Sjevernokorejski hakeri povezani su s Mastra npm supply chain napadom
Microsoft je kompromitaciju Mastra npm ekosustava pripisao skupini Sapphire Sleet, sjevernokorejskom državnom akteru. Kampanja je zahvatila više od 140 paketa i koristila zlonamjernu typosquatted ovisnost koja se automatski izvršavala tijekom instalacije, pretvarajući pouzdane developerske workflowe u ulaznu točku za napad.
Izvor: Microsoft Security

OptinMonster supply chain napad pogodio je 1,2 milijuna WordPress stranica
Sansec je prijavio aktivan supply chain napad koji pogađa OptinMonster, TrustPulse i PushEngage, s mogućim posljedičnim utjecajem na oko 1,2 milijuna WordPress stranica. Ubačeni JavaScript čekao je prijavljenog administratora, stvorio lažni administratorski račun i instalirao skriveni backdoor plugin za trajni pristup.
Izvor: Sansec

Kompromitacija Okendo Reviews widgeta izložila je tisuće e commerce stranica
Zscaler je povezao aktera SmartApeSG sa supply chain napadom na Okendo Reviews widget koji koristi više od 18.000 brendova. Budući da je widget ugrađen na visoko posjećene storefront i product stranice, kompromitacija je otvorila široku posrednu izloženost na legitimnim e commerce webovima.
Izvor: Zscaler ThreatLabz

CISA upozorava na aktivno iskorištavanu Joomla JCE ranjivost
CISA je dodala CVE-2026-48907 u Joomla Content Editoru u svoj KEV katalog nakon potvrde aktivnih napada. Propust omogućuje neautentificiranim korisnicima stvaranje editor profila i upload izvršivog PHP koda, što ga čini izravnim putem do kompromitacije stranice.
Izvor: The Hacker News

FortiBleed pokazuje velike credential napade na edge uređaje
Istraživači su FortiBleed opisali kao široku kampanju password sprayanja i krađe vjerodajnica usmjerenu na Fortinet uređaje, uz povezanu aktivnost i protiv MSSQL i Sophos sustava. Operacija pokazuje kako se ranije ukradeni podaci, brute force pokušaji i slabosti edge infrastrukture spajaju u velike kampanje za početni pristup.
Izvor: Unit 42

SearchLeak je Microsoft 365 Copilot pretvorio u alat za krađu podataka jednim klikom
Varonis je objavio SearchLeak, lanac ranjivosti koji je mogao natjerati Microsoft 365 Copilot Enterprise Search da izloži emailove, datoteke, kalendarske podatke i sigurnosne kodove kroz samo jednu posebno pripremljenu poveznicu. Slučaj je važan jer spaja AI specifičnu manipulaciju promptovima s klasičnim web propustima za tihu krađu poslovnih podataka.
Izvor: Varonis

DragonForce je sakrio backdoor promet unutar Microsoft Teams relay infrastrukture
Symantec je objavio da su DragonForce napadači usmjeravali command and control promet kroz Microsoft Teams relay infrastrukturu koristeći prilagođeni Go backdoor nazvan Backdoor.Turn. Braniteljima je promet izgledao kao normalna odlazna komunikacija prema Microsoft servisima, što je napadačima dalo snažnu prednost u prikrivanju aktivnosti.
Izvor: Symantec Threat Hunter Team

Kineski akter UNC6508 ciljao je medicinska, AI, cyber i obrambena istraživanja
Google Threat Intelligence povezao je UNC6508 s dugotrajnom špijunskom kampanjom protiv sjevernoameričkih akademskih, medicinskih i vojnih istraživačkih meta. Akter je ciljao istraživanja umjetne inteligencije, cyber ofenzivne programe, sustave bez posade, medicinska istraživanja i obrambene podatke kroz kompromitirane vanjske aplikacije i prilagođeni malware.
Izvor: Google Threat Intelligence

Iranski staging server otkrio je LA Metro SCADA backupove i podatke drugih žrtava
Hunt.io je pronašao otvoreni staging server povezan sa skupinom Ababil of Minab, proiranskim akterom koji je tvrdio da stoji iza destruktivnih upada protiv američkih i regionalnih meta. Izloženi podaci navodno su uključivali LA Metro SCADA povezane backupove i identitete dodatnih ranije neobjavljenih žrtava.
Izvor: Hunt.io

WhatsApp kampanja koristi VBScript i legitimne RMM alate za udaljeni pristup
Kaspersky je zabilježio aktivnu WhatsApp kampanju koja šalje zlonamjerne VBScript datoteke maskirane kao poslovne i financijske dokumente. Nakon pokretanja skripta slijedi višefazni lanac koji instalira legitimni remote monitoring and management softver, dajući napadaču udaljeni pristup uz privid regularnog administrativnog alata.
Izvor: Kaspersky

JetBrains Marketplace pluginovi krali su API ključeve za AI servise
Aikido je identificirao najmanje 15 JetBrains IDE pluginova koji su potajno iznosili API ključeve koje su korisnici unosili za AI coding assistant funkcije. Pluginovi su instalirani gotovo 70.000 puta i predstavljali su se kao legitimni alati za produktivnost developera, što ovaj slučaj čini ozbiljnim slomom povjerenja u developerskom ekosustavu.
Izvor: Aikido

Probijena je francuska državna platforma za razmjenu poruka, izloženi su podaci 70.000 zaposlenika
Francuski državni chat servis Tchap kompromitiran je, a osobni podaci više od 70.000 državnih zaposlenika navodno su ukradeni. Incident je važan ne samo zbog opsega nego i zato što pogađa platformu osmišljenu upravo za veći stupanj suverenosti i sigurnosti od stranih alternativa.
Izvor: SecurityWeek

EvilTokens pokazuje kako phishing može zaobići krađu lozinki u potpunosti
EvilTokens je phishing as a service alat izgrađen oko device code phishinga protiv Microsoft 365 računa. Umjesto krađe lozinki preko lažnih login stranica, žrtvu navodi da sama dovrši legitimni Microsoft autentifikacijski proces, uključujući MFA, čime napadač dobiva pristup bez ikakvog hvatanja lozinke.
Izvor: ESET WeLiveSecurity

DifyTap ranjivosti izložile su cross tenant AI podatke na platformi koju koristi više od milijun aplikacija
Istraživači su objavili četiri ranjivosti u Difyju, uključujući kritične probleme s cross tenant učinkom u cloud usluzi. Propusti su mogli omogućiti da podaci jednog korisnika budu izloženi drugome, pokazujući kako slabosti u popularnim AI orkestracijskim platformama mogu postati izravna putanja do izloženosti enterprise podataka.
Izvor: Zafran

WhatsApp tvrdi da je NSO pokušao novu spyware operaciju unatoč sudskoj zabrani
WhatsApp je objavio da je otkrio i zaustavio spear phishing pokušaj povezan s NSO Groupom, iako je toj spyware tvrtki sud već zabranio ciljanje WhatsApp korisnika. Slučaj ponovno stavlja komercijalni spyware u fokus i pokazuje da pravni pritisak sam po sebi nije uklonio prijetnju.
Izvor: SecurityWeek