Aktualności, strona 2
Streszczenie
Wordfence notuje próby ataków na błąd w aktualizacji WordPressa, poprawkę zawiera wersja 7.1.4
Podatność w procesie aktualizacji WordPress Core od 4.7 do 7.1.3 pozwala bez logowania wykonać kod na serwerze, ale tylko w krótkim oknie podczas instalacji pełnego pakietu. Wordfence ocenia ją na 8.1 w skali CVSS i nie informuje o udanych włamaniach.
Źródło: Wordfence
Streszczenie
Headscale 0.29.7 i Tailscale 1.104.4 usuwają większość błędów z raportu Tailworm, sama poprawka serwera nie wystarczy
Wydanie z 30 października 2026 r. naprawia też 12 błędów zgłoszonych przez skaner oss-scanner firmy Anthropic. Poprawki dla Tailscale SSH działają w oprogramowaniu na węzłach, a część ustaleń raportu nie ma wydanej poprawki.
Źródło: Headscale
Streszczenie
Binance szacuje skutki włamania na 6,3 mld dolarów i wskazuje na przejęty laptop inżyniera DevOps
Atakujący dostał się przez komputer inżyniera do kontenera usługi i zlecił nieautoryzowane wypłaty. TRM Labs i Chainalysis przypisują atak północnokoreańskiej grupie TraderTraitor, a ich szacunki strat różnią się od wyliczeń giełdy.
Źródło: Binance
Streszczenie
Podatność CVE-2026-98432 w kodzie TCP jądra Linuksa ma ocenę 9.8, a RHEL i Ubuntu nie mają jeszcze poprawki
Wyścig przy zestawianiu połączeń TCP po IPv4 prowadzi do użycia zwolnionej pamięci jądra. Anthropic twierdzi, że jego model napisał na tej podstawie zdalny exploit z uprawnieniami roota. Debian, Oracle, SUSE i Amazon wydały już poprawione jądra.
Źródło: The Hacker News
Streszczenie
Cisco załatała aktywnie wykorzystywaną podatność, która zawiesza zapory ASA i FTD z SSL VPN
Cisco wydała poprawki do CVE-2026-76418 w ASA i FTD. Zdalny atakujący bez uwierzytelnienia może wywołać restart zapory z SSL VPN, a podatność jest wykorzystywana w atakach.
Źródło: BleepingComputer
Streszczenie
CERT Polska ostrzega przed podatnością path traversal w Wing FTP Server poniżej wersji 8.2.6
W Wing FTP Server wykryto podatność CVE-2026-105420, która pozwala administratorowi dodać katalogi użytkownika poza folderem bazowym i może prowadzić do zdalnego wykonania kodu. Poprawka jest w wersji 8.2.6.
Źródło: CERT Polska
Streszczenie
Krytyczna podatność CVE-2026-97631 w firmware UEFI opartym na EDK II pozwala wykonać kod podczas rozruchu przez PXE
TianoCore ocenił błąd w sterowniku rozruchu sieciowego EDK II na 9.5 w CVSS 4.0. Poprawka jest w kodzie od 15 października, ale nie ma jej jeszcze w żadnym wydaniu stabilnym ani w aktualizacjach producentów.
Źródło: TianoCore
Streszczenie
ISC ostrzega przed podatnością CVE-2026-94300 w serwerze DNS BIND9, są wersje z poprawką
Internet Systems Consortium opisało podatność w BIND9, która może prowadzić do utraty dostępu do usługi, a w niektórych przypadkach do zdalnego wykonania kodu. Poprawki są w wersjach 9.20.30, 9.21.27 i 9.20.30-S1, obejścia brak.
Źródło: Sekurak
Streszczenie
CERT-UA ostrzega przed przejmowaniem kamer i rejestratorów Dahua przez chmurową usługę Easy4IP
Atakujący odgadują numery seryjne urządzeń zarejestrowanych w chmurze producenta, łączą się z nimi bez otwartych portów, oglądają obraz, zmieniają konfigurację i zakładają własne konta. CERT-UA zaleca wyłączenie P2P tam, gdzie nie jest potrzebne.
Źródło: CyberDefence24
Streszczenie
CERT Polska opisał podatność Stored XSS w KGS Software tia Viewer, poprawka jest w wersji 1.2.8
CERT Polska opublikował 27 października 2026 r. opis podatności CVE-2026-105987 w KGS Software tia Viewer. Dotyczy wszystkich wersji przed 1.2.8 i pozwala wstrzyknąć kod JavaScript przez API adnotacji.
Źródło: CERT Polska
Streszczenie
Trzy podatności we wtyczce 2FA do Roundcube pozwalają ominąć drugi składnik, jeśli atakujący zna hasło
CERT Polska opisał trzy podatności we wtyczce twofactor_gauthenticator dla Roundcube, które umożliwiają ominięcie drugiego składnika uwierzytelniania atakującemu znającemu hasło. Poprawka jest w commicie 4640889.
Źródło: CERT Polska
Streszczenie
CERT Polska opisał 11 podatności w urządzeniach boneIO, poprawki są w wersji 1.6.0
CERT Polska opublikował 26 października 2026 r. opis 11 podatności w produktach boneIO, od CVE-2026-77052 do CVE-2026-77062. Źródło wskazuje wersję 1.6.0 jako rozwiązującą opisane problemy.
Źródło: CERT Polska
Materiał własny
28 października wchodzi w życie ostatnia część ustawy o systemach sztucznej inteligencji, z kontrolami i karami
Od 28 października 2026 r. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji może kontrolować, prowadzić postępowania i nakładać kary. Tego samego dnia zaczynają obowiązywać zmiany w ustawie o KSC i w ustawie o ochronie danych osobowych.
Źródło: Dziennik Ustaw, ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji
Streszczenie
CERT Polska opisał 11 podatności w szpitalnym systemie CGM CLININET, dla sześciu nie podał wersji z poprawką
Pięć podatności prowadzi do wykonania kodu z uprawnieniami root, jedna pozwala pobrać dokumenty pacjentów bez uwierzytelnienia. Wersja 2026.MS3 usuwa pięć z nich, pozostałe sześć potwierdzono także w tej wersji.
Źródło: CERT Polska
Streszczenie
Klucze prywatne ośmiu pośrednich urzędów certyfikacji eMudhra dało się odtworzyć z samych certyfikatów
Między 17 a 20 października 2026 r. Mozilla, Google, Apple i Microsoft zablokowały te urzędy, a Mozilla i Chrome wycofują zaufanie do głównego certyfikatu emSign ECC Root CA - G3. Programy, które nie sprawdzają odwołań certyfikatów, potrzebują aktualizacji.
Źródło: we-have-a-problem.com
Streszczenie
Fortinet wydaje poprawki dla FortiOS, FortiManager i FortiAnalyzer, a biuletyny opublikuje dopiero 10 listopada
Fortinet zapowiedział na 22 października 2026 r. aktualizacje FortiOS, FortiManager i FortiAnalyzer z poprawkami krytycznymi i wysokimi, po wydaniach FortiMail i FortiAuthenticator. Część błędów znalazł w testach z użyciem modeli AI. Szczegółów podatności jeszcze nie podał.
Źródło: Fortinet
Streszczenie
Node.js usunął dziesięć podatności, w tym błąd w dekoderze Brotli pozwalający na zdalne wykonanie kodu
Projekt Node.js wydał 21 października 2026 r. wersje 26.12.1, 24.22.1 i 22.23.4. Cztery z usuniętych podatności mają ocenę wysoką, a trzy z nich dotyczą rozwiązywania nazw i weryfikacji certyfikatów TLS.
Źródło: Node.js
Streszczenie
PHP zapowiada awaryjne poprawki dwóch krytycznych podatności umożliwiających zdalne wykonanie kodu
Zespół PHP zapowiedział awaryjne aktualizacje dla CVE-2026-109618 i CVE-2026-109619, które według CERT-EU mogą prowadzić do zdalnego wykonania kodu. Źródła różnią się co do terminu wydania i oceny CVSS, a informacje o podatnościach miały wyciec.
Źródło: ASD's ACSC alerts
Streszczenie
Wyciek 421 tysięcy e-maili AfD po włamaniu do dostawcy hostingu partii
Nieznani sprawcy opublikowali 421 179 wiadomości z dziesięciu skrzynek niemieckiej AfD. Partia potwierdza wrześniowy atak na swojego dostawcę hostingu i mówi o starych skrzynkach, a niemieckie media znalazły w zbiorze korespondencję z 2026 r.
Źródło: CyberDefence24
Streszczenie
Siemens ostrzega przed atakami ClickFix wykorzystującymi podatność w Software Center
Siemens potwierdził aktywne wykorzystanie podatności CVE-2026-110936 w Software Center w kampanii ClickFix o nazwie Romulus. Poprawka jest w wersji 4.0.9.8, a istniejące instalacje aktualizują się przy następnym uruchomieniu.
Źródło: Infosecurity Magazine