Tech.cert-hungary.hu

Az F5 soron kívüli frissítéseket adott ki három kritikus NGINX hiba javítására. Mindegyik hitelesítés nélkül, távolról kihasználható, de csak meghatározott, nem alapértelmezett konfigurációkban. A legrosszabb esetben memóriakorrupció vagy kódfuttatás is előfordulhat. A CVE-2026-15176 és a CVE-2026-93479 heap-alapú puffertúlcsordulás, a CVE-2026-97205 pedig use-after-free hiba. Mindegyik az NGINX worker folyamatát érinti, és szolgáltatáskimaradást, memóriakorrupciót vagy akár kódfuttatást […]

Az OpenCode egy nyílt forráskódú, mesterséges intelligenciát alkalmazó programozási eszköz, amely többek között az OpenAI, az Anthropic és a Google nyelvi modelljeinek használatát támogatja. A szolgáltatáshoz kapcsolódó OpenCode Console lehetővé teszi, hogy a felhasználók saját API-kulcsaikat központilag tárolják, és azokon keresztül szerezzenek hozzáférést a különböző MI-szolgáltatásokhoz. A vállalat október 17-én kiberbiztonsági incidenst jelentett, amely következtében […]

A Unit 42 szerint egy 2024 szeptemberi támadás során egyetlen FortiManager feltörése elég volt ahhoz, hogy a támadók megszerezzék egy távközlési szolgáltató és ügyfelei több mint 500 tűzfalának jelszavait, titkosítási kulcsait és hálózati térképét. Utána olyan kártevőt telepítettek, amely nem hagy fájlt a lemezen, nem nyit portot, és nem indít saját internetkapcsolatot. A kutatók a […]

Egy legalább 2010 óta jelen lévő hiba a Broadcom saját 802.11-es Wi-Fi implementációjában lehetővé teszi, hogy egy jelhatótávolságon belül tartózkodó támadó hitelesítés nélkül kódot futtasson az érintett routereken. Quentin Kaiser biztonságkutató a párizsi Hexacon konferencián mutatta be a sérülékenységet, amely a WPS EAP üzenetek újraösszeállítását végző kódban található, és a Wi-Fi jelszó ismerete vagy normál WPS-párosítás nélkül is kihasználható.

Az indiai kiberbiztonsági hatóság, a CERT-In tájékoztatása szerint tesztelés alatt álló mesterséges intelligencia modellek jogosulatlanul fértek hozzá indiai szervezetek éles rendszereihez és bizalmas nyilvántartásokhoz. Ez az első ilyen hivatalos indiai beszámoló, miután világszerte több hasonló esetben is beszámoltak az MI-rendszerek nem megfelelő, önálló viselkedéséről. Az érintett vállalatok nem észlelték a behatolásokat, az incidenseket minden esetben […]

A Canva megerősítette, hogy egy harmadik féltől származó eszközt érintő kiberbiztonsági incidens során illetéktelenek hozzáférhettek egyes vállalati ügyfelek adataihoz. A Seven Deadly Sins nevű zsarolóvírus-csoport magára vállalta a támadást, és azt állítja, hogy az érintett adatokat már értékesítette. A Canva Ausztrália egyik legismertebb technológiai vállalata, amely az azonos nevű, ingyenesen használható grafikai tervezőplatformjával vált ismertté. […]

A Google bejelentette, hogy egy új, mesterséges intelligencia alapú védelem bevezetésével igyekeznek felvenni a harcot a csaló üzenetekkel és a hamis telefonhívásokkal Androidon. A Google elmondása szerint napjainkban a mobilcsalások messze túlmutatnak az automata robothívásokon és adathalászüzeneteken, ugyanis a mesterséges intelligencia miatt, például a hangklónozásnak köszönhetően, egyre kifinomultabbak a támadások is. A techóriás azt is […]

Egy új kutatás szerint világszerte célzott online hirdetéseken keresztül terjesztenek fejlett, felhasználói interakciót nem igénylő zero-click kémszoftvereket.

A hét beszámolói a központi menedzsmentrendszerek és az AI-platformok sérülékenységeire, valamint a célzott megfigyelés új módszereire irányították a figyelmet. Egy FortiManager kompromittálása több mint ötszáz tűzfal konfigurációját érintette, A Langflow sérülékenységét célzó kihasználási kísérleteket pedig honeypot rendszerekben észlelték. Kutatók reklámok megjelenítésével indított, kattintást nem igénylő kémprogram-fertőzéseket is igazoltak. A szolgáltatáskiesések, valamint a japán Burger Kinget […]

A kiberbűnözők egyre gyakrabban használnak ki olyan széles körben ismert online szolgáltatásokat, mint a DocuSign, a QuickBooks, az Adobe Sign vagy a Google Drive, hogy megtévesszék a felhasználókat és átjussanak az e-mail biztonsági szűrőkön. A módszer különösen megtévesztő, mert a csaló üzenetek nem feltétlenül hamis feladótól érkeznek, sok esetben valóban a megnevezett szolgáltatás küldi ki […]

Egy új, QuartzLine néven álcázott Windows-program látszólag egyszerű PDF-nézegető. Lehet vele fájlt megnyitni, keresni, nagyítani és oldalak bélyegképei között böngészni. A valóságban azonban a programban egy rejtett hátsó ajtó, a „zenith” modul rejtőzik, amely a fertőzött gépet támadói szerverhez köti, és onnan várja az utasításokat.

Az amerikai CISA figyelmeztetést adott ki az Ivanti Connect Secure VPN-megoldását érintő, aktívan kihasznált nulladik napi sérülékenységgel kapcsolatban.

A Meta mintegy 1500 embert értesít arról, hogy személyes adataik is érintettek lehettek egy olyan incidensben, amelynek során támadók hozzáfértek a vállalat egyes GitHub-adattáraihoz. Az érintettek nagy része a Meta Egyesült Államokban dolgozó munkatársa. A vállalat néhány héttel ezelőtt észlelte az incidenst. A Meta tájékoztatása szerint egy külső csoport egy alkalmazott ellopott hitelesítő adataival jutott […]

A hatóságok egy nemzetközi művelet keretében léptek fel nyugat-afrikai online csalóközpontok ellen. A ghánai és nigériai rendőrség összesen 28 embert tartóztatott le vagy vett őrizetbe, és több mint 100 feltételezhetően emberkereskedelem áldozatává vált személyt azonosított. A Joint Disruption Week elnevezésű akcióban 15 bűnüldöző szerv és ugyanennyi technológiai vállalat, köztük a Meta, a Microsoft és a […]

Az október 11-ről 12-re virradó éjszaka támadók távolról módosították francia szupermarketek hűtőrendszereinek leolvasztási beállításait. A több száz üzletet érintő támadás jelentős kárt okozott, és tűzesetekről is érkeztek jelentések. A behatolás módja egyelőre nem ismert, az érintett vezérlők több generációjában azonban korábban már feltártak súlyos hitelesítési hibákat. A támadás és a fizikai következmények A francia nemzeti […]

Az AIR kiberbiztonsági startup kutatói sérülékenységet fedeztek fel egy széles körben használt MI-fejlesztői környezetben. A hiba lehetővé teszi, hogy az MI-ügynökök megkerüljék az elszigetelésükre szolgáló korlátozásokat, és érzékeny adatokat juttassanak ki a rendszerből. A fejlesztők az elszigetelt sandbox-környezetekben engedélyezési listákkal szabályozzák, hogy a tesztelt programok mely szerverekhez kapcsolódhatnak. A Vercel Sandbox esetében azonban egy olyan […]

A dán központi népesség-nyilvántartás (CPR) elleni jelentős adatszivárgása jól példázza, hogy akár egyetlen gyenge jelszó és a partneri hozzáférések nem megfelelő felügyelete is nemzeti szintű kockázatot jelenthet. Az odensei székhelyű Pays ApS informatikai vállalat jogszerű hozzáféréssel rendelkezett a CPR-adatbázis lekérdezéséhez, de a beszámolók szerint legalább három felhasználói fiókjához – köztük az adminisztrátori fiókhoz – a […]

A GitLab maximális súlyosságú távoli kódfuttatási hibát javított a CI/CD rendszerében. A hiba lehetővé tette, hogy egy be nem jelentkezett támadó egy speciálisan megformált kifejezéssel tetszőleges kódot futtasson a GitLab kiszolgálón. A hiba azonosítója CVE-2026-97229. A GitLab CI/CD rendszerének Regular Expression Compiler nevű részében keletkezett, amely a projektek CI/CD konfigurációs fájljaiban szereplő reguláris kifejezéseket dolgozza […]

Egy oroszul beszélő, pénzügyi motivációjú kiberbűnöző mesterséges intelligenciával támogatott eszközökkel hajtott végre tömeges támadásokat világszerte, miközben célzottan az ukrán energiaszektort is támadta. A SOCRadar kutatói egy konfigurációs hibának köszönhetően feltárták a támadó infrastruktúráját és módszereit. A műveletek során több mint 628 ezer ukrán személyhez köthető adat került illetéktelen kézbe. A CyberXero álnéven tevékenykedő támadót a […]

A norvég adatvédelmi hatóság (Datatilsynet) 92 millió norvég korona (mintegy 9,6 millió dollár) bírságot szabott ki a Microsoft tulajdonában álló Xandr hirdetéstechnológiai vállalatra, mert jogellenesen kezelte és osztotta meg a Grindr társkereső alkalmazás felhasználóinak különleges személyes adatait. Ez a hatóság eddigi legnagyobb bírsága. „Azért szabtunk ki ilyen magas bírságot, mert a feltárt jogsértések rendkívül súlyosak […]