Kritične n8n ranjivosti omogućile su preuzimanje servera
Dvije kritične ranjivosti u n8n sustavu mogle su se iskoristiti za neautentificirano udaljeno izvršavanje koda i bijeg iz sandbox okruženja, čime su bili izloženi svi podaci i vjerodajnice pohranjeni u n8n bazi. Prva ranjivost, označena kao CVE-2026-27493 s CVSS ocjenom 9.5, opisana je kao second order expression injection problem u Form čvorovima open source platforme za automatizaciju radnih tokova. Uspješna eksploatacija mogla je omogućiti napadaču umetanje proizvoljnih naredbi u polje Name i primitak izlaza izvršene naredbe.
Izvor: SecurityWeek

Iranski MOIS akteri i veza s kibernetičkim kriminalom
Dugo su iranski akteri pokušavali prikriti državne aktivnosti stvaranjem dojma običnog kibernetičkog kriminala, najčešće predstavljajući se kao ransomware operateri. Trend koji se sada uočava ide korak dalje. Umjesto pukog preuzimanja kriminalnih i haktivističkih identiteta radi otežavanja atribucije, pojedini iranski akteri izgleda se povezuju sa samim kibernetičko kriminalnim ekosustavom te koriste njegov malware, infrastrukturu i mehanizme slične affiliate modelu. Ova promjena je važna jer ne poboljšava samo mogućnost poricanja, nego i širi operativni doseg te tehničke sposobnosti. Check Point u ovom tekstu analizira više slučajeva koji odražavaju ovu evoluciju, uključujući korištenje ransomware brendiranja, komercijalnih infostealera i preklapanja s kriminalnim malware klasterima.
Izvor: Check Point Research

Pojačana špijunska aktivnost protiv meta na Bliskom istoku povezana s ratom u Iranu
Proofpoint navodi da su nakon američko izraelskih udara 28. veljače 2026. i naknadnih iranskih odmazdi zabilježene pojačane špijunske aktivnosti usmjerene na mete na Bliskom istoku. Dok su različite iranske haktivističke skupine preuzele odgovornost za ometajuće operacije, iranske špijunske skupine ostale su djelomično aktivne unatoč gašenju interneta u Iranu odmah nakon početka napada. Primjerice, 8. ožujka uočena je credential phishing aktivnost skupine TA453 usmjerena na američki think tank, pri čemu je komunikacija započela prije samog izbijanja sukoba, što upućuje na nastavak prioritizirane obavještajne aktivnosti prema tradicionalnim metama.
Izvor: Proofpoint

WordPress kompromitacije pogone globalnu operaciju krađe podataka
Rapid7 Labs identificirao je široko rasprostranjenu i aktivnu kompromitaciju legitimnih i potencijalno vrlo pouzdanih WordPress stranica koje nepoznati akter koristi za umetanje ClickFix implantata koji se predstavlja kao Cloudflare provjera da je korisnik čovjek. Mamac je osmišljen kako bi zarazio posjetitelje višefaznim malware lancem koji na kraju krade i eksfiltrira vjerodajnice i digitalne novčanike s Windows sustava. Ukradeni podaci potom se mogu iskoristiti za financijsku krađu ili za daljnje i ciljane napade na organizacije.
Izvor: Rapid7

Australija, Novi Zeland i Tonga upozoravaju na rastuće INC Ransom napade na pacifičke mreže
Kibernetičke agencije diljem pacifičke regije upozoravaju na širenje aktivnosti ransomware skupine INC Ransom i rastući utjecaj njezine affiliate mreže. Zajedničko upozorenje koje su objavili ACSC, CERT Tonga i novozelandski NCSC ističe da je INC Ransom ekosustav postao aktivna prijetnja organizacijama u Australiji, Novom Zelandu i pacifičkim otočnim državama. Posebno se naglašava distribuirani affiliate model koji omogućuje širokom rasponu kibernetičkih kriminalaca provođenje napada korištenjem zajedničkih alata i infrastrukture.
Izvor: Cyble

Zlonamjerni Packagist paketi prerušeni u Laravel alate isporučuju šifrirani RAT
Istraživači su otkrili remote access trojan distribuiran kroz više Packagist paketa koji se predstavljaju kao Laravel alati. Paketi nhattuanbl/lara-helper i nhattuanbl/simple-queue sadrže identičan zlonamjerni payload, dok treći paket automatski instalira RAT putem ovisnosti. Kampanja pokazuje kako napadači iskorištavaju supply chain rizike unutar PHP developerskog ekosustava kroz pouzdane repozitorije paketa.
Izvor: Socket

APT skupina Silver Dragon cilja organizacije u jugoistočnoj Aziji i Europi
Check Point prati APT skupinu Silver Dragon za koju se vjeruje da djeluje unutar šire kineske APT41 infrastrukture. Napadi su usmjereni na organizacije u Europi i jugoistočnoj Aziji, a početni pristup ostvaruje se iskorištavanjem javno dostupnih servera i phishing porukama s malicioznim privicima. Za održavanje pristupa napadači preuzimaju legitimne Windows servise kako bi se zlonamjerni procesi stopili s normalnim radom sustava.
Izvor: Check Point Research

Kritična FreeScout ranjivost omogućuje potpuno kompromitiranje servera
Kritična ranjivost u open source help desk platformi FreeScout označena kao CVE-2026-28289 omogućuje zero click remote code execution. Propust predstavlja zaobilaženje ranije zakrpane ranjivosti i omogućuje napadaču manipulaciju obradom datoteka putem zlonamjernog .htaccess upload-a, što može rezultirati potpunim kompromitiranjem servera.
Izvor: SecurityWeek

Ranjivost u VMware Aria Operations sustavu aktivno se iskorištava
CISA upozorava da se CVE-2026-22719, ranjivost visoke razine ozbiljnosti u VMware Aria Operations sustavu, aktivno iskorištava u napadima. Riječ je o command injection propustu koji omogućuje neautentificiranim napadačima izvršavanje proizvoljnih naredbi tijekom procesa migracije proizvoda uz podršku tehničke podrške, što može dovesti do remote code executiona.
Izvor: SecurityWeek

Kritična RCE ranjivost u Qwik frameworku omogućuje preuzimanje servera
Ranjivost označena kao CVE-2026-27971 u web frameworku Qwik omogućuje napadaču preuzimanje kontrole nad serverom jednim posebno oblikovanim zahtjevom. Propust se nalazi u server side komunikacijskom sloju frameworka i predstavlja ozbiljan rizik za aplikacije izgrađene na toj platformi jer omogućuje remote code execution.
Izvor: SecurityOnline

Zlouporaba OAuth preusmjeravanja omogućuje phishing i isporuku malvera
Microsoft je uočio aktivnosti gdje napadači zloupotrebljavaju OAuth mehanizme preusmjeravanja koji su po dizajnu predviđeni za autentifikacijske tokove. Kampanje ciljaju vladine i javne organizacije te koriste tihe OAuth tokove i namjerno neispravne scopeove kako bi preusmjerile žrtve na napadačku infrastrukturu bez krađe tokena. Microsoft Defender je detektirao korelirane signale kroz email, identitet i endpoint, a Microsoft Entra je onemogućio uočene OAuth aplikacije, uz napomenu da povezane aktivnosti i dalje zahtijevaju nadzor.
Izvor: Microsoft Security Blog

Neizravna prompt injekcija u AI agentima uočena u stvarnim napadima
Unit 42 opisuje uočene slučajeve neizravne prompt injekcije, gdje napadači ubacuju skrivene ili manipulirane upute u web sadržaj koji kasnije obrađuje LLM ili agent. Umjesto izravne interakcije s modelom, napad se oslanja na funkcije poput sažimanja stranica ili analize sadržaja, pa model nenamjerno izvršava napadačke upute. Utjecaj raste s razinom privilegija i osjetljivošću sustava u koji je agent integriran, a objavljen je i primjer izbjegavanja AI pregleda oglasa.
Izvor: Unit 42

Amazon potvrdio oštećenja AWS podatkovnih centara nakon napada dronovima i šire ispade
Amazon je potvrdio da su tri AWS podatkovna centra u Ujedinjenim Arapskim Emiratima i jedan u Bahreinu oštećeni u napadima dronovima, što je uzrokovalo opsežan prekid rada koji pogađa više cloud usluga. Prema navodima, incident je poremetio AWS Middle East UAE regiju ME CENTRAL 1 i AWS Middle East Bahrain regiju ME SOUTH 1, a kontekst se povezuje s eskalacijom regionalnog sukoba i odmazdom nakon vojnih udara.Izvor: BleepingComputer

SloppyLemming cilja vlade Pakistana i Bangladeša s dva lanca isporuke malvera
Napadačka aktivnost SloppyLemming povezana je s napadima na državne entitete i operatore kritične infrastrukture u Pakistanu i Bangladešu. Prema Arctic Wolfu, aktivnosti su trajale od siječnja 2025 do siječnja 2026 i koristile dva odvojena lanca napada za isporuku BurrowShell malvera i keyloggera napisanog u Rustu. Izvještaj navodi da Rust predstavlja evoluciju u alatu skupine u odnosu na ranije primijećene tehnike i alate poput Cobalt Strikea, Havoca i vlastitog NekroWire RATa.
Izvor: The Hacker News

Google potvrdio da je iskorištavana ranjivost u Qualcomm Android komponenti
Google je objavio da je ranjivost CVE 2026 21385 u open source Qualcomm komponenti korištenoj u Android uređajima iskorištavana u stvarnim napadima. Propust je klasificiran kao buffer over read u grafičkoj komponenti, a Qualcomm ga opisuje kao problem memorijske korupcije povezan s integer overflowom. Navodi se da je ranjivost prijavljena 18. prosinca 2025, a korisnici su obaviješteni 2. veljače 2026.
Izvor: The Hacker News

Ranjivost u Chrome Gemini panelu omogućila preuzimanje kontrole putem ekstenzija
Istraživači su otkrili CVE-2026-0628, ranjivost visoke razine ozbiljnosti u implementaciji Gemini Live funkcionalnosti u Google Chromeu. Propust je mogao omogućiti zlonamjernim ekstenzijama s osnovnim dozvolama preuzimanje kontrole nad Gemini panelom i pristup lokalnim datotekama, što bi moglo dovesti do eskalacije privilegija. Google je ranjivost zakrpao početkom siječnja prije javne objave.
Izvor: Unit 42

APT28 povezan s MSHTML zero day ranjivošću iskorištavanom prije Patch Tuesday nadogradnje
Rusiji povezana skupina APT28 navodno je iskorištavala CVE-2026-21513, ranjivost u MSHTML Frameworku s CVSS ocjenom 8.8, prije nego što je zakrpana u Microsoftovom Patch Tuesday ažuriranju u veljači 2026. Propust je omogućavao zaobilaženje sigurnosnih mehanizama putem mreže i mogao je biti korišten u ciljanim napadima.
Izvor: SecurityWeek

StegaBin kampanja koristi zlonamjerne npm pakete i Pastebin steganografiju
Otkriveno je 26 zlonamjernih npm paketa koji provode višefaznu operaciju krađe vjerodajnica usmjerenu na developere. Kampanja nazvana StegaBin skriva command and control infrastrukturu unutar Pastebin sadržaja koristeći steganografiju na razini znakova. Infekcija završava instalacijom remote access trojana i devet modula za krađu podataka, uključujući SSH ključeve, git repozitorije, pregledničke vjerodajnice i lokalno pohranjene tajne podatke.
Izvor: Socket

Tisuće Google Cloud API ključeva javno izložene s pristupom Gemini servisima
Istraživanje je otkrilo gotovo 3.000 javno dostupnih Google Cloud API ključeva ugrađenih u klijentski kod. Iako se obično koriste kao identifikatori projekata za naplatu, ti ključevi mogli su se zloupotrijebiti za autentifikaciju prema osjetljivim Gemini endpointovima i pristup privatnim podacima nakon aktivacije API funkcionalnosti.
Izvor: The Hacker News

ClawJacked propust omogućio preuzimanje lokalnih OpenClaw AI agenata
Ranjivost visoke razine ozbiljnosti u OpenClaw sustavu omogućavala je zlonamjernim web stranicama povezivanje s lokalno pokrenutim AI agentom putem WebSocket gatewaya vezanog na localhost. U kombinaciji sa socijalnim inženjeringom, napadači su mogli preuzeti kontrolu nad agentom bez dodatnih plugina ili ekstenzija. Propust je u međuvremenu zakrpan.
Izvor: The Hacker News

Cisco zakrpao Catalyst SD WAN zero day ranjivost koju iskorištavaju vrlo sofisticirani napadači
Cisco je objavio hitne zakrpe za kritičnu zero day ranjivost u Catalyst SD WAN sustavu označenu kao CVE-2026-20127 s CVSS ocjenom 10. Propust se može udaljeno iskoristiti za zaobilaženje autentifikacije i stjecanje administratorskih privilegija na ranjivim uređajima. Ranjivost pogađa mehanizam autentifikacije peeringa u Catalyst SD WAN Controlleru i Catalyst SD WAN Manageru te omogućuje neautentificiranim napadačima slanje posebno oblikovanih zahtjeva.
Izvor: SecurityWeek

Microsoft upozorava developere na lažne Next.js repozitorije za posao koji isporučuju in memory malware
Koordinirana kampanja usmjerena na developere koristi zlonamjerne repozitorije prerušene u legitimne Next.js projekte i tehničke zadatke kako bi navela žrtve na izvršavanje koda i uspostavu trajnog pristupa kompromitiranim računalima. Aktivnost se uklapa u širi obrazac mamaca vezanih uz zapošljavanje koji se uklapaju u uobičajene developerske procese i povećavaju vjerojatnost kompromitacije.
Izvor: The Hacker News

Nova Dohdoor malware kampanja cilja obrazovanje i zdravstvo
Cisco Talos identificirao je kampanju koja isporučuje ranije nepoznati backdoor nazvan Dohdoor. Malware koristi DNS over HTTPS za command and control komunikaciju te može reflektivno preuzimati i izvršavati dodatne zlonamjerne komponente. Kampanja cilja organizacije u sektoru obrazovanja i zdravstva u Sjedinjenim Državama kroz višefazni lanac napada.
Izvor: Cisco Talos

UnsolicitedBooker cilja telekom tvrtke u Srednjoj Aziji backdoorima LuciDoor i MarsSnake
Skupina UnsolicitedBooker zabilježena je u napadima na telekomunikacijske tvrtke u Kirgistanu i Tadžikistanu. Napadi uključuju implementaciju dvaju backdoora nazvanih LuciDoor i MarsSnake. Istraživači navode korištenje više jedinstvenih alata kineskog podrijetla.
Izvor: The Hacker News

Zlonamjerni NuGet paket cilja Stripe
Istraživači su otkrili zlonamjerni NuGet paket koji imitira Stripe.net, popularan paket s više od 70 milijuna preuzimanja. Aktivnost dolazi nakon ranijih kampanja usmjerenih na developerski ekosustav povezan s kripto platformama i dodatno potvrđuje rizike u opskrbnom lancu softverskih paketa.
Izvor: ReversingLabs

Telegram kanali otkrivaju brzu zloupotrebu SmarterMail ranjivosti
Istraživači su na podzemnim Telegram kanalima i forumima uočili kako napadači u roku od nekoliko dana od objave ranjivosti dijele i prodaju PoC eksploite te ukradene administratorske pristupe povezane s CVE-2026-24423 i CVE-2026-23760. Riječ je o kritičnim propustima koji omogućuju udaljeno izvršavanje koda i zaobilaženje autentifikacije na javno izloženim mail serverima.
Izvor: BleepingComputer

AI u sredini komunikacije: zloupotreba AI servisa kao C2 proxyja
Istraživanje pokazuje da napadači sve češće koriste legitimne AI servise kao komunikacijske kanale za command and control infrastrukturu. Budući da su AI domene često dozvoljene u korporativnom prometu, postaju atraktivan vektor za prikrivanje zlonamjernih aktivnosti. AI se koristi i za generiranje phishing sadržaja, izradu skripti, analizu ukradenih podataka te razvoj cjelovitih C2 frameworka.
Izvor: Check Point Research

Firebase pogrešna konfiguracija izložila 300 milijuna poruka AI aplikacije
Nezaštićena Firebase baza podataka izložila je približno 300 milijuna poruka više od 25 milijuna korisnika aplikacije Chat & Ask AI. Aplikacija funkcionira kao pristupnik prema više AI modela, što znači da je jedan tehnički propust imao širok utjecaj na privatnost korisnika diljem svijeta.
Izvor: Hackread

CISA upozorava na kritičnu ranjivost u Honeywell CCTV sustavima
CISA je izdala upozorenje o kritičnoj ranjivosti CVE-2026-1670 u više Honeywell CCTV proizvoda. Propust omogućuje neautentificiranom napadaču promjenu e-mail adrese za oporavak lozinke te preuzimanje korisničkog računa i pristup video prijenosima. Ranjivost je ocijenjena s CVSS 9.8.
Izvor: BleepingComputer

GrayCharlie kompromitira odvjetničke web stranice u mogućem supply chain napadu
Skupina GrayCharlie kompromitirala je WordPress stranice i ubrizgavala zlonamjerni JavaScript koji preusmjerava korisnike na NetSupport RAT payloadove putem lažnih browser update stranica. Identificiran je klaster kompromitiranih odvjetničkih web stranica u SAD-u, što upućuje na mogući supply chain napad preko zajedničkog IT pružatelja usluga.
Izvor: Recorded Future

UNC6201 iskorištava Dell RecoverPoint for Virtual Machines zero-day ranjivost
Mandiant i Google Threat Intelligence Group identificirali su zero-day iskorištavanje kritične ranjivosti u Dell RecoverPoint for Virtual Machines sustavu, označene kao CVE-2026-22769 (CVSS 10.0). Prema analizi, prijetnja UNC6201, povezana s Kinom, iskorištava propust najmanje od sredine 2024. godine za lateralno kretanje, održavanje perzistencije i implementaciju zlonamjernih alata uključujući SLAYSTYLE, BRICKSTORM i novi backdoor GRIMBOLT.
Izvor: Google Cloud Blog

Spam kampanja zloupotrebljava Atlassian Jira Cloud za ciljanje vlada i korporacija
Napadači su koristili Atlassian Jira Cloud i povezani e-mail sustav za provođenje automatiziranih spam kampanja, zaobilazeći tradicionalne e-mail sigurnosne kontrole iskorištavanjem reputacije legitimne domene. Kampanja je bila aktivna od kraja prosinca 2025. do kraja siječnja 2026. te je ciljala državne i korporativne subjekte, usmjeravajući žrtve prema investicijskim prijevarama i online kasino stranicama.
Izvor: Trend Micro

Ranjivosti u popularnim PDF platformama omogućile preuzimanje računa i eksfiltraciju podataka
Istraživači su otkrili više od deset ranjivosti u PDF platformama Foxit i Apryse koje su mogle omogućiti preuzimanje korisničkih računa, eksfiltraciju podataka i druge napade. Propusti su odgovorno prijavljeni proizvođačima, koji su objavili sigurnosne zakrpe.
Izvor: SecurityWeek

Notepad++ zakrpao kompromitirani mehanizam nadogradnje korišten za distribuciju ciljanog malwarea
Notepad++ je objavio sigurnosnu nadogradnju verzije 8.9.2 kojom se adresira zloupotreba mehanizma nadogradnje od strane naprednog aktera iz Kine. Nova implementacija uvodi dodatne provjere digitalno potpisanih instalacijskih datoteka i XML odgovora s poslužitelja kako bi se spriječila isporuka ciljanog zlonamjernog softvera.
Izvor: The Hacker News

Flaws u popularnim VSCode ekstenzijama izlažu developere napadima
Ranjivosti visoke i kritične razine u popularnim Visual Studio Code ekstenzijama, preuzetim više od 128 milijuna puta, mogle su omogućiti krađu lokalnih datoteka i udaljeno izvršavanje koda. Pogođene su ekstenzije Code Runner, Markdown Preview Enhanced i Microsoft Live Preview. Istraživači navode da na ranije prijave proizvođači nisu odgovorili.
Izvor: BleepingComputer

BeyondTrust zakrpao kritičnu RCE ranjivost
BeyondTrust je objavio zakrpe za kritičnu ranjivost u proizvodima Remote Support (RS) i Privileged Remote Access (PRA) koja omogućuje neautentificirano udaljeno izvršavanje koda. Ranjivost CVE-2026-1731 (CVSS 9.9) može se iskoristiti putem posebno oblikovanih zahtjeva za izvršavanje naredbi operativnog sustava. Eksploatacija ne zahtijeva autentifikaciju ni interakciju korisnika te može dovesti do kompromitacije sustava, neovlaštenog pristupa i eksfiltracije podataka. Procjenjuje se da je oko 8.500 javno dostupnih on-prem RS instalacija potencijalno izloženo riziku.
Izvor: SecurityWeek

Fortinet zakrpao kritičnu SQL Injection ranjivost
Fortinet je izdao sigurnosne nadogradnje za CVE-2026-21643 (CVSS 9.1), kritičnu SQL Injection ranjivost u FortiClientEMS sustavu. Propust omogućuje neautentificiranim napadačima izvršavanje proizvoljnog koda ili naredbi putem posebno izrađenih HTTP zahtjeva. Organizacije koje koriste ranjive verzije FortiClientEMS-a trebaju hitno primijeniti zakrpe kako bi spriječile kompromitaciju sustava.
Izvor: The Hacker News

Warlock ransomware kompromitirao SmarterTools putem neažuriranog SmarterMail servera
SmarterTools je potvrdio da je ransomware grupa Warlock (Storm-2603) kompromitirala njihovu mrežu iskorištavanjem neažurirane SmarterMail instance. Jedan virtualni server nije bio uključen u standardni proces nadogradnje, što je omogućilo inicijalni pristup napadačima. Tvrtka je navela da poslovne aplikacije i korisnički podaci nisu kompromitirani.
Izvor: The Hacker News

Najveća višestruka kibernetička operacija protiv APT aktera UNC3886 u Singapuru
Singapurske vlasti objavile su da je APT skupina UNC3886 provela ciljanu kampanju protiv telekomunikacijskog sektora. Meta napada bili su svi glavni telekom operateri – M1, SIMBA Telecom, Singtel i StarHub. Operacija odgovora uključivala je više državnih agencija s ciljem zaštite kritične infrastrukture i ograničavanja daljnjih aktivnosti napadača.
Izvor: Cyber Security Agency of Singapore

Novi SSHStalker Linux botnet koristi stare eksploatacijske tehnike
Novoidentificirani Linux botnet nazvan SSHStalker koristi eksploatacijske tehnike stare više od 15 godina, uključujući IRC-based upravljanje i 19 Linux kernel eksploita iz 2009. godine. Botnet implementira cron mehanizme za perzistenciju te watchdog model za ponovno pokretanje zlonamjernih procesa. Iako artefakti podsjećaju na ranije rumunjske botnet kampanje poput Outlaw i Dota, izravna povezanost nije potvrđena.
Izvor: SecurityWeek

UNC1069 cilja kriptovalutni sektor novim alatima i socijalnim inženjeringom potpomognutim AI-jem
Sjevernokorejski akteri prijetnji nastavljaju razvijati svoje taktike kako bi ciljali kriptovalutni i decentralizirani financijski (DeFi) sektor. Mandiant je nedavno istražio upad u fintech organizaciju iz tog sektora, pripisan skupini UNC1069, financijski motiviranom akteru aktivnom najmanje od 2019. godine. Istraga je otkrila prilagođeni upad koji je rezultirao implementacijom sedam različitih obitelji zlonamjernog softvera, uključujući nove alate za prikupljanje podataka s računala i o žrtvi: SILENCELIFT, DEEPBREATH i CHROMEPUSH. Napad se oslanjao na socijalni inženjering koji je uključivao kompromitirani Telegram račun, lažni Zoom sastanak, ClickFix infekcijski vektor te navodnu upotrebu AI-generiranog videa za obmanu žrtve.
Izvor: Google Cloud

TeamPCP crv iskorištava cloud infrastrukturu za izgradnju kriminalne infrastrukture
Istraživači kibernetičke sigurnosti upozorili su na masovnu kampanju koja je sustavno ciljala cloud-native okruženja radi postavljanja zlonamjerne infrastrukture za daljnje iskorištavanje. Aktivnost, zabilježena oko 25. prosinca 2025. i opisana kao “worm-driven”, iskorištavala je izložene Docker API-je, Kubernetes klastere, Ray nadzorne ploče i Redis poslužitelje, zajedno s ranije otkrivenom React2Shell ranjivošću (CVE-2025-55182, CVSS ocjena 10.0). Kampanja se pripisuje klasteru prijetnji poznatom kao TeamPCP (poznatom i kao DeadCatx3, PCPcat, PersyPCP i ShellForce). TeamPCP je aktivan barem od studenoga 2025., a njihova Telegram grupa trenutno ima više od 700 članova, gdje objavljuju ukradene podatke žrtava iz Kanade, Srbije, Južne Koreje, Ujedinjenih Arapskih Emirata i SAD-a. Detalji o akteru prvi su put dokumentirani u prosincu 2025. pod nazivom Operation PCPcat.
Izvor: The Hacker News

Nedavne SolarWinds ranjivosti potencijalno iskorištavane kao zero-day
Napadi usmjereni na internetom dostupne SolarWinds Web Help Desk (WHD) instance radi početnog pristupa mogli su iskoristiti nedavno zakrpane ranjivosti kao zero-day, navodi Microsoft. Kao dio višefaznog upada u prosincu 2025., napadači su kompromitirali ranjive WHD implementacije kako bi pokrenuli PowerShell i preuzeli dodatne zlonamjerne terete. Microsoft, međutim, nije mogao potvrditi jesu li napadači iskoristili nove ili starije SolarWinds ranjivosti koje su već poznate kao aktivno iskorištavane. Prema navodima, kompromitirani proizvod bio je ranjiv na CVE-2025-40551 i CVE-2025-40536, zakrpane u siječnju 2026., ali i na CVE-2025-26399, ispravljenu još u rujnu 2025.
Izvor: SecurityWeek

Fortinet priznaje da je FortiGate SSO ranjivost i dalje iskorištiva unatoč prosinačkoj zakrpi
Fortinet je potvrdio da napadači aktivno zaobilaze prosinačku zakrpu za kritičnu FortiCloud SSO ranjivost nakon što su korisnici prijavili sumnjive prijave na uređajima koji su navodno bili u potpunosti ažurirani. U novom savjetovanju Fortinet navodi da je identificiran novi napadački put za zlouporabu SAML-baziranog SSO-a u FortiOS-u, čak i na sustavima na kojima je već primijenjena ranija zakrpa. Otkriće slijedi izvješća da su FortiGate vatrozidi potajno rekonfigurirani putem kompromitiranih SSO računa, pri čemu su napadači mijenjali postavke, stvarali administratorske backdoor račune i iznosili konfiguracijske datoteke.
Izvor: The Register

Njemačka upozorava na otmice Signal računa usmjerene na visoke dužnosnike
Njemačka domaća obavještajna služba upozorava na sumnju da državno sponzorirani akteri ciljaju visoko rangirane pojedince putem phishing napada u aplikacijama za razmjenu poruka poput Signala. Napadi kombiniraju socijalni inženjering i legitimne funkcionalnosti kako bi se ukrali podaci političara, vojnih dužnosnika, diplomata i istraživačkih novinara u Njemačkoj i diljem Europe. Sigurnosno upozorenje temelji se na obavještajnim podacima Saveznog ureda za zaštitu ustava (BfV) i Saveznog ureda za informacijsku sigurnost (BSI). Ključna značajka ove kampanje jest da se ne koristi zlonamjerni softver niti se iskorištavaju tehničke ranjivosti same komunikacijske usluge, navode agencije.
Izvor: BleepingComputer

Lov na OpenClaw izloženosti: CVE-2026-25253 u javno dostupnim AI agent gatewayima
Kao odgovor na nedavno objavljenu ranjivost CVE-2026-25253, istraživački tim analizirao je kako se ova slabost pojavljuje u stvarnim okruženjima i što se može identificirati na razini cijelog interneta korištenjem Hunt[.]io platforme. Analiza se fokusirala na javno izložene frameworke za automatizaciju preglednika pogođene CVE-2026-25253, uključujući OpenClaw i njegove forkove Clawdbot i Moltbot, koji izlažu web sučelja za upravljanje i pohranjuju API vjerodajnice za više AI servisa. Kada se implementiraju bez odgovarajućih kontrola pristupa, ova sučelja su izravno dostupna s javnog interneta.
Izvor: Hunt.io

Novi ClickFix varijant “CrashFix” isporučuje Python RAT
U siječnju 2026. Microsoft Defender Experts identificirali su novu evoluciju kampanje ClickFix. Ažurirana taktika namjerno ruši preglednike žrtava, a zatim pokušava navesti korisnike da izvrše zlonamjerne naredbe pod izlikom vraćanja normalne funkcionalnosti. Ova varijanta predstavlja značajnu eskalaciju ClickFix tehnika, kombinirajući ometanje korisnika i socijalni inženjering kako bi se povećala uspješnost izvršavanja uz smanjeno oslanjanje na klasične exploit tehnike. Novi obrazac ponašanja nazvan je CrashFix te odražava širi porast socijalnog inženjeringa temeljenog na preglednicima, zloupotrebe legitimnih OS alata i Python payloadova.
Izvor: Microsoft Security Blog

Brew Hijack: isporuka malwarea kroz Homebrew core tap
Istraživanje je pokazalo da se unutar Homebrew core cask sustava i dalje mogu pronaći paketi koji se preuzimaju putem nekriptiranog HTTP protokola bez ikakve provjere integriteta. Otkriveno je 20 caskova u službenom Homebrew repozitoriju koji su podložni trivijalnim man-in-the-middle napadima, bez potrebe za exploitima ili povišenim privilegijama. To omogućuje napadačima na mrežnom putu da zamijene legitimne pakete zlonamjernim sadržajem.
Izvor: Koi.ai

Eksploatacija React Server Componentsa konsolidirana na dva IP izvora
Dva mjeseca nakon objave ranjivosti CVE-2025-55182, aktivnost iskorištavanja React Server Components značajno se konsolidirala. Telemetrija GreyNoisea pokazuje da dva IP izvora sada generiraju 56% svih zabilježenih pokušaja eksploatacije, u usporedbi s ranijih više od tisuću jedinstvenih izvora. Dominantni izvori koriste različite post-eksploatacijske payloadove, uključujući isporuku kriptomajnera i otvaranje reverse shell veza, što ukazuje na organiziranije i ciljanije operacije.
Izvor: GreyNoise

Sigurnosni incident u Flickru povezan s vanjskim e-mail sustavom
Platforma za dijeljenje fotografija Flickr obavijestila je korisnike o sigurnosnom incidentu koji je doveo do izlaganja osobnih podataka. Incident je povezan s ranjivošću u sustavu vanjskog pružatelja e-mail usluga, koja je mogla omogućiti neovlašteni pristup korisničkim informacijama. Izloženi podaci uključuju imena, e-mail adrese, korisnička imena, tipove računa, IP adrese, opću lokaciju i podatke o aktivnosti na Flickru. Pristup pogođenom sustavu ugašen je u roku od nekoliko sati od saznanja za incident.
Izvor: SecurityWeek_