Ivanti Connect Secure zero-day lanac aktivno se iskorištava za udaljeno izvršavanje koda

Napadači aktivno iskorištavaju CVE-2026-104935 i povezuju više ranjivosti na Ivanti Connect Secure uređajima kako bi bez autentikacije izvršili proizvoljne naredbe. CISA je upozorila da se zero-day koristi za krađu vjerodajnica i eksfiltraciju podataka, dok su istrage incidenata zabilježile i root pristup pogođenim VPN uređajima.

Izvor: Volexity

Cisco Secure Email Gateway ranjivost aktivno se iskorištava

Cisco je upozorio da napadači iskorištavaju kritičnu ranjivost u Secure Email Gateway uređajima koja neautentificiranom pošiljatelju omogućuje zapisivanje datoteka na operacijski sustav putem posebno oblikovanog email privitka. Uspješna eksploatacija može dovesti do izvršavanja naredbi s root ovlastima.

Izvor: The Hacker News

Microsoft Patch Tuesday zakrpao rekordnih 1.411 ranjivosti i tri zero-daya

Microsoftov Patch Tuesday za listopad 2026. donio je zakrpe za rekordnih 1.411 ranjivosti, od kojih je 70 označeno kao kritično. Među njima su tri zero-day ranjivosti – jedna se već aktivno iskorištavala, a dvije su bile javno poznate prije objave zakrpa.

Izvor: BleepingComputer

SonicWall SMA1000 ranjivost maksimalne ozbiljnosti sada se aktivno iskorištava

Napadači su počeli iskorištavati CVE-2026-102255, ranjivost s CVSS ocjenom 10 koja je nedavno zakrpana na SonicWall SMA1000 uređajima. Pre-auth SSRF omogućuje udaljenom neautentificiranom napadaču da preko uređaja pristupa internoj funkcionalnosti i izvodi neovlaštene operacije.

Izvor: BleepingComputer

Kritične AhsayCBS ranjivosti iskorištavaju se za postavljanje web shellova i cryptominera

Napadači su ubrzo nakon objave počeli iskorištavati CVE-2026-105133 i CVE-2026-105134 za udaljeno izvršavanje koda na AhsayCBS backup poslužiteljima. Nakon kompromitacije zabilježeni su izviđanje sustava, web shellovi, XMRig cryptomineri i PowerShell alati namijenjeni ometanju nadzora sustava.

Izvor: Huntress

Kritična Langflow RCE ranjivost zabilježila više od 1.400 pokušaja eksploatacije

Napadači aktivno ciljaju CVE-2026-105740, kritičnu ranjivost za udaljeno izvršavanje koda koja pogađa Langflow verzije prije 1.9.0 i zahtijeva autentificirani pristup. Istraživači su na honeypot infrastrukturi zabilježili 1.423 pokušaja eksploatacije, što pokazuje velik interes napadača ubrzo nakon objave ranjivosti.

Izvor: The Hacker News

Flax Typhoon iskorištavao pet ranjivosti dodanih u CISA KEV katalog

CISA je pet ranjivosti dodala u Known Exploited Vulnerabilities katalog nakon potvrđene zloupotrebe povezane s kineskim akterom Flax Typhoon. Istodobno je objavljeno zajedničko međunarodno upozorenje o operacijama koje omogućuje kineska tvrtka Integrity Technology Group.

Izvor: The Hacker News

GhostAction supply-chain kampanja ciljala više od 30.000 GitHub repozitorija

Novi val GhostAction kampanje ciljao je više od 30.000 repozitorija povezanih s približno 3.000 korisnika i organizacija nakon kompromitacije oko 1.900 GitHub računa. Kampanja je pokušala izvući 3.174 tajne iz CI okruženja javnih repozitorija, a nove verzije payloada skenirale su i cijelu Git povijest u potrazi za vjerodajnicama.

Izvor: GitGuardian

Ledger zaustavlja prodaju walleta nakon napada na hardverski dobavni lanac

Ledger je od distributera i prodavača u jugoistočnoj Aziji i Hong Kongu zatražio obustavu prodaje nakon potvrde da su pojedini hardverski walleti fizički modificirani. U kompromitirane uređaje ugrađen je hardverski implant namijenjen krađi seed phraseova i njihovom slanju neovlaštenoj strani putem LTE veze.

Izvor: BleepingComputer

Ciljani oglasi korišteni za zero-click distribuciju komercijalnog spywarea

Citizen Lab dokumentirao je prvi javno potvrđeni slučaj zero-click distribucije komercijalnog spywarea putem ciljanog internetskog oglašavanja. Tehnika nazvana AdFection korištena je za kompromitaciju uređaja u Al Jazeeri Candiru spywareom i pokazuje kako se oglasna infrastruktura može pretvoriti u kanal za ciljanu špijunažu.

Izvor: Citizen Lab

Cybernapad manipulirao rashladnim sustavima u stotinama francuskih supermarketa

Napadi na upravljačke sustave komercijalne rashladne opreme poremetili su rad stotina francuskih trgovina. Kompromitirani kontroleri navodno su korišteni za podizanje temperature hladnjaka i zamrzivača dovoljno da se unište zalihe hrane, a u pojedinim slučajevima prijavljeni su i manji požari. Francuske vlasti naknadno su upozorenje proširile na Danfoss, Copeland i Dixell kontrolere.

Izvor: SecurityWeek

Microsoft i Health-ISAC srušili phishing tržište povezano s više od milijardu poruka

Microsoft i Health-ISAC preuzeli su i preusmjerili infrastrukturu povezanu sa servisima YAM Store, CoGUI i Iron Man, dijelovima kineskog cybercrime tržišta. Prema Microsoftu, servisi su od siječnja korišteni za slanje više od milijardu zlonamjernih poruka prema više od 75.000 organizacija u više od 150 država.

Izvor: SecurityWeek

Next.js objavio hitne zakrpe za dvije kritične neautentificirane RCE ranjivosti

Next.js je izvan redovnog ciklusa objavio sigurnosne zakrpe za dvije kritične ranjivosti koje omogućuju udaljeno izvršavanje koda bez autentikacije. Ranjivosti zahvaćaju React Server Components i obradu SVG sadržaja kroz librsvg, a ispravci su dostupni u verzijama Next.js 16.4.1 i 15.5.28.

Izvor: The Hacker News

Linux vhost ranjivost omogućuje root eskalaciju privilegija i mogući VM escape

CVE-2026-74580 pogađa Linux vhost podsustav za ubrzavanje virtualizacije kroz gotovo deset godina kernel izdanja. Istraživači su pokazali lokalnu eskalaciju privilegija do root razine, ali i mogućnost izlaska iz virtualnog stroja u okruženjima koja koriste virtualni IOMMU, gdje nepouzdani guest može uzrokovati korupciju memorije u host QEMU procesu.

Izvor: Tencent Security

CenterPoint Energy breach pogodio više od milijun osoba

CenterPoint Energy obavijestio je nadležna tijela da su u sigurnosnom incidentu kompromitirani osobni podaci više od milijun stanovnika Teksasa. Komunalna tvrtka ranije je potvrdila krađu korisničkih podataka iz svojih sustava, dok je napadač tvrdio da posjeduje više milijuna zapisa.

Izvor: SecurityWeek

Fortinet FortiMail zero-day aktivno se iskorištava, a zakrpa još nije dostupna

CISA i Fortinet upozorili su na aktivnu eksploataciju CVE-2026-104286, kritične FortiMail ranjivosti s CVSS ocjenom 9,8. Posebno oblikovani HTTP ili HTTPS zahtjevi napadaču mogu omogućiti zapisivanje proizvoljnih datoteka na sustav i potencijalno izvršavanje koda ili naredbi, dok je Fortinet do objave zakrpe preporučio privremene mjere zaštite.

Izvor: SecurityWeek

Atlassian Data Center ranjivost ciljana nekoliko sati nakon javne objave

Napadači su počeli ispitivati i pokušavati iskorištavati CVE-2026-21589 otprilike dva sata nakon objave tehničkih detalja. Kritična neautentificirana ranjivost omogućuje pristup određenim datotekama i pogađa više Atlassian Data Center proizvoda, uključujući Jira, Confluence, Bitbucket, Bamboo i Crowd.

Izvor: The Hacker News

Novi NetScaler zero-day iskorištava se u ciljanim napadima

Citrix je zakrpao CVE-2026-88779 nakon što je zabilježena njegova eksploatacija u ciljanim zero-day napadima na NetScaler ADC i Gateway sustave. Memory overflow ranjivost može uzrokovati prekid rada ako je pogođeni sustav konfiguriran kao SAML service provider ili identity provider.

Izvor: The Hacker News

Cisco zakrpao kritične Nexus ranjivosti koje mogu omogućiti root preuzimanje uređaja

Cisco je objavio pet kritičnih ranjivosti u NX-OS-u koje pogađaju Nexus 3000 i Nexus 9000 Series preklopnike. Ranjivosti zahvaćaju funkcije poput NX-API-ja, NGOAM-a i MPLS OAM-a te potencijalno omogućuju izvršavanje proizvoljnog koda s root ovlastima ili rušenje pogođenog uređaja.

Izvor: BleepingComputer

SonicWall zakrpao SMA1000 SSRF ranjivost maksimalne ozbiljnosti

SonicWall je objavio hitne zakrpe za CVE-2026-102255, ranjivost s CVSS ocjenom 10 koja pogađa SMA1000 uređaje. Udaljeni neautentificirani napadač može zloupotrijebiti alternativnu pristupnu putanju kako bi uređaj slao zahtjeve u njegovo ime, pristupio internoj funkcionalnosti i izvodio neovlaštene operacije.

Izvor: SecurityWeek

Tensorlake npm paket kompromitiran Shai-Hulud crvom

Verzija 0.5.144 npm paketa tensorlake kompromitirana je novom varijantom Shai-Hulud crva koja krade tajne podatke i pokušava se širiti kroz povezane softverske supply chaine. Tensorlake pruža sandbox infrastrukturu za AI agente, a njegov npm paket prema dostupnim podacima ima više od 100.000 instalacija.

Izvor: Aikido Security

FBI upozorava da FortiBleed ostaje aktivan nakon prikupljanja više od 86.000 vjerodajnica

FBI i U.S. Secret Service upozorili su da FortiBleed kampanja i dalje cilja internet-facing Fortinet FortiGate firewalle i SSL VPN gatewaye. Kampanja je prema dostupnim podacima prikupila više od 86.000 valjanih vjerodajnica uređaja u 194 države, a zabilježeno je i korištenje tog pristupa kao početne točke za ransomware napade.

Izvor: The Hacker News

Ransomware napad prekinuo rad japanske IDCF Cloud infrastrukture

IDC Frontier potvrdio je da je ransomware uzrokovao prekid rada u IDCF Cloud East Japan Region 1 okruženju. Nakon otkrivanja napada tvrtka je isključila mrežnu i sistemsku infrastrukturu, što je utjecalo na cloud platformu koju koriste državni i poslovni korisnici.

Izvor: BleepingComputer

Iranski Blinder Tunnel ciljao iračku kritičnu infrastrukturu

Unit 42 povezao je Blinder Tunnel kampanju s iranskim državnim akterom kojeg prati kao CL-STA-1178. Operacija je ciljala iračku kritičnu infrastrukturu, a napadači su se predstavljali kao IT odjel Dubai Airportsa kako bi visokovrijednim metama dostavili trojanizirane programske zadatke.

Izvor: Palo Alto Networks Unit 42

ASOS potvrdio breach nakon kompromitacije računa zaposlenika

ASOS je potvrdio da su napadači pristupili računu zaposlenika predstavljajući se kao pouzdani kontakt, nakon čega su zloupotrijebili infrastrukturu za komunikaciju s korisnicima i poslali neovlaštene push obavijesti. Napadači su pristupili i dijelu osobnih podataka, uključujući imena i kontaktne podatke korisnika.

Izvor: The Record

Android telefoni isporučivani s Midnight Mimosa malwareom ugrađenim u firmware

Bitdefender je otkrio Midnight Mimosa malware unaprijed instaliran na jeftinijim Android uređajima temeljenima na MediaTek platformama. Malware ima sistemske ovlasti prije prvog uključivanja uređaja te može neprimjetno instalirati aplikacije, dodjeljivati dozvole i učitavati kod koji napadač šalje na daljinu.

Izvor: Bitdefender

FakeGit kampanja ponovno aktivirala više od 17.000 zlonamjernih GitHub repozitorija

Istraživači su zabilježili kako FakeGit infrastruktura masovno preusmjerava postojeće GitHub repozitorije prema SmartLoader malwareu. U približno 34 sata izmijenjeno je više od 13.000 repozitorija, što pokazuje kako napadači mogu ponovno koristiti dugotrajnu mrežu lažnih repozitorija bez izgradnje nove infrastrukture.

Izvor: Apiiro

Aktivna WordPress XSS kampanja skriva vlastiti administratorski račun

Napadači aktivno iskorištavaju stored XSS ranjivosti u pluginima WPC Product Bundles for WooCommerce i Ninja Forms za distribuciju istog zlonamjernog JavaScript payloada. Implant se izvršava u pregledniku prijavljenog administratora i namijenjen je uspostavi trajnog pristupa, uključujući skrivanje administratorskog računa pod kontrolom napadača.

Izvor: Patchstack

Kineski državno povezani hakeri koristili portal za pristup ukradenim emailovima

FBI i partnerske agencije objavili su da su akteri povezani s kineskom tvrtkom Integrity Technology Group kompromitirali državne institucije, tijela kaznenog progona, zdravstvene sustave i vjerske organizacije u jugoistočnoj Aziji. Operacija je uključivala skeniranje ranjivosti, napade na Microsoft 365 i Exchange račune te infrastrukturu koja je trećim stranama omogućavala pristup ukradenim emailovima.

Izvor: The Hacker News

UAT-11985 koristi AI-assisted mamce i Google AitM phishing u stvarnom vremenu

Cisco Talos identificirao je APT kampanju protiv osoba povezanih s tajvanskim istraživačkim organizacijama koja koristi prilagođene pozivnice na događanja i zlonamjerne QR kodove. Kampanja koristi adversary-in-the-middle phishing framework koji imitira Google autentikaciju i u stvarnom vremenu presreće vjerodajnice i MFA izazove.

Izvor: Cisco Talos

Dva Citrix NetScaler zero-daya aktivno se iskorištavaju

Napadači aktivno iskorištavaju CVE-2026-88771 i CVE-2026-88772 protiv Citrix NetScaler ADC i Gateway uređaja. Mandiant je zabilježio pogođene organizacije u Sjevernoj Americi i Europi, a post-exploitation alati uključuju prilagođene WHIPSHOT web shellove i SLAPSHOT tunneler za internu rekognosciju i krađu vjerodajnica.

Izvor: Google Threat Intelligence Group

ShinyHunters ponovno masovno iskorištava Oracle PeopleSoft

Google Threat Intelligence Group i Mandiant identificirali su novi globalni val eksploatacije CVE-2026-35273 u Oracle PeopleSoftu. Akter povezan sa ShinyHuntersom izmijenio je exploit kako bi zaobišao WAF pravila URL-encodingom dijela ranjive PSEMHUB putanje, čime je mogao napadati i sustave za koje se smatralo da su zaštićeni postojećim mitigacijama.

Izvor: Google Threat Intelligence Group

Microsoft SharePoint RCE sada se aktivno iskorištava

Microsoft je potvrdio aktivnu eksploataciju CVE-2026-65660, SharePoint ranjivosti za udaljeno izvršavanje koda zakrpane u kolovozu. Autentificirani napadač s niskom razinom pristupa može iskoristiti code injection propust za izvršavanje proizvoljnog koda na pogođenom SharePoint poslužitelju bez interakcije korisnika.

Izvor: SecurityWeek

Bitget: krađa 387,5 milijuna dolara počela je zero-day ranjivostima u sigurnosnim uređajima

Kriptomjenjačnica Bitget objavila je da su napadači pristupili njezinom wallet okruženju iskorištavanjem zero-day ranjivosti u dva sigurnosna uređaja treće strane. Nakon kompromitacije instalirani su web shellovi i malware u produkcijsko okruženje, a zatim je prilagođeni alat za isplate iskorišten za krađu približno 387,5 milijuna dolara iz hot i warm walleta.

Izvor: BleepingComputer

Apple zakrpao CoreGraphics zero-day iskorištavan u ciljanim napadima

Apple je zakrpao CVE-2026-86950, out-of-bounds write ranjivost u CoreGraphicsu koja je možda iskorištavana u napadima koje je tvrtka opisala kao iznimno sofisticirane i usmjerene na određene pojedince. Obrada posebno oblikovane datoteke može dovesti do izvršavanja proizvoljnog koda na pogođenim iOS i macOS uređajima.

Izvor: SecurityWeek

Zammad zero-dayevi iskorišteni u AI-powered napadu na DIVD

Nizozemski Institute for Vulnerability Disclosure objavio je da su napadači kompromitirali njegovu infrastrukturu iskorištavanjem dvije dotad nepoznate ranjivosti u Zammad support platformi. DIVD je operaciju opisao kao automatizirani agentic AI-powered napad i nakon otkrivanja kompromitacije 21. rujna pokrenuo puni incident response.

Izvor: SecurityWeek

Storm-3168 koristi kompromitirane service principale za destruktivne Azure napade

Microsoft je dokumentirao destruktivnu Azure aktivnost skupine Storm-3168, poznate i kao JADEPUFFER, koja uključuje kompromitirane service principale i ukradene cloud vjerodajnice. Napadači su izvodili masovne destruktivne operacije nad storage računima, SQL bazama, Key Vaultovima, virtualnim strojevima, Function Apps i App Services resursima te recovery protection kontrolama.

Izvor: Microsoft

Eksploatacija Zimbra RCE-a dovodi do web shellova, krađe vjerodajnica i trajnog pristupa

Microsoft je objavio nove detalje o eksploataciji CVE-2026-73570, neautentificirane command injection ranjivosti na internet-facing Zimbra poslužiteljima s određenom SNMP funkcionalnošću. Zabilježene aktivnosti nakon kompromitacije uključivale su JSP web shellove, reverse shellove, eskalaciju privilegija, trajne remote-access alate te pristup mailboxovima i autentikacijskim podacima.

Izvor: Microsoft

Ranjivost službenog MCP Python SDK-a može izložiti OAuth vjerodajnice

Ranjivost u službenom Model Context Protocol Python SDK-u može zlonamjernom MCP poslužitelju omogućiti preusmjeravanje OAuth token exchangea prema infrastrukturi pod kontrolom napadača. Pogođeni klijenti mogli su otkriti client secret, authorization code i PKCE proof key, nakon čega napadač može zatražiti access token s ovlastima dodijeljenima aplikaciji.

Izvor: The Hacker News

Ponovno omogućene GitHub Actions aktivirale Mini Shai-Hulud supply chain malware

Dvije GitHub Actions kompromitirane tijekom Mini Shai-Hulud kampanje ponovno su postale dostupne dok su njihovi release tagovi i dalje upućivali na zlonamjerni kod. Workflowi koji su koristili te verzijske oznake ponovno su počeli preuzimati i izvršavati kompromitirane actione sve dok GitHub nije ponovno onemogućio repozitorije.

Izvor: Socket

Warlock ransomware skupina cilja vodne i telekomunikacijske operatore

Skupina povezana s Kinom koja stoji iza Warlock ransomwarea nastavlja koristiti Microsoft SharePoint ranjivosti za kompromitaciju organizacija. Među novijim žrtvama nalaze se vodni i telekomunikacijski operator, regionalna državna institucija i sveučilište u Europi, Africi i Latinskoj Americi.

Izvor: Security.com

SalesBleed ranjivosti omogućavale zero-click eksfiltraciju podataka kroz Salesforce Agentforce

Istraživači su objavili tri ranjivosti u Salesforce Agentforceu koje napadaču mogu omogućiti ubacivanje zlonamjernih instrukcija kroz Web-to-Lead obrasce. Dvije ranjivosti omogućavale su zero-click izvlačenje osjetljivih CRM podataka kada bi Agentforce agent naknadno obradio zaraženi lead, dok se treća mogla koristiti za distribuciju phishing poruka.

Izvor: SecurityWeek

Objavljen javni exploit za kritičnu Next.js RCE ranjivost

Javno je dostupan funkcionalni proof-of-concept exploit za CVE-2026-94545, kritičnu ranjivost u Next.js next/og image API-ju. Jedan neautentificirani zahtjev može omogućiti izvršavanje naredbi na ranjivom poslužitelju, iako u trenutku objave nije bilo potvrđene eksploatacije u stvarnim napadima.

Izvor: SecurityOnline

Times Car breach zahvatio 6,6 milijuna korisničkih računa

Japanski car-sharing servis Times Car potvrdio je da su napadači kompromitirali približno 6,6 milijuna korisničkih računa nakon neovlaštenog pristupa njihovim sustavima. Tvrtka je isprva istraživala jesu li osobni podaci korisnika bili dostupni napadačima, a naknadno je potvrdila krađu podataka.

Izvor: BleepingComputer

NeedyMantis malware koristi se za trajni pristup u ciljanim operacijama

Microsoft je identificirao NeedyMantis, modularni post-compromise malware korišten u ciljanim operacijama protiv telekomunikacijskih organizacija, sveučilišta, medicinskih neprofitnih organizacija, međuvladinih institucija i državnih izvođača. Malware se postavlja nakon početne kompromitacije kako bi održao dugotrajan pristup i omogućio daljnje aktivnosti, a zabilježene operacije podudaraju se s aktivnostima threat actora iz Kine.

Izvor: Microsoft

Kritična WordPress ranjivost iskorištavana nekoliko sati nakon objave

Napadači su počeli iskorištavati CVE-2026-87902 samo nekoliko sati nakon javne objave detalja ranjivosti. Path traversal propust pogađa WordPress page-template resolution i, uz određene uvjete na poslužitelju i aktivnoj temi, neautentificiranom napadaču može omogućiti udaljeno izvršavanje koda.

Izvor: SecurityWeek

Kritična Roundcube ranjivost sada se aktivno iskorištava

Canadian Centre for Cyber Security upozorio je na aktivnu eksploataciju CVE-2026-48842 u Roundcube Webmailu. Pre-authentication SQL injection ranjivost napadaču bez vjerodajnica može omogućiti zaobilaženje autentikacije, izvršavanje zlonamjernih upita i pristup podacima u bazi ranjive Roundcube instalacije.

Izvor: BleepingComputer

Cybernapadi ciljali OT sustave vodovoda u Coloradu

Napadači su ciljali operativnu tehnologiju dvaju privatnih vodovodnih sustava u Coloradu te mijenjali postavke opreme, isključivali udaljeni pristup i alarme i mijenjali cikluse pumpanja. Poremećaji su bili kratkotrajni i nisu utjecali na opskrbu vodom ili javnu sigurnost, ali incident pokazuje pokušaj izravnog utjecaja na fizičku infrastrukturu.

Izvor: SecurityWeek

Brevo supply chain napad dosegnuo više od 100.000 stranica

Nova analiza Brevo kompromitacije pokazuje da je zlonamjerni JavaScript distribuiran kroz njihovu infrastrukturu potencijalno dosegnuo više od 100.000 korisničkih stranica. Napadači su ukradeni Cloudflare API ključ iskoristili za izmjenu Brevo skripti na CDN edgeu te distribuciju ClickFix sadržaja i WordPress backdoora.

Izvor: Sansec

Graphalgo malware proširio se s npm-a na Terraform providere i Go module

Istraživači su pronašli Graphalgo malware distribuiran kroz najmanje dva Terraform providera i dva Go modula, što je prvi zabilježeni slučaj korištenja Terraform providera kao kanala za distribuciju malwarea. Go payload dijeli blockchain i Slack infrastrukturu te kriptografske elemente s ranijim zlonamjernim npm paketima.

Izvor: Aikido Security

npm supply chain napad zloupotrijebio trusted publishing za distribuciju GHAPPIER loadera

Napadači su kompromitirali maintainer račun paketa @dforge-core/dforge-mcp i izmijenili GitHub Actions release workflow kako bi zlonamjernu verziju objavili putem npm trusted publishinga. Release je imao valjane provenance potpise i istodobno distribuirao remote-shell implant, što pokazuje da provenance potvrđuje gdje je paket izgrađen, ali ne i da je njegov izvorni kod siguran.

Izvor: Orca Security

Kompromitirani MemTensor paketi distribuirali cross-platform credential stealer

Legitimni MemTensor paketi na npm-u i PyPI-ju kompromitirani su kako bi distribuirali Go implant nazvan sckit. Zlonamjerne verzije pokreću payload pri pokretanju agent gatewaya ili obradi memory-recall događaja, a ciljaju Windows, Linux i macOS sustave.

Izvor: The Hacker News

EvilTokens kompromitirao više od 12.000 Microsoft 365 inboxa

Microsoft navodi da je EvilTokens phishing-as-a-service platforma kompromitirala više od 12.000 inboxa u više od 10.000 organizacija. Servis povezuje device-code i adversary-in-the-middle phishing s AI-assisted izradom mamaca i analizom kompromitiranih mailboxa radi pronalaska vrijednijih meta.

Izvor: Microsoft

cPanel ranjivost omogućuje hosting korisniku izvršavanje koda kao root

Ranjivost u cPanel CalDAV i CardDAV servisu može bilo kojem autentificiranom hosting računu omogućiti izvršavanje koda kao root i potpuno preuzimanje dijeljenog poslužitelja. cPanel je objavio zakrpe, a za iskorištavanje je dovoljan običan korisnički račun na pogođenom serveru.

Izvor: The Hacker News

Plugin4Shell pogađa četiri velika AI coding agenta

Istraživači su objavili Plugin4Shell, supply-chain slabost koja pogađa Claude Code, Codex, GitHub Copilot i Gemini CLI. Vlasnik repozitorija mogao je nakon pregleda zamijeniti sadržaj plugina i navesti agenta da instalira zlonamjerni kod iako je marketplace plugin vezao uz prethodno odobreni commit hash.

Izvor: The Hacker News

Autonomni AI agenti korišteni za masovne napade na online trgovine

Gambit Security opisuje aktualnu kampanju u kojoj financijski motivirani napadač koristi open-source AI harness alate za automatizirane napade na online trgovine. Istraživači su rekonstruirali 105 attack projekata pokrenutih u šest dana, uz najmanje 27 kompromitiranih tvrtki te izlaganje stotina tisuća podataka o platnim karticama i instalaciju web skimmera.

Izvor: Gambit Security

OpenAI agenti pristupili nejavnim podacima na australskom državnom portalu

AI agenti korišteni u OpenAI istraživanju iskoristili su sigurnosnu slabost na australskom Medicare statističkom portalu tijekom zadataka prikupljanja informacija. Incident iz lipnja omogućio je pristup javnim i nejavnim podacima i bio je dio šireg automatiziranog ispitivanja javnih data providera u više država.

Izvor: BleepingComputer

Password spraying kampanja cilja zaboravljene Microsoft 365 service račune

Proofpoint je identificirao aktivnu TeamFiltration kampanju koja je ciljala više od 5.700 računa u 28 Microsoft 365 tenanta u Latinskoj Americi. Svih sedam uspješno kompromitiranih računa bili su unmanaged funkcionalni ili service računi bez MFA zaštite i bez prethodnog legitimnog login obrasca.

Izvor: Proofpoint

Napadači ciljaju istaknute Rust maintainere u supply chain kampanji

Rust projekt upozorio je na aktualnu kampanju usmjerenu na članove projekta i vlasnike popularnih crateova. Napadači koriste uvjerljive ponude za posao, projekte i ugovore kako bi mete naveli na video poziv, a zatim pokušavaju instalirati malware ili navesti korisnika na izvršavanje naredbi s ciljem kompromitacije računa i objave zlonamjernih paketa.

Izvor: Rust Project

Lažni LastPass GitHub repozitoriji distribuiraju Rapuncel infostealer i EDR killer

Aktualna kampanja koristi SEO-optimizirane GitHub repozitorije koji se predstavljaju kao LastPass i deseci drugih poznatih softverskih tvrtki kako bi distribuirali novi Rapuncel infostealer. Kampanja također isporučuje Microsoft-signed kernel driver sposoban onesposobiti velik broj antivirusnih i EDR proizvoda.

Izvor: BleepingComputer

N-able N-central ranjivost maksimalne ozbiljnosti aktivno se iskorištava
Napadači aktivno iskorištavaju CVE-2026-86218, ranjivost za udaljeno izvršavanje koda maksimalne ozbiljnosti u N-able N-central platformi. Propust može omogućiti neautentificirani pristup RMM konzoli, nakon čega napadači mogu izvršavati skripte, distribuirati alate i otvarati udaljene sesije prema downstream endpointima kojima kompromitirani poslužitelj upravlja.
Izvor: BleepingComputer

Cisco Secure Firewall Management Center ranjivosti iskorištavaju se za root pristup
Cisco Talos prati aktivnu eksploataciju dvije ranjivosti u Secure Firewall Management Centeru. CVE-2026-20079, s CVSS ocjenom 10.0, udaljenom neautentificiranom napadaču omogućuje zaobilaženje autentikacije i izvršavanje skripti za dobivanje root pristupa, dok se CVE-2026-20316 može kombinirati s drugim ranjivostima za eskalaciju privilegija.
Izvor: Cisco Talos

Kritični NetScaler authentication bypass sada se aktivno iskorištava
CISA je potvrdila aktivnu eksploataciju CVE-2026-19490, kritične authentication bypass ranjivosti u NetScaler ADC i NetScaler Gateway uređajima konfiguriranima kao gateway ili AAA virtual server. Propust se može iskoristiti udaljeno bez autentikacije, što posebno ugrožava internet-facing VPN i remote access infrastrukturu.
Izvor: SecurityWeek

Više state-aligned skupina koristi BlueMoon lanac Chrome i Windows zero-dayeva
Proofpoint je identificirao više cyberespionage skupina koje koriste novi exploit kit nazvan BlueMoon, prvo zabilježen kod kineski povezane skupine TA412, a ubrzo zatim i kod drugih aktera. Lanac povezuje Chromium V8 ranjivost, sandbox escape i Windows kernel privilege escalation zero-day CVE-2026-85880 kako bi napadač izašao iz browser renderer procesa i kompromitirao ciljani sustav.
Izvor: Proofpoint

Adobe Commerce zero-day koristi se za postavljanje backdoora u online trgovine
Threat actori iskorištavaju dotad nepoznatu Adobe Commerce i Magento ranjivost nazvanu StyleSmuggler. Napad skriva PHP kod unutar style svojstava predložaka, a zatim koristi neuspjelu obradu plaćanja za njegovo izvršavanje i uspostavu prikrivenog trajnog pristupa poslužitelju.
Izvor: SecurityWeek

AI-assisted kampanja automatizira PaperCut eksploataciju u velikom opsegu
Istraživači su povezali iskorištavanje CVE-2026-81578 i CVE-2026-82078 u PaperCut NG/MF-u s infrastrukturom koja pokazuje AI-assisted workflow od istraživanja ranjivosti i razvoja exploita do pronalaska meta, izvođenja napada, analize neuspjeha i ponovljenih valova eksploatacije. Kampanja pokazuje kako AI može automatizirati veći dio kompletnog exploit workflowa.
Izvor: GreyNoise

Fortinet RCE iskorištava se za instalaciju PivotC2 RAT-a
Napadači iskorištavaju CVE-2025-25249, neautentificiranu RCE ranjivost u FortiOS-u i FortiSwitchManageru. Na kompromitirane uređaje postavlja se PivotC2, Node.js post-exploitation RAT koji omogućuje interaktivni shell, tuneliranje prometa, mrežno skeniranje i prikupljanje konfiguracija.
Izvor: SecurityWeek

ScreenConnect aktivnost povećava zabrinutost zbog nezakrpane file transfer ranjivosti
ConnectWise je objavio novu ScreenConnect ranjivost povezanu s file transfer funkcionalnošću u cloud i on-premises implementacijama te je u početku ponudio privremene mitigacije dok se pripremala zakrpa. Huntress je istodobno zabilježio sumnjive ScreenConnect instalacije na međusobno nepovezanim sustavima, uz obrazac koji bi mogao odgovarati worm-like aktivnosti.
Izvor: Huntress

Istraživači demonstrirali cross-account ChatGPT kanal za pristup Gmail podacima
Check Point Research opisao je komunikacijski kanal između inače izoliranih ChatGPT code-execution okruženja preko dijeljenih Artifactory metadata podataka. U demonstraciji su napadačeve instrukcije navele odvojenu sesiju žrtve da dohvaća informacije iz povezanog Gmail računa, bez neuobičajene aktivnosti vidljive u samom razgovoru.
Izvor: Check Point Research

Shai-Hulud npm supply chain malware ponovno se pojavio
Istraživači su 111 dana nakon prethodne velike npm kampanje ponovno otkrili Shai-Hulud, s malwareom koji odgovara ranijem @AntV napadu unatoč novim publish-time kontrolama. Ranije verzije ovog worma već su proširile pretragu vjerodajnica sa 189 na 469 lokacija u developer, CI/CD, cloud i AI konfiguracijama.
Izvor: Aikido Security

BigBear 2.0 zaobišao MFA u 258 Microsoft 365 organizacija
BigBear 2.0 phishing-as-a-service operacija navodno je kompromitirala 258 organizacija i prikupila više od 5.000 Microsoft 365 vjerodajnica. Evilginx2 adversary-in-the-middle infrastruktura presreće vjerodajnice i autentificirane session cookieje, čime napadači mogu preuzeti korisničke sesije i nakon uspješno odrađenog MFA postupka.
Izvor: BleepingComputer

Iz Liquid Networka izvučeno približno 320 milijuna dolara u Bitcoinu
Iz federation walleta koji podržava Liquid Network povučeno je približno 4.000 BTC-a, vrijednih oko 320 milijuna dolara. Akteri tvrde da su white-hat hakeri, ali incident predstavlja veliku kompromitaciju infrastrukture koju koriste burze i druge financijske institucije.
Izvor: The Register

Mathspace breach izložio podatke više od milijun ljudi
Edukacijska platforma Mathspace objavila je da su napadači ukrali podatke više od milijun učenika, roditelja i zaposlenika nakon kompromitacije internog Metabase reporting sustava. Platformu koriste tisuće škola u Australiji, Novom Zelandu, Sjedinjenim Državama i Ujedinjenom Kraljevstvu.
Izvor: BleepingComputer

Check Point zakrpao dvije kritične VPN certificate ranjivosti koje omogućuju neautentificirani RCE
Check Point je zakrpao dvije ranjivosti s CVSS ocjenom 9.8 u obradi VPN certifikata na Security Gateway i management proizvodima. Pod određenim uvjetima propusti mogu udaljenom neautentificiranom napadaču omogućiti izvršavanje koda, iako u trenutku objave nije bilo dokaza o njihovoj eksploataciji.
Izvor: The Hacker News

Ivanti zakrpao više kritičnih RCE ranjivosti u enterprise security proizvodima
Ivanti je objavio zakrpe za kritične ranjivosti u proizvodima Neurons for ITSM, Sentry i Endpoint Manager Mobile. Šest kritičnih problema u Neurons for ITSM-u može dovesti do udaljenog izvršavanja koda, uključujući missing authorization i unsafe deserialization propuste s CVSS ocjenama do 9.9.
Izvor: SecurityWeek

SonicWall upozorava na aktivno iskorištavanje SMA1000 zero-day lanca
Threat actori povezuju dvije dotad nepoznate ranjivosti u SonicWall SMA1000 uređajima u napadima koji dovode do udaljenog izvršavanja koda. CVE-2026-83548 je command injection ranjivost maksimalne ozbiljnosti povezana sa SSRF-om, dok CVE-2026-83549 omogućuje izvršavanje naredbi kroz management console nakon stjecanja administratorskog pristupa.
Izvor: BleepingComputer

Kritični JFrog Artifactory authentication bypass navodno se aktivno iskorištava
Kritična ranjivost u JFrog Artifactoryju navodno se iskorištava samo nekoliko dana nakon javne objave. CVE-2026-82329 može neautentificiranom napadaču s mrežnim pristupom omogućiti stjecanje administratorskih privilegija u zadanoj konfiguraciji, čime su ugroženi software artefakti, paketi, kontejneri i razvojni pipelineovi.
Izvor: SecurityWeek

Napadači iskorištavaju Switchvox ranjivost za neautentificirani RCE
Threat actori aktivno iskorištavaju CVE-2026-9586 u Sangoma Switchvox SMB Editionu. Kritična SQL injection ranjivost neautentificiranom napadaču može omogućiti izvršavanje proizvoljnog koda kao PostgreSQL superuser i postavljanje reverse shell pristupa bez valjanih vjerodajnica.
Izvor: The Hacker News

PaperCut potvrdio da su iskorištavana dva zero-daya
Daljnja analiza napada na PaperCut NG i MF pokazala je da su threat actori iskorištavali dvije zero-day ranjivosti, a ne samo jednu kako se u početku smatralo. Ranjivosti neautentificiranom napadaču omogućuju zaobilaženje autentikacije i udaljeno izvršavanje koda, zbog čega je objavljena druga hitna zakrpa zajedno s indikatorima kompromitacije.
Izvor: SecurityWeek

Elementor Pro RCE privukao više od 190.000 pokušaja eksploatacije
Napadači aktivno ciljaju CVE-2026-32475, neautentificiranu arbitrary file upload ranjivost u Elementor Pro pluginu koji se koristi na milijunima WordPress instalacija. Wordfence je blokirao više od 190.000 pokušaja iskorištavanja propusta kojim se mogu učitati izvršive PHP datoteke i potpuno preuzeti ranjive stranice.
Izvor: Wordfence

Kompromitacija Coder registry infrastrukture distribuirala zlonamjerne Terraform module
Napadači su kompromitirali infrastrukturu Coder registryja i dodali neovlaštene registry poslužitelje koji su mogli isporučivati zlonamjerne Terraform module. Moduli su sadržavali kod za krađu vjerodajnica, čime je otvoren software supply chain put prema razvojnim okruženjima organizacija koje koriste Coder platformu.
Izvor: BleepingComputer

Kritična Cisco Nexus 9000 ranjivost omogućuje neautentificirano izvršavanje koda kao root
Cisco je zakrpao CVE-2026-20212, kritičnu ranjivost koja pogađa više Nexus 9000 switch uređaja temeljenih na Silicon One platformi. Udaljeni neautentificirani napadač može pristupiti izloženim TCP servisima i izvršavati proizvoljni kod kao root, a za pogođene sustave nema workarounda osim instalacije vendor zakrpe.
Izvor: The Hacker News

HPE zakrpao kritičnu ArubaOS-CX RCE ranjivost
CVE-2026-73749 kritični je buffer overflow u ArubaOS-CX-u koji udaljenom neautentificiranom napadaču omogućuje slanje posebno oblikovanih paketa ranjivom daemon procesu. Uspješna eksploatacija može dovesti do izvršavanja koda s povišenim privilegijama na pogođenoj mrežnoj infrastrukturi.
Izvor: BleepingComputer

Napadači iskorištavaju kritičnu Ruby on Rails ranjivost za RCE
Napadači iskorištavaju CVE-2026-66066, poznat kao KindaRails2Shell, protiv ranjivih Ruby on Rails aplikacija. Propust može omogućiti arbitrary file read, izlaganje aplikacijskih tajni, udaljeno izvršavanje koda i lateralno kretanje, a eksploatacija je uslijedila nakon objave tehničkih detalja i proof-of-concept koda.
Izvor: SecurityWeek

Unit 42 istražio ransomware napad ubrzan agentic AI alatima
Unit 42 istražio je ransomware incident u kojem je napadač tvrdio da je za automatizaciju velikog dijela operacije koristio frontier AI modele i posebno izrađene agente. Istraživači navode da je više od 50 MITRE ATT&CK tehnika izvedeno u manje od deset sati, uključujući internu rekognosciju, pristup repozitorijima izvornog koda, krađu vjerodajnica, neovlaštene CI/CD buildove i kompromitaciju cloud AI infrastrukture.
Izvor: Unit 42

BGP hijack preusmjerio Softaculous promet kroz napadačevu infrastrukturu
BGP hijack jednog Softaculous IP bloka preusmjeravao je internetski promet prema infrastrukturi pod kontrolom napadača više od jednog dana. Napadač je pritom pribavio i valjani TLS certifikat za pogođene domene, pa preusmjereni korisnici nisu dobivali upozorenje preglednika o nevaljanom certifikatu.
Izvor: Virtualizor

Podaci 8,8 milijuna korisnika Manchester Airports Groupa objavljeni nakon odbijanja otkupnine
Podaci ukradeni iz Manchester Airports Groupa objavljeni su nakon što je tvrtka odbila platiti otkupninu. Izloženi podaci navodno uključuju email adrese i telefonske brojeve 8,8 milijuna ljudi, kao i podatke o rezervacijama, registracijama vozila, poštanskim brojevima i korištenju aerodromskog Wi-Fi-ja.
Izvor: SecurityWeek

Thomson Reuters breach izložio osjetljive sudske podatke iz SAD-a i Kanade
Kompromitacija Thomson Reuters platforme za sudske evidencije izložila je zapečaćene sudske informacije i osjetljive osobne podatke povezane sa sudovima u najmanje 12 američkih saveznih država, Američkim Djevičanskim Otocima i Kanadi. Thomson Reuters navodi da se kompromitacija dogodila unutar njegove infrastrukture, a ne u sustavima pogođenih sudova.
Izvor: The Record

Spring Ring koristi Microsoft Teams vishing i NTLM relay napade
Unit 42 dokumentirao je koordiniranu kampanju u kojoj napadači koriste vanjske Microsoft Teams račune kako bi se predstavljali kao IT helpdesk i izravno pozivali zaposlenike. Dio napada napredovao je od voice phishinga i instalacije remote management alata do pokušaja NTLM relaya prema domain controllerima, čime collaboration platforme postaju kanal za inicijalni pristup mreži.
Izvor: Unit 42

Fire Ant se proširio s hypervisora na pouzdanu mrežnu infrastrukturu
Fire Ant je proširio aktivnosti s kompromitacije hypervisora na routere, authentication infrastrukturu i druge pouzdane sustave koji povezuju visoko vrijedna okruženja. Sygnia je zabilježila korištenje kompromitiranih routera za prikrivenu komunikaciju i prikupljanje prometa, dok su napadi na TACACS infrastrukturu omogućavali presretanje vjerodajnica i smanjivali pouzdanost administratorskih audit trailova.
Izvor: Sygnia

Zimbra RCE aktivno se iskorištava protiv internet-facing poslužitelja
Napadači aktivno iskorištavaju CVE-2026-73570 u Zimbra Collaborationu, neautentificiranu command injection ranjivost koja pogađa implementacije s uključenim opcionalnim SNMP paketom i notifikacijama. Uspješna eksploatacija omogućuje izvršavanje proizvoljnih OS naredbi kao Zimbra korisnik te otvara put prema uspostavi trajnosti, pristupu poštanskim sandučićima, krađi vjerodajnica i daljnjem kretanju kroz kompromitirano okruženje.
Izvor: Centre for Cybersecurity Belgium

MLflow ranjivost iskorištava se za krađu cloud vjerodajnica i tajni
Napadači iskorištavaju CVE-2026-64849, neautentificiranu SSRF ranjivost u MLflowu, za pristup cloud metadata servisima i izvlačenje vjerodajnica i drugih osjetljivih podataka. Eksploatacija je započela nekoliko sati nakon dodjele CVE oznake, a CISA je ranjivost naknadno dodala u Known Exploited Vulnerabilities katalog.
Izvor: The Hacker News

Eksploatacija VMware vCentera prerasla je u globalnu kampanju
Incident response timovi prate globalnu eksploataciju CVE-2026-59310, kritične vCenter Server ranjivosti koja može dovesti do proizvoljnog izvršavanja koda. Kampanja je uz umjerenu razinu sigurnosti povezana sa sumnjivim China-nexus akterom, a napadači koriste reverse SSH alate za održavanje trajnog pristupa kompromitiranoj virtualizacijskoj infrastrukturi.
Izvor: QUIRSO

macOS Screen Sharing authentication bypass aktivno se iskorištava
CVE-2026-65400 u macOS Screen Sharingu iskorištava se protiv dostupnih sustava za instalaciju Monero cryptominera. Ranjivost omogućuje zaobilaženje autentikacije na ugrađenom remote-control servisu bez valjanih vjerodajnica, zbog čega su javno dostupne Screen Sharing usluge posebno rizične.
Izvor: Malwarebytes

Adobe Commerce ranjivosti dovele su do upozorenja o aktivnoj eksploataciji
Belgijski centar za kibernetičku sigurnost upozorio je organizacije na izvještaje o aktivnom iskorištavanju kritičnih Adobe Commerce i Magento ranjivosti objavljenih u kolovozu. Najozbiljniji propusti mogu omogućiti eskalaciju privilegija, proizvoljno izvršavanje koda i zaobilaženje sigurnosnih kontrola, čime su izložena e-commerce okruženja i njihovi podaci neposredno ugroženi.
Izvor: Centre for Cybersecurity Belgium

Američke agencije upozoravaju na aktivnu prijetnju Siemens S7 PLC uređajima
NSA, CISA, FBI, DOE i EPA upozorili su operatere kritične infrastrukture da threat actori aktivno ciljaju Siemens S7 programabilne logičke kontrolere. Aktivnost uključuje internet reconnaissance, poznate slabosti i AI-generirane exploit alate koji mogu mijenjati memoriju PLC-a, konfiguracijske podatke i upravljačku logiku.
Izvor: CISA

Sjevernokorejski hakeri povezani s velikom Rust supply chain kompromitacijom
Zlonamjerne verzije popularnih Rust crateova, uključujući arrayref i append-only-vec, objavljene su preko legitimnog maintainer računa i povezane sa sjevernokorejskim threat actorima. Kompromitirani paketi uvodili su zlonamjernu ovisnost koja se izvršava već tijekom kompilacije, a velik broj projekata koji koriste arrayref znatno povećava potencijalni blast radius kampanje.
Izvor: SecurityWeek

Cl0p objavio više od 40 žrtava PTC Windchill kampanje
Cl0p je objavio više od 40 organizacija navodno kompromitiranih iskorištavanjem CVE-2026-12569 u PTC Windchillu i FlexPLM-u. Dodatna analiza otkrila je prilagođeni Java web shell izrađen posebno za Windchill API-je, strukturu baze, vjerodajnice i file repozitorije, što pokazuje znatnu pripremu za masovnu krađu podataka.
Izvor: SecurityWeek

Operation CameraSwarm kompromitirala više od 14.000 Dahua kamera
Istraživači su pratili jednog operatera koji je tijekom lipnja i srpnja kompromitirao više od 14.000 Dahua IP kamera. Skeniranje je bilo globalno, ali se velik dio potvrđenih kompromitacija nalazio u Ukrajini i Rusiji, što pokazuje koliko se masovno izloženi nadzorni uređaji mogu pretvoriti u izvor operativnih informacija.
Izvor: Hunt.io

Kritični NetScaler authentication bypass ugrožava internet-facing gatewaye
CVE-2026-19490 kritična je authentication bypass ranjivost u Citrix NetScaler ADC i NetScaler Gateway uređajima konfiguriranima kao gateway ili AAA virtual server. Udaljeni neautentificirani napadač može je iskoristiti bez interakcije korisnika, a istraživači očekuju brz interes napadača zbog položaja NetScaler uređaja na mrežnom perimetru velikog broja organizacija.
Izvor: Rapid7

CareCloud breach sada obuhvaća 3,7 milijuna ljudi
Broj osoba pogođenih CareCloud breachom povećan je na više od 3,7 milijuna, znatno iznad prvotne procjene. Napadači su pristupili AWS okruženju ovog healthcare tehnološkog pružatelja i tvrde da su iz baza u kompromitiranom okruženju iznijeli podatke.
Izvor: SecurityWeek

Elementor Pro file upload ranjivost omogućuje neautentificirani WordPress RCE
CVE-2026-32475 u Elementor Pro pluginu omogućuje neautentificiranim napadačima zaobilaženje provjere ekstenzije datoteke i upload izvršivih PHP datoteka kroz ranjive Forms konfiguracije. Uspješna eksploatacija može dovesti do udaljenog izvršavanja koda i potpune kompromitacije pogođenog WordPress poslužitelja.
Izvor: Orca Security

Kritična isolated-vm ranjivost omogućuje izlazak iz JavaScript sandboxa
Kritična type confusion ranjivost u Node.js biblioteci isolated-vm može omogućiti kodu koji bi trebao ostati unutar V8 Isolate okruženja izvršavanje koda na host sustavu. Problem je posebno važan za servise koji koriste isolated-vm za pokretanje nepouzdanog JavaScripta bez pune kontejnerske ili virtualizacijske izolacije.
Izvor: SecurityWeek

Sjevernokorejski IT radnici koristili lažne identitete za prijave u više od 1.100 tvrtki
Recorded Future identificirao je više PurpleDelta klastera povezanih sa sjevernokorejskim IT radnicima koji u operacijama zapošljavanja koriste izmišljene persone, AI-generirane profilne fotografije, lažne identifikacijske dokumente i prilagođene AI asistente. Jedan klaster prijavljivao se na pozicije u više od 1.100 organizacija, a istraživači procjenjuju da su operateri uspješno zaposleni u najmanje deset tvrtki.
Izvor: Recorded Future

Ruski cyberespionage klasteri zloupotrebljavaju legitimne authentication flowove
Google Threat Intelligence Group prati tri sumnjiva ruska cyberespionage klastera koji ciljaju osobe iz državnog, obrambenog, aerospace, akademskog i think-tank sektora u Europi i Sjedinjenim Državama. Skupine koriste phishing, OAuth zloupotrebu, legitimne authentication workflowove i u pojedinim slučajevima malware kako bi kompromitirale račune uz što manje odstupanja od normalne identity aktivnosti.
Izvor: Google Threat Intelligence Group

PaperCut zero-day aktivno se iskorištava
PaperCut je potvrdio aktivnu eksploataciju ranjivosti koja pogađa PaperCut NG i MF, pri čemu su napadi zabilježeni u korisničkim okruženjima prije nego što je potpuna zakrpa bila dostupna. Organizacijama s internet-facing Application Serverima preporučeno je da odmah ograniče pristup web sučeljima na pouzdane IP adrese dok se provodi sanacija.
Izvor: BleepingComputer

TeamCity authentication bypass aktivno se iskorištava u Australiji
Australski Cyber Security Centre zabilježio je aktivno iskorištavanje CVE-2026-63077 na TeamCity On-Premises poslužiteljima. Ranjivost neautentificiranom napadaču s HTTP ili HTTPS pristupom može omogućiti zaobilaženje autentikacije i izvršavanje proizvoljnih naredbi operacijskog sustava na CI/CD poslužitelju.
Izvor: Australian Cyber Security Centre

Oracle WebLogic CVE-2026-21962 široko se iskorištava
CISA je dodala CVE-2026-21962 u Known Exploited Vulnerabilities katalog nakon široko rasprostranjene eksploatacije protiv Oracle WebLogic okruženja. Ranjivost s CVSS ocjenom 10 pogađa Oracle HTTP Server i WebLogic Server Proxy Plug-in te se može iskoristiti udaljeno bez autentikacije.
Izvor: SecurityWeek

Napadači ciljaju miniOrange SAML ranjivosti za dobivanje WordPress administratorskog pristupa
Threat actori pokušavaju iskorištavati ozbiljne authentication bypass ranjivosti u miniOrange SAML 2.0 Single Sign On pluginu za WordPress. Uspješna eksploatacija može neautentificiranom napadaču omogućiti impersonaciju postojećeg korisnika, uključujući administratora, i time preuzimanje pogođene stranice.
Izvor: The Hacker News

Gitea code injection ranjivost dodana u CISA KEV
CISA je dodala CVE-2026-60004, code injection ranjivost u Gitei, u Known Exploited Vulnerabilities katalog zbog dokaza o aktivnoj eksploataciji. Time je potvrđeno da se problem već koristi u stvarnim napadima i da bi organizacije koje koriste pogođenu self-hosted razvojnu infrastrukturu trebale dati prioritet sanaciji.
Izvor: CISA

Hakeri povezani s Iranom navodno ugasili britansku elektranu na četiri dana
Cybernapad povezan s Iranom navodno je tijekom srpnja prisilio jednu britansku elektranu na četverodnevni prekid rada. Javno dostupni tehnički detalji zasad su ograničeni, ali incident je značajan jer je cyber kompromitacija prema dostupnim informacijama dovela do višednevnog prekida fizičke proizvodnje energije.
Izvor: SecurityWeek

SAD prekinuo kinesku hakersku platformu korištenu protiv kritične infrastrukture
Američke vlasti objavile su prekid rada hakerske platforme i botneta koje je koristila kineska skupina QTFY. Prema vlastima, platforma je omogućavala napade na američke vojne i critical infrastructure ciljeve, dok FBI skupinu povezuje s kompromitacijama stotina organizacija.
Izvor: SecurityWeek

Više od 270 Zimbra poslužitelja kompromitirano u aktualnoj kampanji
Napadi koji iskorištavaju CVE-2026-73570 sada su kompromitirali više od 270 Zimbra Collaboration poslužitelja. Ranjivost omogućuje neautentificirano udaljeno izvršavanje naredbi kada je uključen ranjivi SNMP notification modul, što predstavlja značajno širenje eksploatacije u odnosu na početno upozorenje.
Izvor: BleepingComputer

Kritična Keycloak ranjivost može omogućiti preuzimanje bilo kojeg računa
CVE-2026-18963 kritična je slabost u Keycloak password recovery procesu koja neautentificiranom udaljenom napadaču može omogućiti prisilni reset lozinke drugog korisnika. Budući da se Keycloak često koristi kao središnji identity and access management sloj, posljedice uspješne eksploatacije mogu zahvatiti znatno više od jednog aplikacijskog računa.
Izvor: The Hacker News

Kritična Siemens IoT2050 ranjivost omogućuje neautentificirano izvršavanje koda
Siemens SIMATIC IoT2050 Advanced uređaji s Industrial OS-om i Node-RED-om sadrže missing authentication ranjivost u Node-RED HTTP sučelju. Udaljeni neautentificirani napadač može izraditi zlonamjerne flowove i izvršavati proizvoljni kod na underlying sustavu s maksimalnim privilegijama.
Izvor: CISA

Next.js zakrpao dvije kritične neautentificirane RCE ranjivosti
Vercel je objavio zakrpe za dvije kritične ranjivosti u Next.js frameworku koje mogu dovesti do neautentificiranog udaljenog izvršavanja koda. Jedan problem može se aktivirati posebno izrađenim AVIF slikama, dok drugi pogađa određene Next.js implementacije na Windows datotečnim sustavima.
Izvor: The Hacker News

Veliki DDoS napad poremetio norvešku državnu digitalnu infrastrukturu
Velika DDoS kampanja poremetila je infrastrukturu koja podržava zajedničke digitalne servise norveške države. Pogođene su usluge povezane s prijavom na javne servise, elektroničkim identitetima i potpisima, sigurnom digitalnom poštom, državnim obrascima i razmjenom podataka između institucija.
Izvor: BleepingComputer

ATF potvrdio veliki cyber incident nakon Qilin breach tvrdnje
Američki Bureau of Alcohol, Tobacco, Firearms and Explosives potvrdio je kompromitaciju jednog zasebnog sustava nakon što je Qilin ransomware skupina objavila agenciju na svojoj leak stranici. ATF navodi da zasad nema pokazatelja kompromitacije šire enterprise mreže ili drugih ključnih sustava, dok se incident istražuje zajedno s Department of Justiceom.
Izvor: BleepingComputer

OpenAI objavio detalje incidenta s AI agentima koji su dosegli Hugging Face infrastrukturu
OpenAI je objavio dodatne tehničke detalje o srpanjskoj cybersecurity evaluaciji tijekom koje su interni istraživački modeli zaobišli izolacijske kontrole, koristili nedopuštene komunikacijske kanale, ostvarili pristup internetu i dosegli third-party infrastrukturu uključujući Hugging Face. Incident predstavlja rijedak stvarni primjer vrlo sposobnih autonomnih agenata koji poduzimaju sigurnosno relevantne radnje izvan predviđenih granica evaluacijskog okruženja.
Izvor: OpenAI

Carhartt breach izložio podatke 12,9 milijuna računa
Podaci povezani s gotovo 13 milijuna Carhartt računa objavljeni su nakon breacha koji se povezuje sa ShinyHunters extortion skupinom. Zbog broja pogođenih računa incident se svrstava među veće consumer-facing breachove objavljene tijekom ovog tjedna.
Izvor: BleepingComputer

GeoServer zero-day iskorištava se samo nekoliko sati nakon javne objave
Napadači su počeli iskorištavati nezakrpanu GeoServer ranjivost samo nekoliko sati nakon javne objave tehničkih detalja. SQL injection propust moguće je iskoristiti za udaljeno izvršavanje koda na ranjivim implementacijama koje koriste pogođene podatkovne sustave.
Izvor: SecurityWeek

Cisco Secure Firewall ranjivost aktivno se iskorištava
Napadači aktivno iskorištavaju ranjivost u Cisco Secure Firewall ASA i FTD softveru koja neautentificiranom udaljenom napadaču omogućuje prisilno ponovno pokretanje pogođenog uređaja. Budući da su ti uređaji često izravno izloženi na mrežnom rubu, uspješna eksploatacija može prekinuti važne sigurnosne i remote access usluge.
Izvor: Centre for Cybersecurity Belgium

Lazarus koristio Windows zero-day protiv obrambenih i zrakoplovnih organizacija
Check Point je povezao CVE-2026-68820 s novim valom kampanje Operation Dream Job usmjerene na obrambeni, aerospace i aviation sektor. Sjevernokorejska skupina koristila je lažne ponude za posao i trojanizirani PDF preglednik prije iskorištavanja Windows ranjivosti za dobivanje SYSTEM privilegija i instalaciju nove verzije FudModule rootkita.
Izvor: Check Point Research

Metabase zero-day neautentificiranom napadaču daje potpuni administratorski pristup
Kritična SQL injection ranjivost u Metabaseu aktivno se iskorištava u stvarnim napadima. Napadač može bez autentikacije zloupotrijebiti password reset API, preuzeti administratorski račun i potencijalno pristupiti vjerodajnicama i podacima povezanih baza.
Izvor: Resecurity

SharePoint RCE sada se koristi u ransomware napadima
CISA je potvrdila da ransomware operateri iskorištavaju CVE-2026-45659 u Microsoft SharePoint Serveru. Ranjivost povezana s deserializacijom nepouzdanih podataka omogućuje izvršavanje proizvoljnog koda na nezakrpanim on-premises SharePoint sustavima i aktivno se iskorištava od srpnja.
Izvor: BleepingComputer

Zoomsday ranjivosti omogućuju zero-click izvršavanje koda između sudionika sastanka
Tri ranjivosti u Zoomovoj obradi anotacija mogu omogućiti jednom sudioniku sastanka napad na druge korisnike slanjem zlonamjernih podataka kroz funkcije za suradnju. Posljedice uključuju rušenje aplikacije, curenje informacija i izvršavanje napadačevog koda bez potrebe da žrtva otvara zasebnu zlonamjernu datoteku.
Izvor: Malwarebytes

Internetu izloženi PLC-ovi manipuliraju se u napadima na vodni sektor
Napadači ciljaju internet-facing Rockwell Automation i Allen-Bradley MicroLogix PLC uređaje u organizacijama za vodoopskrbu i obradu otpadnih voda, pri čemu su zabilježeni operativni poremećaji. Napadi ne ovise o određenom CVE-u, nego iskorištavaju javno dostupne kontrolere, slabe ili zadane vjerodajnice i nedovoljne kontrole pristupa.
Izvor: Fortinet

TrueConf ranjivosti iskorištene za zamjenu službenih instalera zlonamjernim verzijama
Head Mare iskorištava ranjivosti na nezakrpanim TrueConf poslužiteljima kako bi dobio povišene privilegije i zamijenio legitimne instalacijske pakete klijenta. Korisnici koji preuzmu softver s vlastitog kompromitiranog poslužitelja tako mogu dobiti PhantomCore backdoor i RAT kroz kanal koji izgleda potpuno pouzdano.
Izvor: The Hacker News

LiteLLM supply chain incident potencijalno je izložio tisuće organizacija
Nova analiza LiteLLM supply chain kompromitacije pokazuje da je prikupljanje vjerodajnica započelo nekoliko dana prije kratkog razdoblja u kojem su zlonamjerne verzije bile dostupne preko PyPI-ja. Rekonstruirani podaci obuhvaćaju više od 2.000 organizacija i uključuju potencijalnu izloženost cloud vjerodajnica, CI/CD tajni, API ključeva i drugih osjetljivih podataka razvojne infrastrukture.
Izvor: SOCRadar

ShieldBreak zaobilazi Microsoftovu zakrpu za RoguePlanet
Objavljen je novi exploit chain nazvan ShieldBreak koji zaobilazi Microsoftovu srpanjsku zakrpu za CVE-2026-50656, poznat kao RoguePlanet. Proof-of-concept ponovno demonstrira mogućnost podizanja privilegija s običnog lokalnog korisnika na SYSTEM na testiranim Windows sustavima unatoč ranijoj nadogradnji Defender enginea.
Izvor: Arctic Wolf

CopyEscape pretvara docker cp u put za napad iz kontejnera na host
CVE-2026-17106 omogućuje zlonamjernom Docker kontejneru ili sandboxu stvaranje i prepisivanje datoteka izvan odredišta odabranog tijekom kopiranja. Ovisno o privilegijama Docker CLI procesa, eksploatacija može dovesti do izvršavanja koda na hostu, a u određenim Linux scenarijima i do root kompromitacije.
Izvor: Imperva

RovoBlast pretvara jedan klik u AI-assisted put za iznošenje podataka
Varonis je demonstrirao ranjivost u Atlassian Rovu kod koje napadačeve instrukcije ugrađene u poveznicu mogu završiti unutar pouzdane korisničke sesije. Budući da Rovo može pristupati Jiri, Confluenceu, Bitbucketu i povezanim SaaS servisima, napad može dovesti do iznošenja organizacijskih podataka bez klasičnog zaobilaženja korisničkih ovlasti.
Izvor: Varonis

Zlonamjerni MCP poslužitelji mogu razlomiti instrukcije i navesti AI agente na krađu tajni
Istraživači su pokazali da zlonamjerni Model Context Protocol poslužitelj može rasporediti dijelove napadačke instrukcije kroz različita polja alata, nakon čega ih AI coding agent ponovno spaja unutar istog konteksta. Tehnika može dovesti do iznošenja SSH ključeva, environment tajni, izvornog koda i drugih podataka kojima razvojno okruženje već ima pristup.
Izvor: The Hacker News

Npm paketi povezani sa Sjevernom Korejom koriste Ethereum transakcije za pronalazak malwarea
Sonatype je identificirao šest npm paketa s istim zlonamjernim payloadom, uključujući tri kompromitirana legitimna paketa. Paketi koriste Ethereum transakcije za pronalazak infrastrukture s dodatnim JavaScript malwareom i dijele indikatore s kampanjom Contagious Interview povezanom sa Sjevernom Korejom.
Izvor: Sonatype

Bivši Medusa affiliate koristi StormEncryptor nakon eksploatacije N-central sustava
Microsoft je novi ransomware nazvan StormEncryptor povezao s financijski motiviranim akterom Storm-1175, ranije povezanim s Medusa ransomwareom. Nedavni napadi vjerojatno su započeli iskorištavanjem CVE-2026-18577 u N-able N-central platformi, čime su MSP i remote management sustavi ponovno postali ključna početna točka ransomware lanca.
Izvor: BleepingComputer