Sigurnosne vijesti tjedna [07/26-3]

SonicWall SMA1000 zero-day ranjivosti pogađaju remote access infrastrukturu
SonicWall je potvrdio aktivnu eksploataciju dviju SMA1000 ranjivosti, CVE-2026-15409 i CVE-2026-15410. Lanac spaja neautentificirani SSRF s putanjama prema izvršavanju koda koje napadačima mogu dati root kontrolu nad izloženim remote access uređajima, što ovu priču čini jednom od najhitnijih ovoga tjedna.
Izvor: Help Net Security

Azure permission takeover pokazuje kako jedan credential može postati potpuna kontrola nad tenantom
Sysdig je opisao napad u kojem je jedan procurjeli service principal credential do sljedećeg jutra prerastao u potpunu kompromitaciju Azure tenanta. Napadač se kretao kroz više nepovezanih permission sustava, postavio trajnost na velikom broju identiteta i preuzeo vidljivost nad telemetrijskim slojem koji ga je trebao otkriti.
Izvor: Sysdig

Hugging Face objavio breach vođen autonomnim AI agentom
Hugging Face je objavio da je autonomni AI agent sustav pogurao upad od izvršavanja zlonamjernog dataseta do kretanja prema internim klasterima. Incident je posebno važan jer je to jedan od najjasnijih javnih primjera end-to-end AI-assisted upada koji prelazi iz teorije u stvarnu operativnu praksu.
Izvor: Hugging Face

AsyncAPI npm kompromitacija isporučuje višefazni Miasma malware
Više službenih AsyncAPI npm paketa kompromitirano je i iskorišteno za isporuku višefaznog botnet loadera povezanog s obitelji Miasma. Kampanja pokazuje da napadači i dalje pronalaze načine zaobilaženja review kontrola kroz repozitorije, publishing pipelineove i povjerljive namespaceove paketa, umjesto da se oslanjaju samo na grube install-hook trikove.
Izvor: The Hacker News

Claude za Chrome ima propust koji izlaže Google Workspace podatke
Istraživači su prijavili da Anthropicov Claude za Chrome i dalje sadrži neispravljene propuste koji bilo kojoj ekstenziji s content scriptom na claude.ai mogu omogućiti pokretanje promptova prema Gmailu, Dokumentima i Kalendaru. U okruženjima gdje su korisnici već omogućili popustljiviji način rada, rizik raste s prisiljene potvrde na potencijalno tihi pristup enterprise podacima.
Izvor: Manifold

ShinyHunters tradecraft pokazuje kako OAuth zloupotreba prerasta u SaaS-scale pristup
Microsoft je detaljno opisao kako je aktivnost povezana sa ShinyHunters akterima zloupotrebljavala OAuth odnose, vishing i povjerljive integracije za pristup SaaS aplikacijama poput Salesforcea. Ključna poruka je da se kompromitacija sada može širiti kroz consent flowove i poslovne integracije koje izgledaju dovoljno legitimno da zaobiđu klasične login detekcije.
Izvor: Microsoft Security

Siemens ROX II lanac donosi trajni root pristup u OT mrežama
Unit 42 i Siemens objavili su lančani exploit koji uključuje tri zero-day ranjivosti u Siemens ROX II preklopnicima. Zajedno omogućuju eskalaciju privilegija i trajni root-level pristup na uređajima koji se nalaze unutar industrijskih kontrolnih okruženja, što ovu temu čini znatno važnijom od tipičnog switch advisora.
Izvor: Unit 42

LegacyHive dodaje još jedan Windows zero-day u niz Nightmare Eclipse objava
Nightmare Eclipse objavio je LegacyHive, local privilege escalation zero-day u Windows User Profile Serviceu. Iako je proof-of-concept navodno prilagođen kako bi ga bilo teže izravno weaponizirati, stalno javno objavljivanje funkcionalnih Windows zero-dayeva stvara stvaran pritisak na obranu i brzinu reagiranja nakon patchanja.
Izvor: SecurityWeek

Lažni coding testovi skrivaju OtterCookie-aligned malware u SVG slikama
Sjevernokorejski akteri povezani s Contagious Interview kampanjom koristili su lažne poslove i coding testove u kojima su faze payloada skrivene unutar SVG zastava. Žrtve koje su pokrenule projekt završavale su u višefaznoj kompromitaciji koja uključuje krađu credentiala, krađu crypto walleta, remote access i clipboard hijacking.
Izvor: The Hacker News

Ghostcommit pokazuje da se prompt injection može sakriti u slikama
Istraživači su demonstrirali pull request napad koji prompt injection upute skriva u PNG slici tako da AI code review agent odobri promjenu, dok ljudski reviewer ne vidi stvarnu namjeru. Tehnika je važna jer pogađa rastuću slijepu točku AI-assisted razvoja, gdje agenti sadržaj obrađuju drugačije od ljudi.
Izvor: BleepingComputer

Kineski operateri navodno koriste Claude Code i DeepSeek u stvarnim upadima
Hunt.io opisuje kampanju u kojoj su Claude Code i DeepSeek korišteni kao aktivni dijelovi napadačkog workflowa, a ne samo kao pomoćni alati. Prema objavi, pomagali su u prilagodbi bypass tehnika, doradi exploita nakon neuspjeha i izradi phishing infrastrukture usmjerene na državne i financijske sustave u četiri zemlje.
Izvor: Hunt.io

ClickLock Stealer dodaje još jednu modularnu macOS prijetnju koju treba pratiti
Group-IB je otkrio dosad nepoznat modularni macOS stealer koji se vjerojatno distribuira preko ClickFix stranica, kompromitiranih WordPress domena i Telegram infrastrukture. Malware navodno radi bez elevated privilegija i bez exploita, pa je socijalni inženjering ovdje važniji od bilo kakvog OS bypassa.
Izvor: Group-IB

ACR Stealer aktivnost raste u enterprise okruženjima
Microsoft je zabilježio povećanu aktivnost ACR Stealera koji koristi ClickFix mamce za krađu browser credentiala, tokena i osjetljivih dokumenata iz enterprise sustava. Kampanje potvrđuju da lagani infostealeri i dalje ostaju vrlo učinkovit početni korak prema širem account compromiseu i kasnijoj cloud zloupotrebi.
Izvor: Microsoft Security

Accenture potvrdio breach nakon tvrdnji o krađi izvornog koda
Accenture je potvrdio breach nakon što je threat actor tvrdio da je ukrao 35 GB internih podataka, uključujući source code, ključeve i konfiguracijski materijal. I bez svih tehničkih detalja u javnosti, incident je važan zbog vrste navodno iznesenih podataka i potencijalnog downstream rizika koji to stvara.
Izvor: SecurityWeek

Fairlife ransomware incident poremetio je proizvodnju mliječnih proizvoda u SAD-u
Coca-Cola je objavila da je ransomware napad koji je pogodio Fairlife zahvatio production-related sustave i privremeno zaustavio proizvodnju diljem Sjedinjenih Država. Ovo je još jedan jak podsjetnik da cyber incidenti i dalje prelaze iz IT smetnje u izravan operativni i supply chain problem u fizičkom gospodarstvu.
Izvor: BleepingComputer

Sigurnosne vijesti tjedna [07/26-2]

Januscape otvara novi put za VM escape na Intel i AMD platformama
Istraživači su objavili Januscape, Linux KVM ranjivost koja omogućuje guest-to-host escape i na Intel i na AMD sustavima. Budući da pogađa shadow MMU putanju u KVM-u i da je navodno korištena kao zero-day u Googleovu kvmCTF programu, riječ je o jednoj od najvažnijih virtualizacijskih ranjivosti ovog tjedna.
Izvor: BleepingComputer

Kritična Gitea ranjivost već se aktivno iskorištava
Istraživači upozoravaju da napadači aktivno iskorištavaju CVE-2026-20896 u Gitea reverse-proxy autentikacijskoj logici. Na pogođenim Docker implementacijama dovoljan može biti jedan posebno oblikovan HTTP header kako bi se pristupilo internet-facing instancama kada je poznato samo valjano korisničko ime.
Izvor: SecurityWeek

Ubiquiti objavio šire UniFi zakrpe nakon ranije potvrđene weaponizacije
Ubiquiti je objavio nadogradnje za kritične propuste u UniFi Connect, Talk, Access, Protect i UniFi OS proizvodima. Posebno je važno to što je CISA već prošli mjesec označila tri UniFi OS ranjivosti kao iskorištavane u stvarnim napadima, pa se ne radi o rutinskom patch ciklusu.
Izvor: The Hacker News

Microsoft zatvorio RoguePlanet Defender zero-day
Microsoft je ispravio RoguePlanet, praćen kao CVE-2026-50656, kroz nadogradnju Microsoft Malware Protection Enginea. Propust je omogućavao podizanje privilegija sa standardnog korisničkog konteksta na SYSTEM, što ga čini vrlo važnim za post-compromise eskalaciju na Windows sustavima.
Izvor: Malwarebytes

Zimbra traži hitno patchiranje kritične stored XSS ranjivosti
Zimbra je upozorila korisnike da zakrpaju kritičnu stored XSS ranjivost u Classic Web Clientu. Problem se može aktivirati posebno pripremljenim emailom i izvršava zlonamjerni kod kada se poruka otvori, što ga čini posebno opasnim u velikim mail okruženjima.
Izvor: BleepingComputer

Kineski akter cilja sveučilišta preko Roundcube poslužitelja
Proofpointova aktivnost UNK_MassTraction cilja Roundcube poslužitelje na američkim i kanadskim sveučilištima, osobito odjele fizike i inženjerstva povezane s osjetljivim istraživanjima. Kampanje koriste više Roundcube n-day ranjivosti za krađu vjerodajnica, postavljanje webshellova ili učitavanje VShell backdoora izravno u memoriju uz slabiju vidljivost obrani.
Izvor: Hackread

Lažni IT support pozivi preko Teamsa isporučuju EtherRAT
Napadači koriste Microsoft Teams glasovne pozive, phishing emailove i legitimne remote management alate kako bi zaposlenike naveli na instalaciju EtherRAT-a. Kampanja pokazuje da se kolaboracijske platforme sve više koriste ne samo za mamce, nego i za live socijalni inženjering koji odmah stvara početni pristup.
Izvor: BleepingComputer

Vishing kampanje sada ciljaju Microsoft Entra passkey enrolment
Okta je objavila da akter praćen kao O-UNC-066 koristi voice phishing i domene povezane s passkey registracijom kako bi žrtve naveo u lažne Microsoft 365 passkey procese. Kampanja pogađa enterprise organizacije u više sektora i više je usmjerena na iznudu podataka nego na klasičnu krađu lozinki.
Izvor: Okta

Rogue Agent pokazuje kako jedna dozvola može kompromitirati Dialogflow CX
Varonis je objavio Rogue Agent, problem u Dialogflow CX-u koji je omogućavao trajnu injekciju zlonamjernog koda u tijek rada konverzacijskih agenata. Napad je mogao tiho iznositi razgovore i podržati phishing u većem opsegu, što jasno pokazuje kako cloud AI platforme stvaraju nove probleme privilegija i trust boundary kontrole.
Izvor: Varonis

HalluSquatting pretvara AI halucinacije u supply chain put napada
Istraživači su pokazali da napadači mogu registrirati nazive paketa koje AI coding asistenti haluciniraju i zatim čekati da ih agent automatski preuzme ili pokrene. Rezultat je praktičan most između modelskih halucinacija i stvarnog izvršavanja koda na developerskim računalima, posebno kada agenti mogu dohvaćati vanjske resurse uz minimalnu provjeru.
Izvor: The Hacker News

KDDI navodi da je više od 12 milijuna ljudi pogođeno probojem ISP platforme
Japanski telekom gigant KDDI objavio je da je proboj zajedničke email platforme doveo do izloženosti email adresa i lozinki povezanih s više od 12 milijuna ljudi. Incident je pogodio više ISP-ova i spada među veće consumer-facing telekom proboje prijavljene ovog tjedna.
Izvor: BleepingComputer

GigaWiper spaja backdoor pristup i destruktivne sabotažne mogućnosti
Microsoft je detaljno opisao GigaWiper, Golang backdoor koji objedinjuje command-and-control funkcije s wipingom, lažnim ransomwareom i širom sabotažom sustava. Važnost mu je u tome što spaja više malware sposobnosti u jednu fleksibilnu destruktivnu platformu, umjesto da ovisi o jednom fiksnom payloadu.
Izvor: Microsoft Security

WP-SHELLSTORM razotkrio je veliku webshell access-broker operaciju
SOCRadar navodi da je izloženi Python SimpleHTTPServer otkrio interni alatni paket, logove i ciljane liste velike WordPress-oriented access-brokerage kampanje. Prema objavi, operacija je ciljala više od 1,4 milijuna domena, weaponizirala 27 CVE-ova i održavala tisuće aktivnih webshellova.
Izvor: SOCRadar

Talos prati UAT-7810 dok širi ORB infrastrukturu
Cisco Talos navodi da UAT-7810 nastavlja graditi i održavati operational relay box mreže kroz LapDogs infrastrukturu i evoluirajući SHORTLEASH malware. Takve ORB mreže važne su jer su dizajnirane da služe sekundarnim akterima i pruže otpornu ruting infrastrukturu za buduće napade na visoko vrijedne mete.
Izvor: Cisco Talos

ESET H1 2026 izvještaj pokazuje da AI skill ekosustav postaje zaseban sigurnosni problem
ESET-ov H1 2026 izvještaj pokazuje da napadači sve brže skaliraju postojeće tehnike i prilagođavaju ih novim platformama, osobito AI ekosustavima. Izvještaj ističe gotovo 900.000 analiziranih AI skillova u prvoj polovici godine, uključujući desetke tisuća sumnjivih i tisuće jasno zlonamjernih instanci.
Izvor: ESET

Sigurnosne vijesti tjedna [07/26-1]

Cisco potvrdio aktivnu eksploataciju Unified CM ranjivosti
Cisco je potvrdio da napadači aktivno iskorištavaju CVE-2026-20230 u Unified Communications Manageru. Riječ je o neautentificiranom SSRF propustu koji se može pokrenuti posebno oblikovanim HTTP zahtjevima, što ugrožava ključnu enterprise telefonijsku infrastrukturu.
Izvor: BleepingComputer

FortiBleed krađa vjerodajnica sada je povezana sa stvarnim ransomware napadima
SOCRadar je povezao FortiBleed s INC i Lynx ransomware operacijama, čime je potvrđen izravan prijelaz od krađe FortiGate vjerodajnica do daljnjih upada. Kampanja je navodno skenirala više od 11.000 FortiGate portala, ostvarila potvrđeni adminsitratorski pristup na stotinama meta i već dovela do više ransomware incidenata.
Izvor: The Hacker News

Više od 900 Oracle E-Business instanci izloženo je aktivnim napadima
Istraživači upozoravaju da je više od 900 Oracle E-Business Suite instanci dostupno na internetu dok napadači aktivno iskorištavaju CVE-2026-46817. Propust pogađa Oracle Payments i omogućuje neautentificirano preuzimanje ranjivih sustava preko HTTP-a.
Izvor: BleepingComputer

Nova CitrixBleed ranjivost iskorištena je manje od dana nakon objave
Nova CitrixBleed slična ranjivost u NetScaler ADC i Gateway uređajima, CVE-2026-8451, počela se iskorištavati gotovo odmah nakon javne objave tehničkih detalja. Propust omogućuje curenje memorije na uređajima konfiguriranima kao SAML identity provider, nastavljajući obrazac vrlo brze eksploatacije remote access infrastrukture.
Izvor: SecurityWeek

Microsoft SharePoint RCE dodan je u KEV nakon potvrđene aktivne eksploatacije
CISA je dodala CVE-2026-45659 u Microsoft SharePoint Serveru u Known Exploited Vulnerabilities katalog. Ovaj deserialization propust sada se aktivno iskorištava, što dodatno pojačava pritisak na on-premises kolaboracijske sustave.
Izvor: CISA

Splunk Enterprise RCE prešao je u fazu aktivne eksploatacije
CVE-2026-20253 u Splunk Enterpriseu kritična je neautentificirana ranjivost za udaljeno izvršavanje koda u PostgreSQL sidecar recovery putanji dostupnoj kroz Splunk Web. Nakon javne analize i objave proof-of-concepta, CISA je ranjivost dodala u KEV i zatražila hitnu sanaciju.
Izvor: Zscaler ThreatLabz

BlueHammer se koristi u stvarnim ransomware napadima
CISA upozorava da se Microsoft Defender privilege escalation propust poznat kao BlueHammer sada koristi u ransomware operacijama. Ranjivost je javno objavljena prije ispravka, a napadači je očito koriste za jačanje pristupa na kompromitiranim Windows sustavima.
Izvor: BleepingComputer

Trojanizirani CVE proof-of-concept repozitoriji ciljaju sigurnosne istraživače
YesWeHack i Sekoia opisali su aktivnu kampanju koja koristi zlonamjerne repozitorije s exploitima za kompromitaciju vulnerability istraživača i pentestera. Kampanja traje još od kraja 2025. i zloupotrebljava povjerenje u javno dostupni proof-of-concept kod.
Izvor: YesWeHack

JADEPUFFER pokazuje prvi dokumentirani agentic ransomware napad
Sysdig opisuje JADEPUFFER kao potpuno automatizirani iznuđivački tijek vođen od početka do kraja velikim jezičnim modelom. Akter je iskoristio izloženi Langflow, prilagođavao se tijekom napada i zatim prešao na destruktivnu iznudu nad produkcijskom bazom bez klasičnog ljudskog operatera u svakoj fazi.
Izvor: Sysdig

Vect i TeamPCP formalizirali su partnerstvo za supply chain i ransomware kampanje
Sophos navodi da Vect i TeamPCP sada djeluju zajedno, spajajući krađu vjerodajnica i supply chain kompromitacije s ransomware isporukom. Partnerstvo pokazuje kako specijalizirane kriminalne skupine sve češće povezuju početni pristup, krađu podataka i iznudu u jednu koordiniranu operativnu cjelinu.
Izvor: Sophos

Mustang Panda cilja indijski državni i energetski sektor novim alatima
Acronis prati paralelne Mustang Panda kampanje protiv indijskih državnih tijela i hidroenergetskih meta. Operacije koriste nove implantate, uključujući ZOHOMURK i MINIRECON, te zloupotrebljavaju Zoho WorkDrive kao dio lanca kompromitacije.
Izvor: Acronis TRU

VeilDrop koristi Blogspot za isporuku stealera koji radi u memoriji
Securonix je analizirao VeilDrop, višefazni lanac isporuke koji počinje lažnom dokument skriptom i koristi Blogspot-hostane faze za isporuku PureLog Stealera u memoriji. Kampanja se oslanja na pouzdanu cloud infrastrukturu i višeslojnu obfuskaciju kako bi smanjila šanse za detekciju.
Izvor: Securonix

Iranski TAG-182 širi MarkiRAT u nadzornim operacijama
Recorded Future povezao je novu infrastrukturu s klasterom TAG-182 i njegovom upotrebom MarkiRAT malwarea u iranskim nadzornim kampanjama. Operacija je usmjerena na Irance unutar i izvan zemlje, a koristi mamce poput lažnih VPN-ova i download alata distribuiranih preko društvenih platformi.
Izvor: Recorded Future

TONResolver cilja japanski hotelski sektor uz blockchain-based C2 ažuriranja
Trend Micro opisuje phishing kampanju protiv japanskih partnera Booking.coma koja isporučuje TONResolver RAT. Malware koristi TON blockchain kao dead drop resolver, što napadačima omogućuje fleksibilnu promjenu command-and-control adresa bez hardkodiranja u sam payload.
Izvor: Trend Micro

LSHIY password spray kampanja napravila je više od 81 milijun login pokušaja
Huntress je uočio veliku automatiziranu password spray kampanju usmjerenu na Microsoft Azure CLI tokove, koja dolazi s infrastrukture povezane s LSHIY-em. Aktivnost je proizvela više od 81 milijun pokušaja prijave i kompromitirala desetke Microsoft računa, uključujući okruženja koja su već imala Conditional Access kontrole.
Izvor: Huntress

Sigurnosne vijesti tjedna [06/26-4]

Kritične Ubiquiti ranjivosti sada se aktivno iskorištavaju u napadima
CISA je upozorila da napadači aktivno ciljaju tri kritične UniFi OS ranjivosti, sve ocijenjene s 10.0. Propusti omogućuju neautorizirane izmjene, pristup datotekama i dublju manipulaciju sustavom na izloženim uređajima, što ovu priču čini jednom od najhitnijih za edge infrastrukturu ovog tjedna.
Izvor: SecurityWeek

Cisco Unified CM ranjivost sada se iskorištava u stvarnim napadima
Napadači sada iskorištavaju CVE-2026-20230 u Cisco Unified Communications Manageru. Problem počinje kao neautentificirani SSRF propust, ali Cisco je već upozorio da se može iskoristiti za zapisivanje datoteka i kasnije podizanje pristupa na root razinu na pogođenim sustavima.
Izvor: BleepingComputer

CISA upozorava da se Lantronix EDS5000 ranjivost aktivno iskorištava
CISA navodi da je CVE-2025-67038 u Lantronix EDS5000 uređajima aktivno iskorištavan i zatražila je hitnu sanaciju. Riječ je o root-level command injection propustu u HTTP RPC modulu, što ga čini posebno opasnim za serial-to-IP infrastrukturu u operativnim okruženjima.
Izvor: The Hacker News

PTC Windchill bilježi prvu potvrđenu stvarnu eksploataciju
Istraživači su prijavili prvi poznati slučaj iskorištavanja ranjivosti u PTC Windchillu u stvarnim napadima. Propust omogućuje neautentificirano udaljeno izvršavanje koda kroz posebno pripremljene zahtjeve, a njegova važnost proizlazi iz toga što Windchill sjedi duboko unutar product lifecycle i inženjerskih okruženja.
Izvor: SecurityWeek

FFmpeg PixelSmash može pretvoriti zlonamjernu medijsku datoteku u udaljeno izvršavanje koda
JFrog je objavio CVE-2026-8461, visokorizičan propust u FFmpeg MagicYUV dekoderu koji se može iskoristiti za pouzdano udaljeno izvršavanje koda. Budući da je FFmpeg ugrađen u video playere, NAS uređaje, media servere i cloud pipelineove, izloženost daleko nadilazi jednu klasu aplikacija.
Izvor: SecurityWeek

Vendor-signed UEFI aplikacije mogu se zloupotrijebiti za Secure Boot bypass
CERT je upozorio da su višestruke vendor-signed UEFI aplikacije ranjive na Secure Boot bypass napad sličan BYOVD pristupu u pre-boot fazi. Ako sustav vjeruje pogođenom certifikatnom lancu, napadač može izvršiti kod prije samog podizanja operativnog sustava, što značajno povećava ozbiljnost incidenta.
Izvor: CERT/CC

ShapedPlugin supply chain kompromitacija ubacila je backdoor u službene WordPress Pro nadogradnje
Wordfence je objavio da su napadači kompromitirali ShapedPlugin build i distribucijski pipeline te ubacili backdoor kod u Pro plugin izdanja isporučena kroz službene kanale. Slučaj se izdvaja jer su žrtve slijedile uobičajene sigurnosne prakse i ipak bile izložene kroz vendorov vlastiti update sustav.
Izvor: Wordfence

Mini Shai-Hulud ponovno se proširio kroz LeoPlatform npm i Go ekosustav
Socket prati novi val kampanje Miasma i Mini Shai-Hulud koji pogađa LeoPlatform i RStreams npm pakete, GitHub Actions workflowe i povezanu kompromitaciju jednog Go modula. Operacija i dalje spaja install-time izvršavanje, Bun-staged malware, krađu CI tajni i perzistenciju u AI alatima u širu prijetnju developerskom ekosustavu.
Izvor: Socket

Klue Salesforce incident sada je pogodio i BeyondTrust i LastPass
SecurityWeek navodi da su i BeyondTrust i LastPass pogođeni kroz Klue incident, u kojem je napadač iskoristio kompromitiranu legacy vjerodajnicu za generiranje OAuth tokena i pristup povezanim Salesforce okruženjima. Priča dodatno potvrđuje da SaaS integracije trećih strana mogu postati put kompromitacije za više nizvodnih organizacija odjednom.
Izvor: SecurityWeek

FortiBleed pokazuje veliku rusku operaciju krađe vjerodajnica usmjerenu na Fortinet uređaje
SOCRadar opisuje FortiBleed od masovne rekognoscije i prikupljanja vjerodajnica do pasivnih sniffera, offline crackanja i ciljanog iznošenja podataka. Istraga se proširila s jednog otvorenog direktorija na više od 260 operativnih servera, što upućuje na zrelu i postojanu access-brokering infrastrukturu izgrađenu oko Fortinet okruženja.
Izvor: SOCRadar

Photo Zip kampanja cilja hotelski sektor Node.js implantom
Microsoft je opisao aktivnu kampanju protiv organizacija u hospitality sektoru u Europi i Aziji koja koristi ZIP arhive s fotografijama i lažne shortcut datoteke. Lanac vodi do zamagljenog PowerShella, Node.js implanta, registry perzistencije i komunikacije prema C2 sustavima preko neuobičajenih portova radi dugotrajnog pristupa.
Izvor: Microsoft Security

Edgecution koristi zlonamjernu Microsoft Edge ekstenziju za izlazak iz sandboxa preglednika
Zscaler je povezao novu tehniku isporuke malwarea nazvanu Edgecution s initial access brokerom povezanim s Payouts King ransomwareom. Zloupotrebom Chrome native messaging protokola kroz lažnu Edge ekstenziju napadači dobivaju izravan pristup hostu i izlaze iz uobičajenog sandbox modela preglednika.
Izvor: Zscaler ThreatLabz

Kineski klaster CL-STA-1062 ciljao je vlade i energetske subjekte u jugoistočnoj Aziji
Unit 42 navodi da je CL-STA-1062 ciljao državna tijela i državna poduzeća u jugoistočnoj Aziji te koristio kombinaciju open-source alata i novog backdoora TinyRCT. Aktivnost odgovara dugotrajnom regionalnom špijunskom obrascu, a ne kratkotrajnoj kampanji.
Izvor: Unit 42

AutoJack pokazuje kako jedna web stranica može pretvoriti AI agenta u put do kompromitacije hosta
Microsoftovi istraživači opisali su AutoJack, lanac eksploatacije u AutoGen Studiju koji omogućuje da nepouzdan web sadržaj dosegne lokalni MCP WebSocket i pokrene procese na hostu. Iako pogođena površina nikad nije bila dio PyPI izdanja, istraživanje je važno jer pokazuje stvaran localhost trust boundary problem u AI agent alatima.
Izvor: Microsoft Security

Cordyceps otkriva širok obrazac iskorištavanja CI/CD slabosti u važnim repozitorijima
Novee tvrdi da je pronašao sustavnu klasu CI/CD slabosti kroz oko 30.000 visokoutjecajnih repozitorija, uključujući lance iskorištavanja s command injectionom, lošom autentikacijom, trovanjem artefakata i eskalacijom privilegija u GitHub Actions workflowima. Važnost priče nije u jednom proizvodu nego u ponovljivom supply chain obrascu koji se može proširiti kroz velike open-source projekte.
Izvor: Novee

Sigurnosne vijesti tjedna [06/26-2]

Cisco SD WAN nulti dan aktivno se iskorištava za dobivanje root pristupa
Cisco je upozorio da se CVE-2026-20245 u Catalyst SD WAN Manageru aktivno iskorištava u napadima. Propust još nema zakrpu i omogućuje napadačima s niskim ovlastima podizanje pristupa na root razinu, što ga čini posebno opasnim u okruženjima gdje platforma upravlja širokom mrežnom povezanošću i pravilima.
Izvor: BleepingComputer

ShinyHunters iskorištava Oracle PeopleSoft nulti dan protiv obrazovnog sektora
Mandiant i Google povezali su aktivnu kampanju kompromitacije i iznude s iskorištavanjem CVE-2026-35273 u Oracle PeopleSoft Environment Management komponenti. Aktivnost je pogodila obrazovnu infrastrukturu prije Oracleove objave upozorenja, što ovaj slučaj čini stvarnim nultim danom s neposrednim operativnim značajem.
Izvor: Google Threat Intelligence

LiteLLM propust dodan je u KEV nakon stvarne eksploatacije
CISA je dodala CVE-2026-42271 u LiteLLM-u u KEV katalog nakon dokaza o aktivnoj eksploataciji. Riječ je o command injection ranjivosti koja se može ulančati do neautentificiranog udaljenog izvršavanja koda u izloženim implementacijama, što je posebno važno za organizacije koje koriste self hosted AI gateway sustave.
Izvor: The Hacker News

Check Point upozorava na aktivnu eksploataciju VPN propusta za zaobilaženje autentifikacije
Check Point je objavio da se CVE-2026-50751 aktivno iskorištava protiv Remote Access VPN i Mobile Access implementacija koje još koriste zastarjeli IKEv1 protokol. Zloupotrebom logike provjere certifikata napadač može uspostaviti VPN sesiju bez valjane lozinke i zaobići uobičajene kontrole prijave.
Izvor: Check Point

Everest Forms ranjivost mjesecima se koristi za preuzimanje WordPress stranica
Branitelji navode da se CVE-2026-3300 u Everest Forms Pro dodatku mjesecima iskorištava u stvarnim napadima za potpuno preuzimanje stranica. Propust omogućuje neautentificiranim napadačima ubacivanje PHP koda kroz polja obrasca, čime popularan dodatak na više od 100.000 stranica postaje izravna putanja za izvršavanje koda.
Izvor: SecurityWeek

GitHub je ugasio Microsoft repozitorije nakon Miasma supply chain aktivnosti
GitHub je uklonio 73 repozitorija unutar Microsoft povezanih organizacija nakon što je utvrđeno da sadrže potencijalno zlonamjeran sadržaj povezan s kampanjom Miasma i Shai Hulud. Incident pokazuje da supply chain zloupotreba sada pogađa i službene repozitorije velikih dobavljača, a ne samo male open source projekte.
Izvor: BleepingComputer

Shai Hulud Miasma proširio se na novi val PyPI kompromitacija
Socket je identificirao koordiniranu PyPI kompromitaciju koja obuhvaća 19 paketa i 37 zlonamjernih wheel artefakata povezanih s klasterom Shai Hulud i Miasma. Paketi su koristili automatsko izvršavanje pri pokretanju, preuzimali Bun runtime i pokretali teško zamagljene JavaScript stealere, što pokazuje kako kampanja sada lako prelazi između ekosustava i runtime okruženja.
Izvor: Socket

VS Code nulti dan može ukrasti GitHub tokene jednim klikom
Istraživači su objavili proof of concept kod za VS Code nulti dan koji može ukrasti GitHub autentifikacijske tokene ako korisnik klikne posebno pripremljenu poveznicu. Propust zloupotrebljava webview komunikaciju unutar VS Codea i može dovesti do instalacije zlonamjernih ekstenzija i krađe tokena kroz pouzdan developerski workflow.
Izvor: BleepingComputer

phpBB je zakrpao kritičan propust za zaobilaženje autentifikacije koji može dovesti do potpunog preuzimanja poslužitelja
Istraživači su objavili kritičan phpBB propust koji se u zadanoj konfiguraciji može iskoristiti za zaobilaženje autentifikacije, a zatim i za udaljeno izvršavanje koda. Budući da je phpBB i dalje široko prisutan na javnim forumima, problem predstavlja ozbiljan internetom izložen rizik, a ne usku aplikacijsku nišu.
Izvor: Aikido

OpenSSL je zakrpao visokorizičan propust pronađen uz pomoć AI-a
OpenSSL je ispravio CVE-2026-45447, visokorizičan use after free problem dostupan tijekom PKCS#7 ili S/MIME provjere potpisa. Propust je važan i zbog potencijala za udaljeno izvršavanje koda u pogođenim aplikacijama i zbog toga što su istraživači naveli da je AI pomogao u njegovu otkrivanju.
Izvor: SecurityWeek

Dashlane navodi da su napadači kopirali šifrirane password vaultove nekih korisnika
Dashlane je objavio da je brute force kampanja omogućila pristup nekim korisničkim računima i kopiranje šifriranih vaultova. Tvrtka tvrdi da nema dokaza o kompromitaciji internih sustava, ali incident je i dalje ozbiljan jer password manageri okupljaju izrazito osjetljive podatke na jednom mjestu.
Izvor: Help Net Security

Povreda podataka UN World Food Programmea pogodila je 600.000 kućanstava u Gazi
World Food Programme objavio je da je kompromitirana njegova aplikacija za registraciju za Palestinu, pri čemu su izloženi podaci korisnika diljem Gaze. Zahvaćeni podaci uključuju imena, identifikacijske brojeve, telefonske brojeve i lokacijske podatke po naseljima, što ovaj incident čini jednim od najsenzitivnijih humanitarnih sigurnosnih događaja u ovoj turi.
Izvor: BleepingComputer

Silent Ransom Group nastavlja ciljane socijalno inženjerske napade na američka odvjetnička društva
Mandiant navodi da je skupina koju prati kao UNC3753, poznata i kao Luna Moth te Silent Ransom Group, između siječnja i svibnja 2026. ciljala desetke organizacija iz pravnog i profesionalnog sektora usluga. Akteri koriste voice phishing, lažna IT support opravdanja i legitimne alate za udaljeni pristup kako bi dobili ulaz i ukrali podatke za iznudu.
Izvor: Google Threat Intelligence

HTTP/2 Bomb može s jednog računala srušiti velike web poslužitelje
Istraživači su objavili novu denial of service tehniku nazvanu HTTP/2 Bomb koja može srušiti poslužitelje u nekoliko sekundi kombiniranjem kompresijskog pojačanja i zadržavanja resursa. Metoda pogađa zadane HTTP/2 konfiguracije u glavnim platformama uključujući NGINX, Apache, Microsoft IIS, Envoy i Cloudflare Pingora.
Izvor: BleepingComputer

WhatsApp tvrdi da je NSO pokušao novu spyware operaciju unatoč sudskoj zabrani
WhatsApp je objavio da je otkrio i zaustavio spear phishing pokušaj povezan s NSO Groupom, iako tvrtku već obvezuje sudska zabrana ciljanja WhatsApp korisnika. Slučaj ponovno stavlja NSO u fokus i potvrđuje da komercijalni spyware ostaje aktivna prijetnja i nakon sudskih postupaka i ranijih razotkrivanja.
Izvor: SecurityWeek

Sigurnosne vijesti tjedna [06/26-3]

Sjevernokorejski hakeri povezani su s Mastra npm supply chain napadom
Microsoft je kompromitaciju Mastra npm ekosustava pripisao skupini Sapphire Sleet, sjevernokorejskom državnom akteru. Kampanja je zahvatila više od 140 paketa i koristila zlonamjernu typosquatted ovisnost koja se automatski izvršavala tijekom instalacije, pretvarajući pouzdane developerske workflowe u ulaznu točku za napad.
Izvor: Microsoft Security

OptinMonster supply chain napad pogodio je 1,2 milijuna WordPress stranica
Sansec je prijavio aktivan supply chain napad koji pogađa OptinMonster, TrustPulse i PushEngage, s mogućim posljedičnim utjecajem na oko 1,2 milijuna WordPress stranica. Ubačeni JavaScript čekao je prijavljenog administratora, stvorio lažni administratorski račun i instalirao skriveni backdoor plugin za trajni pristup.
Izvor: Sansec

Kompromitacija Okendo Reviews widgeta izložila je tisuće e commerce stranica
Zscaler je povezao aktera SmartApeSG sa supply chain napadom na Okendo Reviews widget koji koristi više od 18.000 brendova. Budući da je widget ugrađen na visoko posjećene storefront i product stranice, kompromitacija je otvorila široku posrednu izloženost na legitimnim e commerce webovima.
Izvor: Zscaler ThreatLabz

CISA upozorava na aktivno iskorištavanu Joomla JCE ranjivost
CISA je dodala CVE-2026-48907 u Joomla Content Editoru u svoj KEV katalog nakon potvrde aktivnih napada. Propust omogućuje neautentificiranim korisnicima stvaranje editor profila i upload izvršivog PHP koda, što ga čini izravnim putem do kompromitacije stranice.
Izvor: The Hacker News

FortiBleed pokazuje velike credential napade na edge uređaje
Istraživači su FortiBleed opisali kao široku kampanju password sprayanja i krađe vjerodajnica usmjerenu na Fortinet uređaje, uz povezanu aktivnost i protiv MSSQL i Sophos sustava. Operacija pokazuje kako se ranije ukradeni podaci, brute force pokušaji i slabosti edge infrastrukture spajaju u velike kampanje za početni pristup.
Izvor: Unit 42

SearchLeak je Microsoft 365 Copilot pretvorio u alat za krađu podataka jednim klikom
Varonis je objavio SearchLeak, lanac ranjivosti koji je mogao natjerati Microsoft 365 Copilot Enterprise Search da izloži emailove, datoteke, kalendarske podatke i sigurnosne kodove kroz samo jednu posebno pripremljenu poveznicu. Slučaj je važan jer spaja AI specifičnu manipulaciju promptovima s klasičnim web propustima za tihu krađu poslovnih podataka.
Izvor: Varonis

DragonForce je sakrio backdoor promet unutar Microsoft Teams relay infrastrukture
Symantec je objavio da su DragonForce napadači usmjeravali command and control promet kroz Microsoft Teams relay infrastrukturu koristeći prilagođeni Go backdoor nazvan Backdoor.Turn. Braniteljima je promet izgledao kao normalna odlazna komunikacija prema Microsoft servisima, što je napadačima dalo snažnu prednost u prikrivanju aktivnosti.
Izvor: Symantec Threat Hunter Team

Kineski akter UNC6508 ciljao je medicinska, AI, cyber i obrambena istraživanja
Google Threat Intelligence povezao je UNC6508 s dugotrajnom špijunskom kampanjom protiv sjevernoameričkih akademskih, medicinskih i vojnih istraživačkih meta. Akter je ciljao istraživanja umjetne inteligencije, cyber ofenzivne programe, sustave bez posade, medicinska istraživanja i obrambene podatke kroz kompromitirane vanjske aplikacije i prilagođeni malware.
Izvor: Google Threat Intelligence

Iranski staging server otkrio je LA Metro SCADA backupove i podatke drugih žrtava
Hunt.io je pronašao otvoreni staging server povezan sa skupinom Ababil of Minab, proiranskim akterom koji je tvrdio da stoji iza destruktivnih upada protiv američkih i regionalnih meta. Izloženi podaci navodno su uključivali LA Metro SCADA povezane backupove i identitete dodatnih ranije neobjavljenih žrtava.
Izvor: Hunt.io

WhatsApp kampanja koristi VBScript i legitimne RMM alate za udaljeni pristup
Kaspersky je zabilježio aktivnu WhatsApp kampanju koja šalje zlonamjerne VBScript datoteke maskirane kao poslovne i financijske dokumente. Nakon pokretanja skripta slijedi višefazni lanac koji instalira legitimni remote monitoring and management softver, dajući napadaču udaljeni pristup uz privid regularnog administrativnog alata.
Izvor: Kaspersky

JetBrains Marketplace pluginovi krali su API ključeve za AI servise
Aikido je identificirao najmanje 15 JetBrains IDE pluginova koji su potajno iznosili API ključeve koje su korisnici unosili za AI coding assistant funkcije. Pluginovi su instalirani gotovo 70.000 puta i predstavljali su se kao legitimni alati za produktivnost developera, što ovaj slučaj čini ozbiljnim slomom povjerenja u developerskom ekosustavu.
Izvor: Aikido

Probijena je francuska državna platforma za razmjenu poruka, izloženi su podaci 70.000 zaposlenika
Francuski državni chat servis Tchap kompromitiran je, a osobni podaci više od 70.000 državnih zaposlenika navodno su ukradeni. Incident je važan ne samo zbog opsega nego i zato što pogađa platformu osmišljenu upravo za veći stupanj suverenosti i sigurnosti od stranih alternativa.
Izvor: SecurityWeek

EvilTokens pokazuje kako phishing može zaobići krađu lozinki u potpunosti
EvilTokens je phishing as a service alat izgrađen oko device code phishinga protiv Microsoft 365 računa. Umjesto krađe lozinki preko lažnih login stranica, žrtvu navodi da sama dovrši legitimni Microsoft autentifikacijski proces, uključujući MFA, čime napadač dobiva pristup bez ikakvog hvatanja lozinke.
Izvor: ESET WeLiveSecurity

DifyTap ranjivosti izložile su cross tenant AI podatke na platformi koju koristi više od milijun aplikacija
Istraživači su objavili četiri ranjivosti u Difyju, uključujući kritične probleme s cross tenant učinkom u cloud usluzi. Propusti su mogli omogućiti da podaci jednog korisnika budu izloženi drugome, pokazujući kako slabosti u popularnim AI orkestracijskim platformama mogu postati izravna putanja do izloženosti enterprise podataka.
Izvor: Zafran

WhatsApp tvrdi da je NSO pokušao novu spyware operaciju unatoč sudskoj zabrani
WhatsApp je objavio da je otkrio i zaustavio spear phishing pokušaj povezan s NSO Groupom, iako je toj spyware tvrtki sud već zabranio ciljanje WhatsApp korisnika. Slučaj ponovno stavlja komercijalni spyware u fokus i pokazuje da pravni pritisak sam po sebi nije uklonio prijetnju.
Izvor: SecurityWeek

Sigurnosne vijesti tjedna [06/26-1]

Cisco SD WAN nulti dan aktivno se iskorištava za dobivanje root pristupa
Cisco je upozorio da se CVE-2026-20245 u Catalyst SD WAN Manageru aktivno iskorištava u napadima. Nezakrpani propust omogućuje napadačima s niskim ovlastima podizanje pristupa na root razinu, što ga čini posebno opasnim za organizacije koje preko SD WAN upravljačke ravnine kontroliraju šire mrežno okruženje.
Izvor: BleepingComputer

Palo Alto GlobalProtect VPN propust za zaobilaženje autentifikacije sada se iskorištava u napadima
Palo Alto Networks navodi da se CVE-2026-0257 sada koristi za uspostavu neautoriziranih VPN veza kroz GlobalProtect. Budući da problem pogađa izravnu ulaznu točku prema korporativnim mrežama, predstavlja trenutačan rizik za internetom izložene sustave koji još nisu ažurirani.
Izvor: Palo Alto Networks

Kritični Windows Netlogon RCE sada se iskorištava protiv domain controllera
Belgijsko nacionalno tijelo za kibernetičku sigurnost upozorilo je da napadači iskorištavaju CVE-2026-41089, kritičan Windows Netlogon propust za udaljeno izvršavanje koda koji je Microsoft zakrpao u svibnju. Budući da je Netlogon središnji dio domenske autentifikacije, uspješna eksploatacija može izravno ugroziti jezgru Windows identitetske infrastrukture.
Izvor: BleepingComputer

Oracle WebLogic ranjivost sada se iskorištava u stvarnim napadima
CISA je upozorila da se CVE-2024-21182 u Oracle WebLogicu iskorištava u stvarnim napadima gotovo dvije godine nakon objave zakrpe. Slučaj pokazuje kako stariji enterprise propusti s javno dostupnim proof of concept kodom mogu ostati operativno važni dugo nakon vendorove ispravke.
Izvor: SecurityWeek

Red Hat npm paketi kompromitirani su radi krađe developerskih vjerodajnica
Više od 30 paketa u Red Hat @redhat-cloud-services namespaceu bilo je zaraženo novom varijantom Shai Hulud malwarea nazvanom Miasma. Malware je osmišljen za krađu cloud tajni, SSH ključeva, CI tokena i developerskih vjerodajnica, čime je pouzdani enterprise paketni namespace pretvoren u supply chain napadni kanal.
Izvor: BleepingComputer

VS Code nulti dan može ukrasti GitHub tokene jednim klikom
Istraživači su objavili exploit kod za VS Code nulti dan koji može instalirati zlonamjerne ekstenzije i ukrasti GitHub OAuth tokene ako korisnik klikne posebno pripremljenu poveznicu. Problem je ozbiljan jer pogađa široko korišten developerski alat i može izložiti privatne repozitorije kroz naizgled legitimne workflowe.
Izvor: BleepingComputer

WP Maps Pro propust omogućuje napadačima stvaranje WordPress administratorskih računa
Napadači aktivno iskorištavaju CVE-2026-8732 u WP Maps Pro dodatku kako bi bez autentifikacije stvorili administratorske račune na pogođenim WordPress stranicama. Problem je posebno ozbiljan jer funkcija za privremeni pristup podršci postaje izravan put do potpunog preuzimanja stranice.
Izvor: Security Affairs

Kritičan Flowise propust može napadačima dati potpunu kontrolu nad poslužiteljem
Kritična ranjivost u Flowiseu omogućuje da zlonamjerni workflow pri uvozu preuzme self hosted poslužitelj čim ga otvori prijavljeni korisnik. Istraživači su dodatno upozorili da se službena zakrpa može zaobići, što produljuje razdoblje izloženosti za organizacije koje platformu koriste interno.
Izvor: Infosecurity Magazine

Dashlane navodi da su napadači kopirali šifrirane password vaultove nekih korisnika
Dashlane je objavio da je brute force kampanja rezultirala ne samo zaključavanjima računa nego i pristupom nekim korisničkim računima te kopiranjem šifriranih vaultova. Iako tvrtka tvrdi da interni sustavi nisu kompromitirani, incident je ozbiljan jer password manageri koncentriraju izrazito osjetljive podatke na jednom mjestu.
Izvor: Help Net Security

UN World Food Programme povreda podataka pogodila je 600.000 kućanstava u Gazi
UN World Food Programme objavio je da je kompromitirana njegova aplikacija za samoregistraciju za Palestinu, pri čemu su izloženi podaci korisnika diljem Gaze. Zahvaćeni podaci uključuju imena, identifikacijske brojeve, telefonske brojeve i lokacijske podatke, što ovaj incident čini velikim sigurnosnim i humanitarnim problemom.
Izvor: BleepingComputer

PCPJack je preoteo 230 cloud poslužitelja u skrivenu SMTP relay mrežu
Hunt.io je pronašao javno izloženu infrastrukturu operatora povezanu s PCPJack kampanjom i povezao je s 230 kompromitiranih AWS, GCP i Azure sustava. Operacija je koristila Sliver, Chisel i druge alate za izgradnju prikrivene SMTP relay mreže koja može služiti za masovni spam i dodatne oblike zloupotrebe.
Izvor: Hunt.io

Gamaredon skriva worm komponente u NTFS data streamovima
Sekoia je primijetila da Gamaredon koristi alternate data streamove u Windowsu kako bi sakrio worm komponente i zadržao dugotrajan pristup unutar ukrajinskih mreža. Tehnika smanjuje vidljive tragove na disku i dobro se uklapa u dugogodišnji špijunski fokus skupine na državne, vojne i kritične ciljeve.
Izvor: Infosecurity Magazine

GoDaddy je pronašao malware na gotovo 2.000 WordPress stranica koje koriste Steam kao C2
GoDaddy istraživači otkrili su malware na oko 1.980 WordPress stranica koji skriva naredbe u komentarima Steam Community profila koristeći nevidljive Unicode znakove. Kampanja se izdvaja time što legitimnu gaming platformu koristi kao neuobičajenu command and control infrastrukturu.
Izvor: Security Affairs

Operation FlutterBridge širi novi macOS backdoor kroz malvertising
Unit 42 opisao je aktivnu macOS malvertising kampanju nazvanu Operation FlutterBridge koja isporučuje backdoor FlutterShell. Osim adware funkcionalnosti, malware podržava izvršavanje shell naredbi i manipulaciju datotečnim sustavom, a neke varijante zloupotrebljavaju i AI sažimanje tijekom krađe podataka.
Izvor: Unit 42

Magecart napadači koriste Stripe i Google Tag Manager kao pouzdano pokriće
Sansec je otkrio kampanju krađe platnih kartica koja zloupotrebljava Google Tag Manager i Stripe infrastrukturu za hostanje zlonamjernog checkout koda i ukradenih kartičnih podataka. Skrivanjem unutar domena kojima trgovine ionako vjeruju, napadači znatno otežavaju detekciju i blokiranje kampanje.
Izvor: BleepingComputer

Sigurnosne vijesti tjedna [05/26-4]

Megalodon supply chain napad kompromitirao je više od 5.000 GitHub repozitorija
Megalodon je bio jedan od najznačajnijih incidenata u developerskom ekosustavu u ovoj turi, jer su napadači u svega nekoliko sati pogurali tisuće commitova u više od 5.000 javnih GitHub repozitorija. Kampanja je ciljala GitHub Actions workflowe s ciljem krađe svih tajni dostupnih runnerima, uključujući cloud ključeve, SSH materijal i OIDC tokene.
Izvor: InfoStealers

CISA upozorava da Nx Console i GitHub supply chain upadi pogađaju CI CD okruženja
CISA je objavila da nedavni upadi u developerski ekosustav, uključujući kompromitaciju Nx Consolea i kampanju Megalodon, pokazuju da napadači aktivno zloupotrebljavaju CI CD alate, ekstenzije i workflowe. Upozorenje je važno jer ove incidente postavlja kao dio šireg obrasca, a ne kao izolirane pojedinačne slučajeve.
Izvor: CISA

GitHub rotira Enterprise Server signing key nakon napada na interne repozitorije
GitHub je objavio da je nedavno otkrio kibernetički napad i započeo rotaciju ključeva, uključujući GitHub Enterprise Server signing key. To je važan potez jer se taj ključ koristi za potvrdu autentičnosti binarnih datoteka GitHub Enterprise Servera tijekom ručnih nadogradnji.
Izvor: GitHub

Nezakrpani Gogs propust omogućuje autentificirano udaljeno izvršavanje koda
Rapid7 je objavio kritičan argument injection propust u Gogsu koji bilo kojem autentificiranom korisniku može omogućiti izvršavanje koda na poslužitelju tijekom pull request rebase procesa. U trenutku objave nije postojala službena zakrpa, što samostalno hostane Git instance čini posebno rizičnima.
Izvor: Rapid7

FortiClient EMS iskorištava se za isporuku EKZ infostealera
Arctic Wolf je primijetio napadače kako iskorištavaju CVE-2026-35616 u FortiClient EMS-u i isporučuju lažnu Fortinet zakrpu koja zapravo instalira EKZ infostealer. Malware je usmjeren na krađu vjerodajnica iz preglednika, čime slabost u enterprise upravljačkom sustavu postaje izravan kanal za masovnu krađu pristupnih podataka.
Izvor: Arctic Wolf

Ghost CMS propust iskorišten je za preuzimanje više od 700 stranica u ClickFix kampanji
Napadači su iskoristili CVE-2026-26980 u Ghost CMS-u kako bi ubacili zlonamjerni JavaScript u više od 700 stranica i nahranili ClickFix lance napada. Kampanja pokazuje kako kompromitacija legitimnih stranica napadačima daje pouzdanu infrastrukturu za široke socijalno inženjerske operacije.
Izvor: The Hacker News

Carnival je potvrdio povredu podataka koja pogađa gotovo 6 milijuna ljudi
Carnival je potvrdio veliku povredu podataka koja pogađa gotovo 6 milijuna osoba, nakon ranijih tvrdnji povezanih sa skupinom ShinyHunters. Veličina izloženosti i osjetljivost korisničkih podataka čine ovo jednom od najvažnijih potvrđenih povreda u ovoj turi.
Izvor: BleepingComputer

Silent Ransom Group socijalnim inženjeringom cilja odvjetnička društva predstavljajući se kao IT podrška
FBI i CISA upozorili su da skupina Silent Ransom Group, poznata i kao Luna Moth, cilja odvjetnička društva telefonskim pozivima i phishing emailovima uz lažno predstavljanje kao IT podrška. Nakon toga koriste legitimne alate za udaljeni pristup ili čak pokušavaju ostvariti fizički pristup kako bi izvukli podatke i izvršili iznudu.
Izvor: IC3

JOMANGY kampanja pretvara FreePBX sustave u infrastrukturu za toll fraud
Cyble je povezao aktivnu FreePBX kampanju iskorištavanja s akterom INJ3CTOR3 i naveo da operacija postavlja self healing webshellove koji uključuju stvarnu logiku za toll fraud. Opseg je značajan, s pokazateljima koji upućuju na tisuće skeniranih IP adresa i aktivnu zloupotrebu SIP trunkova žrtava za izravnu financijsku korist.
Izvor: Cyble

GlassWorm botnet je prekinut nakon višemjesečne zloupotrebe open source ekosustava
CrowdStrike, Google i Shadowserver Foundation prekinuli su GlassWorm botnet sinkroniziranim gašenjem njegovih command and control kanala. Botnet je koristio blockchain, Google Calendar, BitTorrent i VPS infrastrukturu kao rezervne kanale, što pokazuje koliko je njegov model upravljanja bio otporan prije prekida rada.
Izvor: SecurityWeek

JINX-0164 cilja crypto tvrtke kroz developere i CI CD infrastrukturu
Wiz je opisao financijski motiviranog aktera kojeg prati kao JINX-0164, a koji koristi socijalni inženjering s lažnim regrutacijskim temama, prilagođeni macOS malware i napade na CI CD okruženja unutar kripto organizacija. Kampanja je važna jer spaja kompromitaciju prijenosnih računala zaposlenika s pokušajima ulaska u sustave za distribuciju koda i razvojnu infrastrukturu.
Izvor: Wiz

Smishing operacija kroz 19 država ciljala je državne, poštanske i telekom brendove
Hunt.io je pokazao da je ono što je počelo kao imitacija rumunjskog državnog servisa zapravo dio šire smishing operacije kroz 19 država. Infrastruktura je ciljala državne portale za plaćanje, poštanske servise i telekom brendove, što ukazuje na koordiniran međunarodni fraud ekosustav, a ne lokalnu kampanju.
Izvor: Hunt.io

Lažna ChatGPT stranica za preuzimanje zaražava Windows i Mac korisnike stealerima
Malwarebytes je upozorio da lažna stranica koja oponaša ChatGPT desktop aplikaciju distribuira malware i Windows i macOS korisnicima. Windows posjetitelji dobivaju loader za krađu vjerodajnica, dok Mac korisnici dobivaju Odyssey Stealer, što pokazuje da napadači i dalje uspješno monetiziraju povjerenje u popularne AI brendove.
Izvor: Malwarebytes

GREYVIBE pokazuje kako ruski akteri uvode AI u stvarne operacije
WithSecure je povezao GREYVIBE s upornim operacijama protiv Ukrajine i s Ukrajinom povezanih meta te naveo da skupina koristi AI i u razvojnoj i u operativnoj fazi kampanja. To ga čini jednim od konkretnijih aktualnih primjera state aligned aktivnosti u kojima AI prelazi granicu eksperimentiranja i postaje stvaran operativni alat.
Izvor: WithSecure

Phisheri zloupotrebljavaju Google AppSheet obavijesti za krađu računa
Kaspersky je upozorio da napadači koriste Google AppSheet za slanje phishing poruka s legitimno izgledajućih Google povezanih adresa. Takve poruke djeluju uvjerljivije i korisnicima ih je teže prepoznati kao prijetnju jer ne dolaze s očito lažnog izvora.
Izvor: Kaspersky

Sigurnosne vijesti tjedna [05/26-3]

PAN-OS nulti dan pod aktivnom eksploatacijom daje root pristup firewallima
Palo Alto Networks potvrdio je aktivnu eksploataciju CVE-2026-0300 u PAN-OS Captive Portal komponenti. Propust omogućuje neautentificirano udaljeno izvršavanje koda s root ovlastima na izloženim firewallima, što ga čini jednim od najhitnijih perimetarskih rizika u ovom ciklusu.
Izvor: Palo Alto Networks

Cisco SD-WAN propust za zaobilaženje autentifikacije aktivno se iskorištava
Cisco Talos izvijestio je o tekućoj eksploataciji CVE-2026-20182 u Catalyst SD-WAN kontrolerima. Uspješan napad omogućuje udaljenom napadaču zaobilaženje prijave i dobivanje administratorskih ovlasti, a propust je već dodan u CISA KEV katalog.
Izvor: Cisco Talos

Kritična cPanel ranjivost iskorištava se protiv državnih i MSP okruženja
Napadači su vrlo brzo nakon objave počeli iskorištavati CVE-2026-41940 u cPanel i WHM sustavima. Aktivnost je zahvatila državna, vojna, hosting i managed service provider okruženja, što pokazuje koliko je brzo authentication bypass propust pretvoren u stvarne operacije.
Izvor: The Hacker News

DigiCert je opozvao lažno izdane certifikate nakon proboja internog portala
DigiCert je opozvao certifikate do kojih su napadači došli nakon kompromitacije support sustava i prodora u interni portal povezan s obradom certifikata. Incident je posebno važan jer uključuje EV code signing certifikate i izravno pogađa povjerenje u procese izdavanja i potpisivanja softvera.
Izvor: SecurityWeek

Copy Fail Linux root propust prešao je u stvarnu eksploataciju
CVE-2026-31431, poznat kao Copy Fail, prešao je iz objave u potvrđenu eksploataciju i dodan je u CISA KEV katalog. Propust pogađa glavne Linux distribucije i lokalnom napadaču može omogućiti podizanje ovlasti do root razine.
Izvor: SecurityWeek

NGINX CVE-2026-42945 već se iskorištava u stvarnim napadima
Napadači ciljaju CVE-2026-42945, heap buffer overflow u NGINX rewrite modulu, samo nekoliko dana nakon javne objave. Propust može rušiti worker procese, a u nekim konfiguracijama može omogućiti i udaljeno izvršavanje koda na internetom izloženim sustavima.
Izvor: The Hacker News

Mini Shai Hulud pogodio je više od 320 npm paketa
Nova Mini Shai Hulud supply chain kampanja zahvatila je više od 320 npm paketa, zajedno s GitHub Actions komponentama i jednom VS Code ekstenzijom. Kompromitacija se širila kroz povjerenje u maintainere i downstream ovisnosti, čime se utjecaj proširio na developerska i CI okruženja.
Izvor: SecurityWeek

GitHub je potvrdio proboj u 3.800 repozitorija preko zlonamjerne VS Code ekstenzije
GitHub je objavio da je približno 3.800 internih repozitorija bilo dostupno nakon kompromitacije uređaja jednog zaposlenika preko trojanizirane VS Code ekstenzije. Slučaj pokazuje da developerski alati i dalje predstavljaju izravan put do internih okruženja visoke vrijednosti.
Izvor: BleepingComputer

OpenAI je potvrdio interni utjecaj TanStack supply chain napada
OpenAI je objavio da su dva uređaja zaposlenika bila pogođena širom TanStack i Mini Shai Hulud kampanjom. Tvrtka je navela da nema dokaza o utjecaju na korisničke podatke, produkcijske sustave, intelektualno vlasništvo ili objavljeni softver, ali je ipak preventivno rotirala certifikate.
Izvor: OpenAI

Checkmarx Jenkins AST plugin kompromitiran je u supply chain napadu
Checkmarx je upozorio da je zlonamjerna verzija njegova Jenkins AST plugina objavljena na Jenkins Marketplaceu. Problem je važan zato što se plugin koristi izravno u build i scanning procesima, pa kompromitacija pogađa vjerodajnice i CI workflowe.
Izvor: SecurityWeek

DAEMON Tools Lite supply chain napad potvrdio je sam vendor
DAEMON Tools potvrdio je neovlašteno zadiranje u svoju build infrastrukturu nakon što su kompromitirani instaleri distribuirani sa službene stranice. Potpisani instalacijski paketi pouzdanog proizvođača pretvoreni su u kanal za isporuku malwarea, što ovaj slučaj čini jasnim supply chain incidentom.
Izvor: DAEMON Tools

JDownloader stranica hakirana je za distribuciju Python RAT instalera
Službena JDownloader stranica bila je kompromitirana i korisnike je preusmjeravala na zlonamjerne Windows i Linux instalere, pri čemu je Windows varijanta isporučivala Python RAT. Još jednom se pokazalo da su download portali visoko vrijedna meta za zamjenu legitimnih instalera zlonamjernima.
Izvor: BleepingComputer

Instructure je postigao dogovor nakon incidenta s krađom Canvas podataka
Instructure je objavio da je postigao dogovor s akterom iza incidenta kako bi spriječio objavu ukradenih podataka. Slučaj je i dalje vrlo važan zbog opsega pogođenih škola i sveučilišta te osjetljivosti izloženih obrazovnih podataka.
Izvor: The Hacker News

Drupal kritičan SQL injection propust sada je meta stvarnih napada
Drupal je upozorio da napadači pokušavaju iskorištavati CVE-2026-9082, vrlo kritičan SQL injection problem koji pogađa PostgreSQL implementacije. Projekt je već ranije upozorio da bi eksploatacija mogla početi unutar sati ili dana, a ti pokušaji sada su potvrđeni.
Izvor: BleepingComputer

Kritičan Ollama propust može izložiti 300.000 AI implementacija krađi tajni
Istraživači su upozorili da kritična neautentificirana ranjivost u Ollami može otkriti promptove, poruke, API ključeve, tokene i druge osjetljive podatke iz približno 300.000 implementacija. Budući da se Ollama široko koristi kao self hosted inference engine, problem ima izravnu važnost za stvarna enterprise AI okruženja.
Izvor: SecurityWeek

Sigurnosne vijesti tjedna [05/26-2]

PAN-OS nulti dan pod aktivnom eksploatacijom daje root pristup firewallima
Palo Alto Networks navodi da se CVE-2026-0300 u PAN-OS Captive Portal komponenti aktivno iskorištava i omogućuje neautentificirano udaljeno izvršavanje koda s root ovlastima. Budući da pogađa internetom izložene firewalle, riječ je o jednom od najhitnijih problema ovog tjedna.
Izvor: Palo Alto Networks

Cisco SD-WAN propust za zaobilaženje autentifikacije aktivno se iskorištava
Cisco Talos izvijestio je o tekućoj eksploataciji CVE-2026-20182 u Catalyst SD-WAN kontrolerima, gdje napadači mogu zaobići prijavu i dobiti administratorske ovlasti. CISA je propust već dodala u KEV katalog, što potvrđuje stvaran operativni rizik.
Izvor: Cisco Talos

Kritična cPanel ranjivost iskorištava se protiv državnih i MSP okruženja
Napadači su vrlo brzo nakon objave počeli iskorištavati CVE-2026-41940 u cPanel i WHM sustavima, pri čemu su mete uključivale državna, vojna, hosting i MSP okruženja. Propust omogućuje zaobilaženje prijave i povišenu kontrolu nad izloženim upravljačkim sučeljima.
Izvor: The Hacker News

DigiCert je opozvao lažno izdane certifikate nakon napada na support portal
DigiCert je opozvao certifikate do kojih su napadači došli nakon kompromitacije support sustava i prodora u interni portal za izdavanje i obradu certifikata. Incident je posebno važan jer uključuje EV code signing certifikate i samu jezgru povjerenja u proces izdavanja certifikata.
Izvor: SecurityWeek

Copy Fail Linux root propust prešao je u stvarnu eksploataciju
CVE-2026-31431, poznat kao Copy Fail, prešao je iz javne objave u potvrđenu eksploataciju i već je dodan u CISA KEV katalog. Propust pogađa glavne Linux distribucije i omogućuje lokalno podizanje ovlasti do root razine.
Izvor: SecurityWeek

Vendor je potvrdio supply chain napad na DAEMON Tools Lite
DAEMON Tools potvrdio je neovlašteno zadiranje u svoju infrastrukturu nakon što su trojanizirani instaleri distribuirani sa službene stranice. Riječ je o izravnoj supply chain kompromitaciji jer su potpisani instalacijski paketi pouzdanog proizvođača pretvoreni u kanal za isporuku malwarea.
Izvor: DAEMON Tools

Službeni SAP npm paketi kompromitirani su u TeamPCP supply chain kampanji
Više službenih SAP CAP i Cloud MTA npm paketa kompromitirano je zlonamjernim instalacijskim ponašanjem osmišljenim za krađu vjerodajnica i zloupotrebu developerskih okruženja. Budući da se ti paketi nalaze u normalnim CI/CD procesima, utjecaj se širi daleko izvan jednog kompromitiranog računala.
Izvor: Socket

Checkmarx Jenkins AST plugin kompromitiran je u supply chain napadu
Checkmarx je upozorio da je zlonamjerna verzija njegova Jenkins AST plugina objavljena na Jenkins Marketplaceu kao dio supply chain napada. Problem je važan zato što se plugin izravno ugrađuje u build i sigurnosne scanning procese.
Izvor: SecurityWeek

OpenAI je potvrdio utjecaj TanStack supply chain napada na dva interna uređaja
OpenAI je naveo da su dva uređaja zaposlenika bila pogođena širom TanStack i Mini Shai Hulud kampanjom, što je pokrenulo rotaciju certifikata i dodatne mjere zaštite repozitorija. Tvrtka navodi da nema dokaza o utjecaju na korisničke podatke, produkcijske sustave ili objavljeni softver.
Izvor: OpenAI

Instructure je sklopio dogovor nakon incidenta s krađom Canvas podataka
Instructure je objavio da je postigao dogovor s akterom iza incidenta kako bi spriječio objavu ukradenih podataka povezanih s tisućama škola i sveučilišta. Slučaj ostaje vrlo važan zbog opsega pogođenih obrazovnih okruženja i osjetljivosti izloženih podataka.
Izvor: The Hacker News

JDownloader stranica hakirana je za distribuciju Python RAT instalera
Službena JDownloader stranica bila je kompromitirana i korisnike je preusmjeravala na zlonamjerne Windows i Linux instalere, pri čemu je Windows varijanta isporučivala Python RAT. Još jednom se pokazalo da su download portali meta visoke vrijednosti za supply chain zloupotrebu.
Izvor: BleepingComputer

Breeze Cache WordPress dodatak nalazi se pod aktivnom eksploatacijom
Napadači aktivno iskorištavaju kritičan propust za učitavanje proizvoljnih datoteka u Breeze Cache dodatku za WordPress. Uz stotine tisuća aktivnih instalacija i mogućnost udaljenog izvršavanja koda, propust je vrlo brzo prešao iz objave u široku napadačku aktivnost.
Izvor: Wordfence

Burst Statistics propust može napadačima omogućiti potpuno predstavljanje WordPress administratora
Kritičan authentication bypass u Burst Statistics dodatku može neautentificiranim napadačima omogućiti predstavljanje administratora tijekom REST API zahtjeva ako znaju valjano administratorsko korisničko ime. U najgorem slučaju to može biti dovoljno za stvaranje novog administratorskog računa bez prethodnog pristupa.
Izvor: Wordfence

Kritičan Ollama propust može izložiti 300.000 AI implementacija krađi tajni
Sigurnosni istraživači upozorili su da kritična neautentificirana ranjivost u Ollami može otkriti promptove, poruke, API ključeve i druge osjetljive podatke iz približno 300.000 implementacija. Budući da se Ollama široko koristi kao self hosted inference engine, nalaz ima izravnu važnost za stvarna enterprise AI okruženja.
Izvor: SecurityWeek

NGINX Rift otkriva 18 godina star propust s mogućim RCE ishodom
Istraživači su objavili više memory corruption problema u NGINX-u, uključujući kritičan heap overflow u rewrite modulu koji može dovesti do rušenja servisa i, u nekim konfiguracijama, udaljenog izvršavanja koda. Problem se posebno izdvaja zbog internetske izloženosti NGINX-a i starosti i rasprostranjenosti ranjive logike.
Izvor: depthfirst

Sigurnosne Vijesti