoteke na napadačkim web stranicama koje instaliraju digitalno potpisane trojance prerušene u pouzdane VPN klijente. Aktivnost se pripisuje kibernetičkoj kriminalnoj skupini Storm 2561 koja je aktivna od svibnja 2025.
Izvor: Microsoft Security Blog

400 tisuća WordPress stranica pogođeno SQL injection ranjivošću u Ally pluginu
SQL injection ranjivost otkrivena u WordPress pluginu Ally, koji ima više od 400 tisuća aktivnih instalacija, može se iskoristiti za izvlačenje osjetljivih podataka iz baze, uključujući hashirane lozinke. Ranjivost je prijavljena kroz Wordfence Bug Bounty program samo pet dana nakon što je uvedena u kod, što naglašava brzinu kojom sigurnosni propusti mogu biti identificirani i iskorišteni.
Izvor: Wordfence

Veeam upozorava na kritične ranjivosti koje omogućuju RCE napade na backup servere
Veeam je zakrpao više sigurnosnih propusta u svom rješenju Backup and Replication, uključujući četiri kritične ranjivosti koje omogućuju remote code execution. Tri ranjivosti omogućuju korisnicima s niskim privilegijama u domeni izvršavanje koda na ranjivim backup serverima, čime se otvara mogućnost kompromitacije sustava koji čuvaju ključne kopije podataka.
Izvor: BleepingComputer

Glassworm ponovno napada koristeći nevidljive Unicode znakove u GitHub i npm repozitorijima
Istraživači su zabilježili novi val aktivnosti prijetnje Glassworm koja koristi skrivene Unicode znakove za kompromitiranje GitHub repozitorija, npm paketa i VS Code ekosustava. Tehnika omogućuje ubacivanje zlonamjernog koda koji ostaje skriven tijekom pregleda koda, a pogođeni su i repozitoriji poznatih projekata. Kampanja predstavlja nastavak ranijih operacija koje su koristile slične tehnike za kompromitiranje open source ekosustava.
Izvor: Aikido Security

Novosti