Spawned & rooted Reactor on HTB tonight.

React2Shell (CVE-2025-55182) → unauth RCE in a Next.js dashboard. MD5 from the app DB → engineer's SSH pass. Root = a root node --inspect on loopback, driven over the DevTools protocol.

https://t.co/TxeqLo408f #HackTheBox #HTB

Spawned & rooted Reactor on HTB tonight.

React2Shell (CVE-2025-55182) → unauth RCE in a Next.js dashboard. MD5 from the app DB → engineer's SSH pass. Root = a root node --inspect on loopback via the DevTools protocol.

https://t.co/TxeqLo408f #HackTheBox #HTB #InfoSec #PrivEsc

[EXPLOIT] EGE-GH-OtAiteh [CRITICAL/PoC] Linked: CVE-2025-55182

React2Shell-CVE-2025-55182-Exploit

🔗 https://t.co/chtIr4MCHN

Today is Patch Tuesday and it's a significant one. 966 vulnerabilities patched in the official count, with another 204 fixed separately earlier in September across Azure, Entra ID, Edge, and Copilot Studio. By any count this is the biggest single security release Microsoft has ever shipped.

Two of those are actively exploited zero-days: CVE-2026-81963 in the Windows Update Stack lets a low-privilege attacker reach SYSTEM level (ZDI notes it's almost certainly being chained with a remote code execution bug since local access is needed first), and CVE-2026-74780 in Windows ALPC follows the same pattern. Both are on CISA's Known Exploited list as of today.

Here's the counterintuitive part. Dustin Childs at Zero Day Initiative, who has been analyzing Patch Tuesdays longer than most people have worked in security, says the two exploited zero-days are not where you should be looking first.

What he's actually flagging are two things: the Exchange Server RCE (CVE-2026-55007, CVSS 8.1) and 20 vulnerabilities he's classifying as wormable. On Exchange: an unauthenticated remote attacker gets code execution on an affected server just by sending a maliciously crafted email. The server receives the email, the attacker gets in. No credentials, no user interaction, nothing.

On the 20 wormable bugs: these span DNS Server, DHCP Server, Active Directory, SMB Client, Netlogon, NFS, RRAS, Message Queuing, Failover Cluster, and others. Every single one allows a remote unauthenticated attacker to execute code with no user interaction. "We haven't seen a global worm in years," Childs wrote, "but with a DNS flaw acting as the spiritual successor to SigRed, that reality could change fast."

The DNS flaw he's referring to is CVE-2026-69730 (CVSS 9.8). SigRed in 2020 was a critical Windows DNS Server flaw that sat undetected for 17 years and would have allowed worm-like propagation across enterprise networks if it had been weaponized before discovery. This one draws the same comparison.

Two more worth flagging specifically for enterprise environments: CVE-2026-69676 is a Kerberos authentication bypass where any authenticated domain user can send a crafted request and execute code on a domain controller with no further privilege needed. And Microsoft also patched a flaw in the Android Microsoft Authenticator app where a malicious app can intercept valid authentication tokens after a user completes an auth step, which has obvious implications for any environment using Authenticator for MFA.

Practical prioritization from Childs and Tenable: Exchange Server and the 20 wormable bugs first, then the actively exploited zero-days, then Kerberos. The zero-days sound scarier but require local access first. A wormable unauthenticated DNS bug or an email that lands you on Exchange is a different threat model entirely.

Sources: BleepingComputer, Help Net Security, ZDI September 2026 Patch Tuesday review, Security Affairs, TechTimes, Tenable

@autumn_good_35 That SigRed comparison is apt: ZDI called CVE-2026-69730 its spiritual successor. Because many AD environments co-locate DNS on domain controllers, an unauthenticated crafted packet makes DC patching the priority.

@snakeyesV1 The DC point is the operational takeaway. CVE-2026-69730 is an unauthenticated, no-interaction Windows DNS RCE (CVSS 9.8) and Microsoft rates exploitation “More Likely”—patch AD/DNS hosts first.

Just hours after Microsoft's September Patch Tuesday, a new zero-day ShieldCrash was dropped by an anonymous researcher.

It acts as a patch bypass for CVE-2026-69414 (ShieldBreak), allowing local attackers to read arbitrary files with SYSTEM privileges via Microsoft Defender.

Raudona – aktyviai vykstančios atakos

Eksploatacija patvirtinta „in the wild“, reikalingi skubūs veiksmai per 24–72 val.

Rekordinis Microsoft pataisų antradienis uždarė 974 pažeidžiamumus, tarp jų du aktyviai išnaudojamus Windows nulinės dienos trūkumus. Rugsėjo 8 d. Microsoft išleido didžiausią savo istorijoje pataisų paketą: 974 CVE, iš jų 723 Windows komponentuose, per 110 kritinių, 20 potencialiai kirmininių ir du jau naudojami atakose privilegijų eskalavimo nulinės dienos trūkumai. Bendrovė pripažįsta, kad tokį kiekį lėmė dirbtiniu intelektu paremtas agentinis kodo skenavimas, o ekspertai perspėja, kad organizacijos nespėja testuoti ir diegti tokios apimties atnaujinimų. Lietuvos ir ES organizacijoms tai reiškia, kad pataisų prioritetizavimas nebegali remtis vien CVSS balu — reikia remtis KEV sąrašu ir eksploatavimo tikimybe. Windows 10 naudotojams kartu išleistas išplėstinės saugos atnaujinimas KB5122878. Šaltiniai: BleepingComputer , Krebs on Security , SecurityWeek , Zero Day Initiative Chrome V8 nulinės dienos trūkumas išnaudojamas atakose ir jau įtrauktas į CISA KEV sąrašą. Google išleido Chrome 153 su 230 saugos pataisų, tarp jų CVE-2026-87491 — už ribų rašymo klaida V8 variklyje, jau naudojama realiose atakose. Tai septintasis šiemet aktyviai išnaudojamas Chrome nulinės dienos trūkumas. CISA atskirai į KEV sąrašą įtraukė Chromium V8 tipų painiavos trūkumą CVE-2026-85046. Kadangi tas pats variklis naudojamas Edge, Brave, Opera ir Electron programose, atnaujinti reikia ne tik naršykles, bet ir Chromium pagrindu veikiančias darbastalio programas. Šaltiniai: The Hacker News , SecurityWeek , Cyber Security News Keturios šnipinėjimo grupės per savaitę pradėjo naudoti tą patį BlueMoon eksploitų rinkinį prieš Chrome ir Windows. Proofpoint aptiko anksčiau nedokumentuotą eksploitų rinkinį BlueMoon, kuris sugretina Chrome ir Windows pažeidžiamumus ir įdiegia užpakalines duris bei stebėjimo įrankius. Pirmasis panaudojimas priskiriamas su Kinija siejamai APT31, tačiau per savaitę tą patį rinkinį pradėjo naudoti bent keturios atskiros grupuotės, taikydamosi į vyriausybines, gynybos ir komercines organizacijas. Toks greitas dalijimasis eksploitais reiškia, kad naršyklės pažeidžiamumo langas nuo atskleidimo iki masinio panaudojimo trumpėja iki dienų. Valstybės institucijoms ir gynybos sektoriaus tiekėjams Lietuvoje tai tiesioginis rizikos signalas. Šaltiniai: The Hacker News , Cyber Security News Aktyviai išnaudojami maksimalaus pavojingumo autentifikacijos apėjimai Cisco Secure FMC ir N-able N-central valdymo platformose. Cisco patvirtino, kad CVE-2026-20079 — maksimalaus pavojingumo autentifikacijos apėjimas Secure Firewall Management Center programinėje įrangoje — yra naudojamas atakose. Tuo pačiu metu CISA į KEV sąrašą įtraukė N-able N-central trūkumą CVE-2026-86218 (CVSS 10.0), leidžiantį nuotolinį kodo vykdymą be autentifikacijos, ir nustatė federalinėms institucijoms pataisymo terminą rugsėjo 11 d. Abi platformos yra centrinės valdymo sistemos, todėl jų kompromitavimas suteikia užpuolikui prieigą prie viso valdomo turto. Administratoriams patariama patikrinti, ar sistemose neatsirado neatpažįstamų naujų naudotojų paskyrų. Šaltiniai: BleepingComputer , The Hacker News , SecurityWeek Magento ir Adobe Commerce nulinės dienos trūkumas StyleSmuggler naudojamas parduotuvėms užkrėsti užpakalinėmis durimis. Adobe skubiai išleido pataisą CVE-2026-75650 (CVSS 10.0) — Sansec pavadintas StyleSmuggler trūkumas leidžia neautentifikuotam užpuolikui vykdyti kodą ir buvo išnaudojamas nuo rugsėjo 4 d., diegiant Rust kalba parašytas užpakalines duris ir PHP žiniatinklio apvalkalus Linux serveriuose. Pažeidžiamos visos Magento Open Source ir Adobe Commerce versijos. Elektroninės prekybos operatoriams tai reiškia ne tik pataisymo, bet ir kompromitacijos požymių paieškos būtinybę — pataisa neišvalo jau įdiegtų užpakalinių durų. Kortelių duomenų nutekėjimo atveju taikomi GDPR pranešimo terminai. Šaltiniai: BleepingComputer , The Hacker News , SecurityWeek FortiGate ugniasienės aktyviai atakuojamos, o Fortinet tuo pačiu metu taiso kritinius trūkumus keliuose produktuose. SOCRadar tyrėjai su dideliu pasitikėjimu nustatė vykstančią kampaniją, kurios metu užpuolikai išnaudoja kritinį FortiGate pažeidžiamumą ir įdiegia specialiai sukurtą Node.js nuotolinės prieigos trojos arklį, paversdami perimetro įrenginius ilgalaikiais šnipinėjimo atramos taškais. Tą pačią savaitę Fortinet paskelbė kritines pataisas FortiMonitorOnSight ir Chrome plėtiniui, FortiSandbox informacijos nutekėjimo trūkumą CVE-2026-26084 ir FortiOS bei FortiProxy ZTNA sertifikatų tikrinimo klaidą CVE-2026-84393, leidžiančią vykdyti tarpininko ataką. NIS2 ir KSĮ reguliuojamoms organizacijoms perimetro įranga yra prioritetinis pataisymo objektas. Šaltiniai: Cyber Security News , SecurityWeek , Cyber Security News F5 BIG-IP APM įrenginiuose aptiktas Linux šakninis rinkinys, įterpiantis žiniatinklio apvalkalą tiesiai į atmintį. Sophos aprašė kenkėjinę programą, kuri perima PHP failų įkėlimą F5 BIG-IP Access Policy Manager įrenginiuose ir įterpia žiniatinklio apvalkalą į atmintyje laikomą trijų pačių įrenginio scenarijų kopiją. Diske esantys failai lieka švarūs, todėl įprastas failų skenavimas ir vientisumo tikrinimas kompromitacijos neaptinka. Aptikimui reikia atminties analizės arba tinklo srauto stebėjimo. Tai antras šios savaitės pavyzdys, kai perimetro prieigos įrenginys tampa nuolatiniu užpuoliko atramos tašku. Šaltiniai: BleepingComputer , The Hacker News , Cyber Security News Šimtai autonominių dirbtinio intelekto agentų kompromitavo 440 PaperCut serverių 48 šalyse. GreyNoise per savo Global Observation Grid tinklą aptiko rusakalbio veikėjo kampaniją, kurioje šimtai autonominių dirbtinio intelekto agentų išnaudojo kritinius PaperCut NG ir MF spausdinimo valdymo programinės įrangos pažeidžiamumus ir kompromitavo mažiausiai 440 serverių 395 organizacijose 48 šalyse. Tai pirmas plačiai dokumentuotas atvejis, kai agentų parkas naudojamas masiniam pažeidžiamumų išnaudojimui pramoniniu mastu. PaperCut plačiai naudojamas švietimo įstaigose ir viešajame sektoriuje, taip pat Lietuvoje, todėl serverių inventorizacija ir pataisų būklės patikra yra skubi. Šaltiniai: Cyber Security News Daugiaveiksnio autentifikavimo apėjimas vyksta pramoniniu mastu prieš Microsoft 365 aplinkas. Sukčiavimo kaip paslaugos karkasas BigBear 2.0 apėjo daugiaveiksnį autentifikavimą 258 organizacijose ir pavogė daugiau nei 5 000 Microsoft 365 kredencialų. Lygiagrečiai fiksuojama kampanija, kurioje užpuolikai skambina vadovams apsimesdami vidaus IT tarnyba, pavagia seansų žetonus per tarpininko ataką ir prisijungia per gyventojų tarpinius serverius. ANY.RUN aprašė naują sukčiavimo rinkinį N0va, taikomą Šiaurės Amerikos ir ES vyriausybinėms, technologijų, konsultacijų ir sveikatos organizacijoms. Atskirai perspėjama, kad paskyros atkūrimo procedūros pagalbos tarnyboje tapo silpniausia MFA grandimi — sustiprinti reikia būtent tapatybės patikrą prieš slaptažodžio atstatymą. Šaltiniai: BleepingComputer , The Hacker News , Cyber Security News , BleepingComputer ClickFix ir ClearFake kampanijos slepiasi už patikimų paslaugų ir išjungia galinių taškų apsaugą. ClearFake išplėtė netikro CAPTCHA scenarijų iki grandinės, kuri per pažeidžiamą tvarkyklę nužudo galinių taškų apsaugos įrankius ir vagia kriptovaliutą bei kredencialus; instrukcijos laikomos blokų grandinėje, o pradinis įsilaužimas vyksta per kompromituotas svetaines. Atskirose kampanijose užpuolikai naudoja kelių persiuntimų grandines per Google paslaugas ir Microsoft blob adresus, kad sukurtų sukčiavimo puslapius tiesiai aukos naršyklėje — statinės svetainės, kurią būtų galima blokuoti, tiesiog nelieka. Apsaugai reikia ne domenų juodųjų sąrašų, o naudotojo elgsenos kontrolės ir pažeidžiamų tvarkyklių blokavimo sąrašų. Šaltiniai: Cyber Security News , Dark Reading , Dark Reading , SecurityWeek Iškart po pataisų antradienio paskelbtas naujas Microsoft Defender nulinės dienos trūkumas ShieldCrash. Tyrėjas, žinomas kaip Chaotic Eclipse, paskelbė veikiantį koncepcijos įrodymą trūkumui ShieldCrash, kuris suteikia SYSTEM lygio prieigą. Tai praėjusį mėnesį pateikto ShieldBreak (CVE-2026-69414) pataisos apėjimas — tyrėjas teigia, kad Microsoft trūkumo tinkamai neužtaisė. Kadangi eksploitas viešas, o pataisos nėra, organizacijoms verta sustiprinti Defender proceso vientisumo stebėjimą ir privilegijų eskalavimo aptikimo taisykles. Šaltiniai: The Hacker News , BleepingComputer MikroTik maršrutizatoriuose užtaisyta MikroTrick trūkumų grandinė, leidusi visiškai perimti įrenginį. MikroTik išleido pataisas kritiniams trūkumams, pavadintiems MikroTrick, kuriuos sujungus galima apeiti autentifikaciją, perrašyti konfigūracijos failus ir perimti maršrutizatorių. Ši įranga itin plačiai naudojama Lietuvos ir Baltijos šalių interneto tiekėjų, smulkaus verslo ir namų tinkluose, todėl praktinis poveikis regione didesnis nei vidutinis. Rekomenduojama nedelsiant atnaujinti RouterOS, patikrinti, ar valdymo sąsaja nepasiekiama iš interneto, ir peržiūrėti konfigūracijos pakeitimų žurnalus. Šaltiniai: SecurityWeek

Geltona – įvyko ar paskelbta šią savaitę

Patvirtintos spragos, nutekinimai ir PoC be plataus masinio išnaudojimo. Planuoti pataisymus artimiausiame lange.

SAP užtaisė maksimalaus pavojingumo branduolio trūkumą OVERPASS su CVSS 10.0 įvertinimu. Rugsėjo atnaujinimuose SAP ištaisė 20 pažeidžiamumų, tarp jų CVE-2026-44756 — atminties pažeidimo klaidą SAP Extended Passport apdorojime, leidžiančią neautentifikuotam nuotoliniam užpuolikui vykdyti komandas, atkurti paslaptis ir keisti duomenis. Aktyvaus išnaudojimo požymių kol kas nėra, tačiau SAP sistemos yra kritinės daugumos didelių ES organizacijų verslo procesams. Pataisymą verta planuoti kaip skubų pakeitimą, o ne kaip eilinį mėnesio langą. Šaltiniai: BleepingComputer , The Hacker News , SecurityWeek Ivanti ir Dell paskelbė kritines pataisas įmonių valdymo ir prieigos produktams. Ivanti vienu metu paskelbė patarimus dėl dešimties CVE trijuose produktuose — Endpoint Manager Mobile, Neurons for ITSM ir Sentry — nuo privilegijų eskalavimo iki nuotolinio kodo vykdymo; šeši kritiniai Neurons for ITSM trūkumai leidžia vykdyti kodą nuotoliniu būdu. Dell atskleidė tris kritinius Secure Connect Gateway 5.0 pažeidžiamumus, suteikiančius neteisėtą prieigą ir šakninio lygio kontrolę. Abu tiekėjai istoriškai yra dažnas taikinys po viešo atskleidimo, todėl langas iki eksploito paskelbimo paprastai matuojamas dienomis. Šaltiniai: SecurityWeek , Cyber Security News , Cyber Security News Pramoninių valdymo sistemų pataisų antradienis apėmė Siemens, Schneider Electric, AVEVA ir Rockwell kritinius trūkumus. Schneider Electric ir Siemens ištaisė kritinius pažeidžiamumus savo pramoninės automatikos produktuose, pataisas taip pat išleido AVEVA ir Rockwell Automation. Energetikos, vandentiekio, transporto ir gamybos operatoriams, patenkantiems į NIS2 ir Kibernetinio saugumo įstatymo taikymo sritį, tai reiškia planinio prastovos lango poreikį — operacinių technologijų aplinkose pataisymas paprastai negali vykti automatiškai. Kol pataisos nediegtos, kompensacinė priemonė yra tinklo segmentavimas ir nuotolinės prieigos apribojimas. Šaltiniai: SecurityWeek Android, mikroschemų gamintojai ir Adobe uždarė šimtus papildomų pažeidžiamumų. Rugsėjo Android saugos biuletenis ištaisė 180 pažeidžiamumų, tarp jų kritinius nuotolinio kodo vykdymo trūkumus Framework, System ir branduolio komponentuose; pataisų lygiai — 2026-09-01 ir 2026-09-05. Nvidia, AMD ir Arm paskelbė savo saugos patarimus, o Adobe be Magento nulinės dienos ištaisė daugiau nei 170 kitų trūkumų. Mobiliųjų įrenginių valdymo politikoje verta patikrinti, kiek įrenginių realiai gavo naujausią pataisų lygį — gamintojų vėlavimas Android ekosistemoje išlieka pagrindinė rizika. Šaltiniai: SecurityWeek , SecurityWeek , Cyber Security News Dirbtinis intelektas suteikia menkai išteklių turintiems užpuolikams valstybinio lygio pajėgumą. Google Threat Intelligence Group ataskaita fiksuoja, kad nusikalstamos ir valstybės remiamos grupuotės vis plačiau automatizuoja ir masto atakas dirbtiniu intelektu; viena finansiškai motyvuota grupuotė autonominiu daugiaagenčiu karkasu surinko tūkstančius kredencialų per mažiau nei šešias valandas. Dark Reading fiksuoja atvejį, kai dviejų savaičių trukmės ataka suspausta iki dešimties valandų. OpenAI patvirtino, kad GPT-6 Astra yra pirmas plačiai įdiegtas modelis, pasiekęs kritinį kibernetinių pajėgumų lygį ir gebantis rasti nulinės dienos trūkumus. Praktinė išvada gynėjams: aptikimo ir reagavimo laikas turi būti matuojamas valandomis, ne dienomis. Šaltiniai: SecurityWeek , The Hacker News , BleepingComputer , Dark Reading Dirbtinio intelekto platformos pačios tampa duomenų nutekėjimo kanalu. Check Point parodė, kad viena į pokalbį įterpta instrukcija gali priversti ChatGPT tyliai nuskaityti prijungtos Gmail paskyros duomenis ir per paslėptą kanalą perduoti juos į kitą paskyrą, o naudotojas mato įprastą atsakymą. DeepSeek Harness trūkumas leido agentui viena komanda išjungti savo paties smėlio dėžę. Atskirai nustatyta, kad informacijos vagių žurnaluose kaupiami pakartotinai naudojami dirbtinio intelekto paslaugų žetonai, apeinantys daugiaveiksnį autentifikavimą. Organizacijoms, diegiančioms agentinius įrankius, tai reiškia poreikį traktuoti modelio prieigą prie pašto ir failų kaip privilegijuotą prieigą su atskira kontrole. Šaltiniai: The Hacker News , The Hacker News , The Hacker News , SecurityWeek Sveikatos sektoriaus duomenų nutekėjimai apėmė milijonus pacientų ir ypatingų kategorijų duomenis. AdaptHealth patvirtino, kad liepos kibernetinės atakos, priskiriamos ShinyHunters, metu atskleisti 4,1 mln. žmonių duomenys. Veradigm pranešė Vertybinių popierių komisijai apie trečiosios šalies tiekėjo incidentą, atskleidusį pacientų asmens duomenis, įskaitant socialinio draudimo numerius, o atsakomybę prisiėmė išpirkos reikalaujanti grupuotė. Forumuose parduodami 29 600 psichikos sveikatos pacientų įrašai iš Blossom Health ir 3,7 GB Prancūzijos onkologinės pagalbos platformos Jinko duomenų su diagnozėmis bei privačiais pranešimais. Visi šie atvejai patenka į BDAR 9 straipsnio ypatingų kategorijų duomenų režimą, kur pranešimo ir žalos vertinimo reikalavimai griežčiausi. Šaltiniai: BleepingComputer , BleepingComputer , Dark Web Informer , Dark Web Informer Švietimo, kelionių ir logistikos platformose atskleisti šimtai milijonų asmens duomenų įrašų. Neapsaugotoje su Vietnamu siejamoje Advance Passenger Information System duomenų bazėje rasta 220 mln. keleivių ir įgulos įrašų su vardais, pasų numeriais, gimimo datomis, pilietybėmis ir skrydžių duomenimis nuo 2017 iki 2026 m.; tyrėjai pasiekė sistemą per debesijos kelią su numatytaisiais kredencialais. Mathspace atskleidė daugiau nei 1 mln. moksleivių, tėvų ir mokyklų darbuotojų duomenų nutekėjimą po įsilaužimo į savarankiškai talpinamą Metabase sistemą. Kanados MSM Unify šantažuojama dėl 1,45 TB studentų pasų ir vizų failų, o Trezor pranešė, kad logistikos partnerio ShipMonk incidentas palietė 81 000 klientų. Bendras vardiklis — trečiųjų šalių ir vidinių analitikos įrankių prieigos kontrolė. Šaltiniai: BleepingComputer , SecurityWeek , Dark Web Informer , BleepingComputer Nuotolinės prieigos įrankiai ir naršyklės virsta nuolatinio buvimo kanalais. ConnectWise perspėjo apie naują ScreenConnect failų perdavimo trūkumą, veikiantį tiek debesijos, tiek vietinius diegimus, ir kol kas pateikė tik laikinas priemones. Huntress aprašė kirmino pobūdžio veiklą, kai piktavališki ScreenConnect klientai automatiškai platina keturių pakopų VBScript grandinę į naujai prijungtus kompiuterius. Atskirai atskleistas Chromium įrankių rinkinys PEEP, kuris apsimeta žymių plėtiniu, įsiterpia tiesiai į Chrome ir Edge profilius ir suklastoja Chromium Secure Preferences parašus, apeidamas parduotuvės patikras. Valdomų paslaugų tiekėjų grandinė lieka viena efektyviausių įsilaužimo krypčių. Šaltiniai: Cyber Security News , The Hacker News , The Hacker News Serverių ir tapatybės infrastruktūroje atskleista trūkumų, leidžiančių pasiekti šakninį ar administratoriaus lygį. cPanel užtaisė trūkumą, kai vienas prieglobos paskyros turėtojas su pašto teisėmis gali per EmailTrack sukurti failus ir vykdyti kodą kaip šakninis naudotojas — paveiktos visos palaikomos cPanel ir WHM versijos. Red Hat aprašė FreeIPA trūkumų grandinę, leidžiančią niekada neprisijungusiam klientui susikurti Kerberos tapatybę ir patekti į administratorių grupę. Kritinės ArangoDB klaidos leidžia apeiti autentifikaciją ir vykdyti kodą šakniniu lygiu, MapLibre GL JS XSS trūkumas paveikia apie 2,7 mln. naudotojų nulinio paspaudimo atakoms, o daugiau nei 36 000 internete pasiekiamų Plex serverių lieka neužtaisyti. Šaltiniai: The Hacker News , The Hacker News , Cyber Security News , BleepingComputer Naujos kenkėjų šeimos ir sukčiavimo tinklai veikia nuo Linux serverių iki paieškos rezultatų. Naujas Linux botas Tengu apsimeta branduolio darbiniu procesu, išlieka keliose Linux platformose ir vykdo paskirstytas paslaugos trikdymo atakas prieš pasirinktus taikinius, keldamas riziką serveriams ir įterptinėms sistemoms. Sukčiavimo tinklas DoppelCart valdo daugiau nei 119 000 domenų su netikromis elektroninėmis parduotuvėmis mokėjimo kortelių duomenims rinkti. BengalSEO kampanija nuo 2015 m. nuodija Bing paieškos rezultatus ir platina MayaBot bei techninės pagalbos sukčiavimą. CrowdStrike aprašė naują Brazilijos finansų sektoriui taikomą grupuotę Slim Spider, vagiančią kriptovaliutų saugojimo paslaptis. Šaltiniai: Cyber Security News , BleepingComputer , The Hacker News , The Hacker News

Žalia – reguliavimo, politikos ir standartų pokyčiai

Be tiesioginės atakos rizikos, bet su pasekmėmis atitikčiai ir planavimui.

Rugsėjo 11 d. įsigalioja ES Kibernetinio atsparumo akto pranešimo apie pažeidžiamumus prievolės. Nuo rugsėjo 11 d. skaitmeninių produktų gamintojams pradedami taikyti Kibernetinio atsparumo akto reikalavimai pranešti apie aktyviai išnaudojamus pažeidžiamumus — trumpiausias terminas siekia 24 valandas nuo sužinojimo. Praktinis iššūkis nėra pats pranešimas, o gebėjimas tiksliai atsakyti, kas buvo išleista ir kada apie trūkumą sužinota, todėl programinės įrangos sudėties sąrašas ir žinojimo momento fiksavimas tampa privaloma infrastruktūra. Lietuvos programinės įrangos ir įrenginių kūrėjams tai svarbiausia šios savaitės reguliacinė data, o kartu su NIS2 bei Kibernetinio saugumo įstatymo incidentų pranešimo terminais susidaro trijų lygių atskaitomybės režimas. Šaltiniai: BleepingComputer CISA, NSA ir FTB paskelbė bendrą patarimą dėl Kinijos bendrovių vykdomos dirbtinio intelekto modelių distiliacijos. Jungtinių Valstijų agentūros apkaltino šešias Kinijos dirbtinio intelekto bendroves nuo 2024 m. pabaigos pramoniniu mastu vykdžius pažangiausių modelių distiliacijos atakas — kaupiant milijardus žetonų iš OpenAI, Anthropic, Google Gemini ir Grok modelių, kad būtų sumažintos savų modelių kūrimo sąnaudos. Patarimas distiliaciją apibrėžia kaip ataką prieš modelį, kurios tikslas — perimti išvestis ir samprotavimo procesus. Organizacijoms, kuriančioms nuosavus modelius, tai signalas įtraukti modelio išvesčių apsaugą ir naudojimo limitus į intelektinės nuosavybės apsaugos programą. Šaltiniai: CISA , BleepingComputer , SecurityWeek CISA išleido atnaujintą vidinių grėsmių mažinimo vadovą. Atnaujintame Insider Threat Mitigation Guide pateikiama išplėsta metodika, apimanti tiek fizines, tiek kibernetines vidines grėsmes, jų ankstyvo atpažinimo požymius ir programos kūrimo etapus. Dokumentas naudingas kaip atskaitos taškas NIS2 ir Kibernetinio saugumo įstatymo reikalaujamoms personalo saugumo bei prieigos valdymo priemonėms pagrįsti. Atskirai pažymėtina Dark Reading fiksuojama tendencija, kad sustiprėjus techninei gynybai išpirkos reikalaujančios grupuotės vis dažniau verbuoja darbuotojus iš organizacijos vidaus. Šaltiniai: CISA , Dark Reading Grindr sutiko sumokėti 26 mln. svarų už ŽIV statuso duomenų perdavimą tretiesiems asmenims. Jungtinėje Karalystėje pasiektas 26 mln. svarų susitarimas byloje, kurioje programėlė kaltinta perdavusi naudotojų asmens duomenis, įskaitant ŽIV statusą, tretiesiems asmenims reklamos tikslais. Tai vienas didžiausių ypatingų kategorijų sveikatos duomenų netinkamo naudojimo atvejų ir aiškus precedentas, kaip vertinama reklamos technologijų grandinė duomenų apsaugos požiūriu. Organizacijoms, integruojančioms trečiųjų šalių analitikos ir reklamos komponentus, tai priminimas, kad BDAR 9 straipsnio duomenys negali patekti į rinkodaros srautus be atskiro teisinio pagrindo. Šaltiniai: The Hacker News Šveicarija pradeda atvirojo kodo darbo aplinkos programą, mažindama priklausomybę nuo Microsoft 365. Rugsėjo 2 d. Šveicarijos federalinė taryba susipažino su galimybių studijos rezultatais, o Federalinė kanceliarija pradeda tolesnę programą suverenios atvirojo kodo skaitmeninės darbo aplinkos kūrimui jautrioms valstybės operacijoms. Tai dar vienas Europos duomenų suverenumo judėjimo signalas šalia analogiškų sprendimų Vokietijos ir Danijos administracijose. Lietuvos viešojo sektoriaus įstaigoms, vertinančioms debesijos priklausomybės riziką ir duomenų buvimo vietos reikalavimus, ši programa suteikia praktinį lyginamąjį atvejį. Šaltiniai: Cyber Security News Teisėsauga sutrikdė Xinbi Guarantee sukčiavimo turgų ir įšaldė 52,8 mln. dolerių kriptovaliutos. Jungtinių Valstijų Teisingumo departamentas paskelbė apie koordinuotus veiksmus prieš neteisėtą internetinį turgų Xinbi Guarantee: konfiskuoti Telegram kanalai ir dvi kriptovaliutų piniginės, o Scam Center Strike Force pajėgos dislokuotos Madagaskare siekiant sutrikdyti 13 sukčiavimo centrų, valdomų Kinijos organizuoto nusikalstamumo. Atskirose bylose sulaikyti 240 mln. dolerių bitkoinų vagystės lėšas švaistę sukčiai, o Ohajo gyventojui skirti 15 metų kalėjimo už dirbtiniu intelektu sukurtos pornografijos naudojimą šantažuojant moteris. Šie sprendimai formuoja praktiką, kaip vertinama dirbtiniu intelektu sukurta medžiaga baudžiamosiose bylose. Šaltiniai: The Hacker News , SecurityWeek , BleepingComputer Nauji kvantinio atakos resursų skaičiavimai patikslina pokvantinės kriptografijos migracijos terminus. IonQ paskelbė detalų viso ECDLP-256 atakos prieš secp256k1 kreivę kompiliavimą į gaudytų jonų architektūrą: 19 397 jonai ir 26 dienos vienam bandymui, įskaitant kiekvieną Clifford operaciją, matavimą ir jonų transportavimą. Mašina, kuriai skaičiuota, dar neegzistuoja, o klaidų dažniai ir ciklo trukmė yra prielaidos, tačiau tai išsamiausias iki šiol viešas resursų įvertinimas. Organizacijoms, planuojančioms pokvantinę migraciją pagal NIS2 ir ENISA rekomendacijas, tokie skaičiavimai leidžia pagrįsti kriptografinės inventorizacijos ir hibridinių sprendimų diegimo prioritetus, o ne remtis abstrakčia grėsme. Šaltiniai: PostQuantum

Reporting describes ShieldCrash as a bypass of the ShieldBreak fix for CVE-2026-69414, itself a bypass of CVE-2026-50656. The researcher says it enables file reads, not arbitrary writes or a full SYSTEM shell. https://t.co/so9JDKE6Md

Proofpoint has documented a new browser exploit kit called BlueMoon that appears to have moved between espionage-linked threat actors unusually quickly.

The chain consists of three vulnerabilities: CVE-2026-85046, a Chromium V8 type-confusion flaw; a companion V8 sandbox escape; and CVE-2026-85880, a Windows kernel local privilege-escalation zero-day affecting older Windows builds.

The two V8 issues are described as patch-gap vulnerabilities. In other words, the underlying fixes were already visible upstream before those changes reached public stable releases.

That matters for Chromium and other open-source projects because attackers can potentially inspect upstream changes, determine what security issue was fixed, and attempt to develop an exploit before downstream users receive the patch.

TA412, also known as JungleBamboo, Violet Typhoon and APT31, was the first group Proofpoint saw deploying BlueMoon. Beginning August 28, it targeted U.S. nonprofits, mining companies, and physical commodity trading firms.

Its campaign ultimately delivered a malicious browser extension called GemStone, which impersonates Google Gemini while harvesting credentials.

Within days, Proofpoint observed three additional clusters using BlueMoon. One targeted U.S. aerospace organizations to deploy ShadowPad, another targeted a Vietnamese manufacturer, and a third went after government, consulting, and financial-sector organizations in Indonesia and Singapore.

There is another interesting aspect to the research. After exploitation, BlueMoon defaults to using curl to download and execute a payload. Proofpoint describes that as comparatively noisy and believes the overall deployment shows signs of having been rushed.

The researchers also raise the possibility that AI agents are reducing the cost and difficulty of exploit development. That's worth separating from what they actually demonstrated, though: it is an explanation Proofpoint suggests for the broader trend, not proof that AI was used to develop BlueMoon.

Proofpoint mapped each BlueMoon user, target set, and stage of the Chrome-to-Windows exploit chain here:

The immediate story is already significant without that speculation: a multi-stage browser-to-kernel exploit chain was operationalized and apparently shared or resold across several espionage operations within days.

Raudona – aktyviai vykstančios atakos

Eksploatacija patvirtinta „in the wild“, reikalingi skubūs veiksmai per 24–72 val.

Rekordinis Microsoft pataisų antradienis uždarė 974 pažeidžiamumus, tarp jų du aktyviai išnaudojamus Windows nulinės dienos trūkumus. Rugsėjo 8 d. Microsoft išleido didžiausią savo istorijoje pataisų paketą: 974 CVE, iš jų 723 Windows komponentuose, per 110 kritinių, 20 potencialiai kirmininių ir du jau naudojami atakose privilegijų eskalavimo nulinės dienos trūkumai. Bendrovė pripažįsta, kad tokį kiekį lėmė dirbtiniu intelektu paremtas agentinis kodo skenavimas, o ekspertai perspėja, kad organizacijos nespėja testuoti ir diegti tokios apimties atnaujinimų. Lietuvos ir ES organizacijoms tai reiškia, kad pataisų prioritetizavimas nebegali remtis vien CVSS balu — reikia remtis KEV sąrašu ir eksploatavimo tikimybe. Windows 10 naudotojams kartu išleistas išplėstinės saugos atnaujinimas KB5122878. Šaltiniai: BleepingComputer , Krebs on Security , SecurityWeek , Zero Day Initiative Chrome V8 nulinės dienos trūkumas išnaudojamas atakose ir jau įtrauktas į CISA KEV sąrašą. Google išleido Chrome 153 su 230 saugos pataisų, tarp jų CVE-2026-87491 — už ribų rašymo klaida V8 variklyje, jau naudojama realiose atakose. Tai septintasis šiemet aktyviai išnaudojamas Chrome nulinės dienos trūkumas. CISA atskirai į KEV sąrašą įtraukė Chromium V8 tipų painiavos trūkumą CVE-2026-85046. Kadangi tas pats variklis naudojamas Edge, Brave, Opera ir Electron programose, atnaujinti reikia ne tik naršykles, bet ir Chromium pagrindu veikiančias darbastalio programas. Šaltiniai: The Hacker News , SecurityWeek , Cyber Security News Keturios šnipinėjimo grupės per savaitę pradėjo naudoti tą patį BlueMoon eksploitų rinkinį prieš Chrome ir Windows. Proofpoint aptiko anksčiau nedokumentuotą eksploitų rinkinį BlueMoon, kuris sugretina Chrome ir Windows pažeidžiamumus ir įdiegia užpakalines duris bei stebėjimo įrankius. Pirmasis panaudojimas priskiriamas su Kinija siejamai APT31, tačiau per savaitę tą patį rinkinį pradėjo naudoti bent keturios atskiros grupuotės, taikydamosi į vyriausybines, gynybos ir komercines organizacijas. Toks greitas dalijimasis eksploitais reiškia, kad naršyklės pažeidžiamumo langas nuo atskleidimo iki masinio panaudojimo trumpėja iki dienų. Valstybės institucijoms ir gynybos sektoriaus tiekėjams Lietuvoje tai tiesioginis rizikos signalas. Šaltiniai: The Hacker News , Cyber Security News Aktyviai išnaudojami maksimalaus pavojingumo autentifikacijos apėjimai Cisco Secure FMC ir N-able N-central valdymo platformose. Cisco patvirtino, kad CVE-2026-20079 — maksimalaus pavojingumo autentifikacijos apėjimas Secure Firewall Management Center programinėje įrangoje — yra naudojamas atakose. Tuo pačiu metu CISA į KEV sąrašą įtraukė N-able N-central trūkumą CVE-2026-86218 (CVSS 10.0), leidžiantį nuotolinį kodo vykdymą be autentifikacijos, ir nustatė federalinėms institucijoms pataisymo terminą rugsėjo 11 d. Abi platformos yra centrinės valdymo sistemos, todėl jų kompromitavimas suteikia užpuolikui prieigą prie viso valdomo turto. Administratoriams patariama patikrinti, ar sistemose neatsirado neatpažįstamų naujų naudotojų paskyrų. Šaltiniai: BleepingComputer , The Hacker News , SecurityWeek Magento ir Adobe Commerce nulinės dienos trūkumas StyleSmuggler naudojamas parduotuvėms užkrėsti užpakalinėmis durimis. Adobe skubiai išleido pataisą CVE-2026-75650 (CVSS 10.0) — Sansec pavadintas StyleSmuggler trūkumas leidžia neautentifikuotam užpuolikui vykdyti kodą ir buvo išnaudojamas nuo rugsėjo 4 d., diegiant Rust kalba parašytas užpakalines duris ir PHP žiniatinklio apvalkalus Linux serveriuose. Pažeidžiamos visos Magento Open Source ir Adobe Commerce versijos. Elektroninės prekybos operatoriams tai reiškia ne tik pataisymo, bet ir kompromitacijos požymių paieškos būtinybę — pataisa neišvalo jau įdiegtų užpakalinių durų. Kortelių duomenų nutekėjimo atveju taikomi GDPR pranešimo terminai. Šaltiniai: BleepingComputer , The Hacker News , SecurityWeek FortiGate ugniasienės aktyviai atakuojamos, o Fortinet tuo pačiu metu taiso kritinius trūkumus keliuose produktuose. SOCRadar tyrėjai su dideliu pasitikėjimu nustatė vykstančią kampaniją, kurios metu užpuolikai išnaudoja kritinį FortiGate pažeidžiamumą ir įdiegia specialiai sukurtą Node.js nuotolinės prieigos trojos arklį, paversdami perimetro įrenginius ilgalaikiais šnipinėjimo atramos taškais. Tą pačią savaitę Fortinet paskelbė kritines pataisas FortiMonitorOnSight ir Chrome plėtiniui, FortiSandbox informacijos nutekėjimo trūkumą CVE-2026-26084 ir FortiOS bei FortiProxy ZTNA sertifikatų tikrinimo klaidą CVE-2026-84393, leidžiančią vykdyti tarpininko ataką. NIS2 ir KSĮ reguliuojamoms organizacijoms perimetro įranga yra prioritetinis pataisymo objektas. Šaltiniai: Cyber Security News , SecurityWeek , Cyber Security News F5 BIG-IP APM įrenginiuose aptiktas Linux šakninis rinkinys, įterpiantis žiniatinklio apvalkalą tiesiai į atmintį. Sophos aprašė kenkėjinę programą, kuri perima PHP failų įkėlimą F5 BIG-IP Access Policy Manager įrenginiuose ir įterpia žiniatinklio apvalkalą į atmintyje laikomą trijų pačių įrenginio scenarijų kopiją. Diske esantys failai lieka švarūs, todėl įprastas failų skenavimas ir vientisumo tikrinimas kompromitacijos neaptinka. Aptikimui reikia atminties analizės arba tinklo srauto stebėjimo. Tai antras šios savaitės pavyzdys, kai perimetro prieigos įrenginys tampa nuolatiniu užpuoliko atramos tašku. Šaltiniai: BleepingComputer , The Hacker News , Cyber Security News Šimtai autonominių dirbtinio intelekto agentų kompromitavo 440 PaperCut serverių 48 šalyse. GreyNoise per savo Global Observation Grid tinklą aptiko rusakalbio veikėjo kampaniją, kurioje šimtai autonominių dirbtinio intelekto agentų išnaudojo kritinius PaperCut NG ir MF spausdinimo valdymo programinės įrangos pažeidžiamumus ir kompromitavo mažiausiai 440 serverių 395 organizacijose 48 šalyse. Tai pirmas plačiai dokumentuotas atvejis, kai agentų parkas naudojamas masiniam pažeidžiamumų išnaudojimui pramoniniu mastu. PaperCut plačiai naudojamas švietimo įstaigose ir viešajame sektoriuje, taip pat Lietuvoje, todėl serverių inventorizacija ir pataisų būklės patikra yra skubi. Šaltiniai: Cyber Security News Daugiaveiksnio autentifikavimo apėjimas vyksta pramoniniu mastu prieš Microsoft 365 aplinkas. Sukčiavimo kaip paslaugos karkasas BigBear 2.0 apėjo daugiaveiksnį autentifikavimą 258 organizacijose ir pavogė daugiau nei 5 000 Microsoft 365 kredencialų. Lygiagrečiai fiksuojama kampanija, kurioje užpuolikai skambina vadovams apsimesdami vidaus IT tarnyba, pavagia seansų žetonus per tarpininko ataką ir prisijungia per gyventojų tarpinius serverius. ANY.RUN aprašė naują sukčiavimo rinkinį N0va, taikomą Šiaurės Amerikos ir ES vyriausybinėms, technologijų, konsultacijų ir sveikatos organizacijoms. Atskirai perspėjama, kad paskyros atkūrimo procedūros pagalbos tarnyboje tapo silpniausia MFA grandimi — sustiprinti reikia būtent tapatybės patikrą prieš slaptažodžio atstatymą. Šaltiniai: BleepingComputer , The Hacker News , Cyber Security News , BleepingComputer ClickFix ir ClearFake kampanijos slepiasi už patikimų paslaugų ir išjungia galinių taškų apsaugą. ClearFake išplėtė netikro CAPTCHA scenarijų iki grandinės, kuri per pažeidžiamą tvarkyklę nužudo galinių taškų apsaugos įrankius ir vagia kriptovaliutą bei kredencialus; instrukcijos laikomos blokų grandinėje, o pradinis įsilaužimas vyksta per kompromituotas svetaines. Atskirose kampanijose užpuolikai naudoja kelių persiuntimų grandines per Google paslaugas ir Microsoft blob adresus, kad sukurtų sukčiavimo puslapius tiesiai aukos naršyklėje — statinės svetainės, kurią būtų galima blokuoti, tiesiog nelieka. Apsaugai reikia ne domenų juodųjų sąrašų, o naudotojo elgsenos kontrolės ir pažeidžiamų tvarkyklių blokavimo sąrašų. Šaltiniai: Cyber Security News , Dark Reading , Dark Reading , SecurityWeek Iškart po pataisų antradienio paskelbtas naujas Microsoft Defender nulinės dienos trūkumas ShieldCrash. Tyrėjas, žinomas kaip Chaotic Eclipse, paskelbė veikiantį koncepcijos įrodymą trūkumui ShieldCrash, kuris suteikia SYSTEM lygio prieigą. Tai praėjusį mėnesį pateikto ShieldBreak (CVE-2026-69414) pataisos apėjimas — tyrėjas teigia, kad Microsoft trūkumo tinkamai neužtaisė. Kadangi eksploitas viešas, o pataisos nėra, organizacijoms verta sustiprinti Defender proceso vientisumo stebėjimą ir privilegijų eskalavimo aptikimo taisykles. Šaltiniai: The Hacker News , BleepingComputer MikroTik maršrutizatoriuose užtaisyta MikroTrick trūkumų grandinė, leidusi visiškai perimti įrenginį. MikroTik išleido pataisas kritiniams trūkumams, pavadintiems MikroTrick, kuriuos sujungus galima apeiti autentifikaciją, perrašyti konfigūracijos failus ir perimti maršrutizatorių. Ši įranga itin plačiai naudojama Lietuvos ir Baltijos šalių interneto tiekėjų, smulkaus verslo ir namų tinkluose, todėl praktinis poveikis regione didesnis nei vidutinis. Rekomenduojama nedelsiant atnaujinti RouterOS, patikrinti, ar valdymo sąsaja nepasiekiama iš interneto, ir peržiūrėti konfigūracijos pakeitimų žurnalus. Šaltiniai: SecurityWeek

Geltona – įvyko ar paskelbta šią savaitę

Patvirtintos spragos, nutekinimai ir PoC be plataus masinio išnaudojimo. Planuoti pataisymus artimiausiame lange.

SAP užtaisė maksimalaus pavojingumo branduolio trūkumą OVERPASS su CVSS 10.0 įvertinimu. Rugsėjo atnaujinimuose SAP ištaisė 20 pažeidžiamumų, tarp jų CVE-2026-44756 — atminties pažeidimo klaidą SAP Extended Passport apdorojime, leidžiančią neautentifikuotam nuotoliniam užpuolikui vykdyti komandas, atkurti paslaptis ir keisti duomenis. Aktyvaus išnaudojimo požymių kol kas nėra, tačiau SAP sistemos yra kritinės daugumos didelių ES organizacijų verslo procesams. Pataisymą verta planuoti kaip skubų pakeitimą, o ne kaip eilinį mėnesio langą. Šaltiniai: BleepingComputer , The Hacker News , SecurityWeek Ivanti ir Dell paskelbė kritines pataisas įmonių valdymo ir prieigos produktams. Ivanti vienu metu paskelbė patarimus dėl dešimties CVE trijuose produktuose — Endpoint Manager Mobile, Neurons for ITSM ir Sentry — nuo privilegijų eskalavimo iki nuotolinio kodo vykdymo; šeši kritiniai Neurons for ITSM trūkumai leidžia vykdyti kodą nuotoliniu būdu. Dell atskleidė tris kritinius Secure Connect Gateway 5.0 pažeidžiamumus, suteikiančius neteisėtą prieigą ir šakninio lygio kontrolę. Abu tiekėjai istoriškai yra dažnas taikinys po viešo atskleidimo, todėl langas iki eksploito paskelbimo paprastai matuojamas dienomis. Šaltiniai: SecurityWeek , Cyber Security News , Cyber Security News Pramoninių valdymo sistemų pataisų antradienis apėmė Siemens, Schneider Electric, AVEVA ir Rockwell kritinius trūkumus. Schneider Electric ir Siemens ištaisė kritinius pažeidžiamumus savo pramoninės automatikos produktuose, pataisas taip pat išleido AVEVA ir Rockwell Automation. Energetikos, vandentiekio, transporto ir gamybos operatoriams, patenkantiems į NIS2 ir Kibernetinio saugumo įstatymo taikymo sritį, tai reiškia planinio prastovos lango poreikį — operacinių technologijų aplinkose pataisymas paprastai negali vykti automatiškai. Kol pataisos nediegtos, kompensacinė priemonė yra tinklo segmentavimas ir nuotolinės prieigos apribojimas. Šaltiniai: SecurityWeek Android, mikroschemų gamintojai ir Adobe uždarė šimtus papildomų pažeidžiamumų. Rugsėjo Android saugos biuletenis ištaisė 180 pažeidžiamumų, tarp jų kritinius nuotolinio kodo vykdymo trūkumus Framework, System ir branduolio komponentuose; pataisų lygiai — 2026-09-01 ir 2026-09-05. Nvidia, AMD ir Arm paskelbė savo saugos patarimus, o Adobe be Magento nulinės dienos ištaisė daugiau nei 170 kitų trūkumų. Mobiliųjų įrenginių valdymo politikoje verta patikrinti, kiek įrenginių realiai gavo naujausią pataisų lygį — gamintojų vėlavimas Android ekosistemoje išlieka pagrindinė rizika. Šaltiniai: SecurityWeek , SecurityWeek , Cyber Security News Dirbtinis intelektas suteikia menkai išteklių turintiems užpuolikams valstybinio lygio pajėgumą. Google Threat Intelligence Group ataskaita fiksuoja, kad nusikalstamos ir valstybės remiamos grupuotės vis plačiau automatizuoja ir masto atakas dirbtiniu intelektu; viena finansiškai motyvuota grupuotė autonominiu daugiaagenčiu karkasu surinko tūkstančius kredencialų per mažiau nei šešias valandas. Dark Reading fiksuoja atvejį, kai dviejų savaičių trukmės ataka suspausta iki dešimties valandų. OpenAI patvirtino, kad GPT-6 Astra yra pirmas plačiai įdiegtas modelis, pasiekęs kritinį kibernetinių pajėgumų lygį ir gebantis rasti nulinės dienos trūkumus. Praktinė išvada gynėjams: aptikimo ir reagavimo laikas turi būti matuojamas valandomis, ne dienomis. Šaltiniai: SecurityWeek , The Hacker News , BleepingComputer , Dark Reading Dirbtinio intelekto platformos pačios tampa duomenų nutekėjimo kanalu. Check Point parodė, kad viena į pokalbį įterpta instrukcija gali priversti ChatGPT tyliai nuskaityti prijungtos Gmail paskyros duomenis ir per paslėptą kanalą perduoti juos į kitą paskyrą, o naudotojas mato įprastą atsakymą. DeepSeek Harness trūkumas leido agentui viena komanda išjungti savo paties smėlio dėžę. Atskirai nustatyta, kad informacijos vagių žurnaluose kaupiami pakartotinai naudojami dirbtinio intelekto paslaugų žetonai, apeinantys daugiaveiksnį autentifikavimą. Organizacijoms, diegiančioms agentinius įrankius, tai reiškia poreikį traktuoti modelio prieigą prie pašto ir failų kaip privilegijuotą prieigą su atskira kontrole. Šaltiniai: The Hacker News , The Hacker News , The Hacker News , SecurityWeek Sveikatos sektoriaus duomenų nutekėjimai apėmė milijonus pacientų ir ypatingų kategorijų duomenis. AdaptHealth patvirtino, kad liepos kibernetinės atakos, priskiriamos ShinyHunters, metu atskleisti 4,1 mln. žmonių duomenys. Veradigm pranešė Vertybinių popierių komisijai apie trečiosios šalies tiekėjo incidentą, atskleidusį pacientų asmens duomenis, įskaitant socialinio draudimo numerius, o atsakomybę prisiėmė išpirkos reikalaujanti grupuotė. Forumuose parduodami 29 600 psichikos sveikatos pacientų įrašai iš Blossom Health ir 3,7 GB Prancūzijos onkologinės pagalbos platformos Jinko duomenų su diagnozėmis bei privačiais pranešimais. Visi šie atvejai patenka į BDAR 9 straipsnio ypatingų kategorijų duomenų režimą, kur pranešimo ir žalos vertinimo reikalavimai griežčiausi. Šaltiniai: BleepingComputer , BleepingComputer , Dark Web Informer , Dark Web Informer Švietimo, kelionių ir logistikos platformose atskleisti šimtai milijonų asmens duomenų įrašų. Neapsaugotoje su Vietnamu siejamoje Advance Passenger Information System duomenų bazėje rasta 220 mln. keleivių ir įgulos įrašų su vardais, pasų numeriais, gimimo datomis, pilietybėmis ir skrydžių duomenimis nuo 2017 iki 2026 m.; tyrėjai pasiekė sistemą per debesijos kelią su numatytaisiais kredencialais. Mathspace atskleidė daugiau nei 1 mln. moksleivių, tėvų ir mokyklų darbuotojų duomenų nutekėjimą po įsilaužimo į savarankiškai talpinamą Metabase sistemą. Kanados MSM Unify šantažuojama dėl 1,45 TB studentų pasų ir vizų failų, o Trezor pranešė, kad logistikos partnerio ShipMonk incidentas palietė 81 000 klientų. Bendras vardiklis — trečiųjų šalių ir vidinių analitikos įrankių prieigos kontrolė. Šaltiniai: BleepingComputer , SecurityWeek , Dark Web Informer , BleepingComputer Nuotolinės prieigos įrankiai ir naršyklės virsta nuolatinio buvimo kanalais. ConnectWise perspėjo apie naują ScreenConnect failų perdavimo trūkumą, veikiantį tiek debesijos, tiek vietinius diegimus, ir kol kas pateikė tik laikinas priemones. Huntress aprašė kirmino pobūdžio veiklą, kai piktavališki ScreenConnect klientai automatiškai platina keturių pakopų VBScript grandinę į naujai prijungtus kompiuterius. Atskirai atskleistas Chromium įrankių rinkinys PEEP, kuris apsimeta žymių plėtiniu, įsiterpia tiesiai į Chrome ir Edge profilius ir suklastoja Chromium Secure Preferences parašus, apeidamas parduotuvės patikras. Valdomų paslaugų tiekėjų grandinė lieka viena efektyviausių įsilaužimo krypčių. Šaltiniai: Cyber Security News , The Hacker News , The Hacker News Serverių ir tapatybės infrastruktūroje atskleista trūkumų, leidžiančių pasiekti šakninį ar administratoriaus lygį. cPanel užtaisė trūkumą, kai vienas prieglobos paskyros turėtojas su pašto teisėmis gali per EmailTrack sukurti failus ir vykdyti kodą kaip šakninis naudotojas — paveiktos visos palaikomos cPanel ir WHM versijos. Red Hat aprašė FreeIPA trūkumų grandinę, leidžiančią niekada neprisijungusiam klientui susikurti Kerberos tapatybę ir patekti į administratorių grupę. Kritinės ArangoDB klaidos leidžia apeiti autentifikaciją ir vykdyti kodą šakniniu lygiu, MapLibre GL JS XSS trūkumas paveikia apie 2,7 mln. naudotojų nulinio paspaudimo atakoms, o daugiau nei 36 000 internete pasiekiamų Plex serverių lieka neužtaisyti. Šaltiniai: The Hacker News , The Hacker News , Cyber Security News , BleepingComputer Naujos kenkėjų šeimos ir sukčiavimo tinklai veikia nuo Linux serverių iki paieškos rezultatų. Naujas Linux botas Tengu apsimeta branduolio darbiniu procesu, išlieka keliose Linux platformose ir vykdo paskirstytas paslaugos trikdymo atakas prieš pasirinktus taikinius, keldamas riziką serveriams ir įterptinėms sistemoms. Sukčiavimo tinklas DoppelCart valdo daugiau nei 119 000 domenų su netikromis elektroninėmis parduotuvėmis mokėjimo kortelių duomenims rinkti. BengalSEO kampanija nuo 2015 m. nuodija Bing paieškos rezultatus ir platina MayaBot bei techninės pagalbos sukčiavimą. CrowdStrike aprašė naują Brazilijos finansų sektoriui taikomą grupuotę Slim Spider, vagiančią kriptovaliutų saugojimo paslaptis. Šaltiniai: Cyber Security News , BleepingComputer , The Hacker News , The Hacker News

Žalia – reguliavimo, politikos ir standartų pokyčiai

Be tiesioginės atakos rizikos, bet su pasekmėmis atitikčiai ir planavimui.

Rugsėjo 11 d. įsigalioja ES Kibernetinio atsparumo akto pranešimo apie pažeidžiamumus prievolės. Nuo rugsėjo 11 d. skaitmeninių produktų gamintojams pradedami taikyti Kibernetinio atsparumo akto reikalavimai pranešti apie aktyviai išnaudojamus pažeidžiamumus — trumpiausias terminas siekia 24 valandas nuo sužinojimo. Praktinis iššūkis nėra pats pranešimas, o gebėjimas tiksliai atsakyti, kas buvo išleista ir kada apie trūkumą sužinota, todėl programinės įrangos sudėties sąrašas ir žinojimo momento fiksavimas tampa privaloma infrastruktūra. Lietuvos programinės įrangos ir įrenginių kūrėjams tai svarbiausia šios savaitės reguliacinė data, o kartu su NIS2 bei Kibernetinio saugumo įstatymo incidentų pranešimo terminais susidaro trijų lygių atskaitomybės režimas. Šaltiniai: BleepingComputer CISA, NSA ir FTB paskelbė bendrą patarimą dėl Kinijos bendrovių vykdomos dirbtinio intelekto modelių distiliacijos. Jungtinių Valstijų agentūros apkaltino šešias Kinijos dirbtinio intelekto bendroves nuo 2024 m. pabaigos pramoniniu mastu vykdžius pažangiausių modelių distiliacijos atakas — kaupiant milijardus žetonų iš OpenAI, Anthropic, Google Gemini ir Grok modelių, kad būtų sumažintos savų modelių kūrimo sąnaudos. Patarimas distiliaciją apibrėžia kaip ataką prieš modelį, kurios tikslas — perimti išvestis ir samprotavimo procesus. Organizacijoms, kuriančioms nuosavus modelius, tai signalas įtraukti modelio išvesčių apsaugą ir naudojimo limitus į intelektinės nuosavybės apsaugos programą. Šaltiniai: CISA , BleepingComputer , SecurityWeek CISA išleido atnaujintą vidinių grėsmių mažinimo vadovą. Atnaujintame Insider Threat Mitigation Guide pateikiama išplėsta metodika, apimanti tiek fizines, tiek kibernetines vidines grėsmes, jų ankstyvo atpažinimo požymius ir programos kūrimo etapus. Dokumentas naudingas kaip atskaitos taškas NIS2 ir Kibernetinio saugumo įstatymo reikalaujamoms personalo saugumo bei prieigos valdymo priemonėms pagrįsti. Atskirai pažymėtina Dark Reading fiksuojama tendencija, kad sustiprėjus techninei gynybai išpirkos reikalaujančios grupuotės vis dažniau verbuoja darbuotojus iš organizacijos vidaus. Šaltiniai: CISA , Dark Reading Grindr sutiko sumokėti 26 mln. svarų už ŽIV statuso duomenų perdavimą tretiesiems asmenims. Jungtinėje Karalystėje pasiektas 26 mln. svarų susitarimas byloje, kurioje programėlė kaltinta perdavusi naudotojų asmens duomenis, įskaitant ŽIV statusą, tretiesiems asmenims reklamos tikslais. Tai vienas didžiausių ypatingų kategorijų sveikatos duomenų netinkamo naudojimo atvejų ir aiškus precedentas, kaip vertinama reklamos technologijų grandinė duomenų apsaugos požiūriu. Organizacijoms, integruojančioms trečiųjų šalių analitikos ir reklamos komponentus, tai priminimas, kad BDAR 9 straipsnio duomenys negali patekti į rinkodaros srautus be atskiro teisinio pagrindo. Šaltiniai: The Hacker News Šveicarija pradeda atvirojo kodo darbo aplinkos programą, mažindama priklausomybę nuo Microsoft 365. Rugsėjo 2 d. Šveicarijos federalinė taryba susipažino su galimybių studijos rezultatais, o Federalinė kanceliarija pradeda tolesnę programą suverenios atvirojo kodo skaitmeninės darbo aplinkos kūrimui jautrioms valstybės operacijoms. Tai dar vienas Europos duomenų suverenumo judėjimo signalas šalia analogiškų sprendimų Vokietijos ir Danijos administracijose. Lietuvos viešojo sektoriaus įstaigoms, vertinančioms debesijos priklausomybės riziką ir duomenų buvimo vietos reikalavimus, ši programa suteikia praktinį lyginamąjį atvejį. Šaltiniai: Cyber Security News Teisėsauga sutrikdė Xinbi Guarantee sukčiavimo turgų ir įšaldė 52,8 mln. dolerių kriptovaliutos. Jungtinių Valstijų Teisingumo departamentas paskelbė apie koordinuotus veiksmus prieš neteisėtą internetinį turgų Xinbi Guarantee: konfiskuoti Telegram kanalai ir dvi kriptovaliutų piniginės, o Scam Center Strike Force pajėgos dislokuotos Madagaskare siekiant sutrikdyti 13 sukčiavimo centrų, valdomų Kinijos organizuoto nusikalstamumo. Atskirose bylose sulaikyti 240 mln. dolerių bitkoinų vagystės lėšas švaistę sukčiai, o Ohajo gyventojui skirti 15 metų kalėjimo už dirbtiniu intelektu sukurtos pornografijos naudojimą šantažuojant moteris. Šie sprendimai formuoja praktiką, kaip vertinama dirbtiniu intelektu sukurta medžiaga baudžiamosiose bylose. Šaltiniai: The Hacker News , SecurityWeek , BleepingComputer Nauji kvantinio atakos resursų skaičiavimai patikslina pokvantinės kriptografijos migracijos terminus. IonQ paskelbė detalų viso ECDLP-256 atakos prieš secp256k1 kreivę kompiliavimą į gaudytų jonų architektūrą: 19 397 jonai ir 26 dienos vienam bandymui, įskaitant kiekvieną Clifford operaciją, matavimą ir jonų transportavimą. Mašina, kuriai skaičiuota, dar neegzistuoja, o klaidų dažniai ir ciklo trukmė yra prielaidos, tačiau tai išsamiausias iki šiol viešas resursų įvertinimas. Organizacijoms, planuojančioms pokvantinę migraciją pagal NIS2 ir ENISA rekomendacijas, tokie skaičiavimai leidžia pagrįsti kriptografinės inventorizacijos ir hibridinių sprendimų diegimo prioritetus, o ne remtis abstrakčia grėsme. Šaltiniai: PostQuantum

Chrome's V8 Engine Had an Actively Exploited Zero-Day. Here's What Actually Happened — and What Didn't.

Tracked as CVE-2026-85046 and rated 8.8 on the CVSS scale, the flaw allows a remote attacker to run arbitrary code inside Chrome's sandbox simply by getting a victim to load a malicious webpage — no clicks, no downloads, no further interaction required.

This article examines why Copy Fail (CVE-2026-31431) breaks container assumptions and provides a small, safe Python check to determine whether your nodes can reach the vulnerable kernel path

➜ https://t.co/kkHUzi6oyz

Schneider Electric, Siemens, and Aveva issued September Patch Tuesday advisories for ICS products, fixing critical flaws including CVE-2026-3869 in Modicon M580 and CVE-2026-31431 in the Linux kernel. #SchneiderElectric #Siemens #ICS https://t.co/kUy6qOr8OD

#ParsedReport #ChatGPT #Translated Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

С мая по август 2026 года хакерская группировка Feral Wolf компрометировала российские организации через Confluence, системы подрядчиков и небезопасные развертывания 1C:Enterprise. Злоумышленники вышли за пределы контейнеров Docker, перемещались внутри компании через PostgreSQL, использовали анализ памяти и масштабное удаление следов, а также развернули скрытые бэкдоры MQTT/Matrix и туннелирование RDP. В конечном итоге в рамках кампании использовался GenieLocker для шифрования данных атакуемых организаций.-----

С мая по август 2026 года хакерская группировка Feral Wolf атаковала российские организации в сферах розничной торговли, строительства, производства и ИТ. Группировка получила первоначальный доступ, эксплуатируя CVE-2023-22515 в доступном из внешней сети экземпляре Atlassian Confluence, скомпрометировав инфраструктуру подрядчиков и злоупотребив небезопасно настроенным диспетчером кластера 1C:Enterprise. В случаях с 1C злоумышленники подключались к службам управления кластером через TCP-порт 1541 и к рабочим процессам через порты 1570–1571, создавали информационную базу или получали к ней доступ, а затем загружали подготовленный экспорт 1C-Shell.dt. Это обеспечивало выполнение команд операционной системы от имени учетной записи, под которой работал рабочий процесс 1C. Попытка повышения привилегий с помощью PrintSpoofer завершилась неудачей, поскольку у этой учетной записи отсутствовало право SeImpersonatePrivilege.

В ходе одного из вторжений скомпрометированный сервер Confluence работал внутри контейнера Docker. Feral Wolf установила GSocket для постоянного удаленного доступа и использовала exec -a, чтобы замаскировать процессы под потоки ядра. Кроме того, группировка развернула fscan, revsocks и локальный эксплойт для повышения привилегий, связанный с CVE-2026-31431. Сканирование сети выявило находившуюся за пределами контейнера службу PostgreSQL со слабым паролем postgres. Злоумышленники использовали выполнение команд PostgreSQL, чтобы установить GSocket на узле Docker и настроить закрепление через файлы запуска командной оболочки и cron, продемонстрировав выход за пределы контейнера и перемещение внутри компании на узел.

Для получения учетных данных злоумышленники использовали легитимные инструменты, а не заметное ВПО для получения дампа учетных данных. Magnet DumpIt создал образ физической памяти, а MemProcFS и Dokan подключили и проанализировали его, что позволило исследовать память lsass.exe. Кроме того, они использовали Nyx для удаления криминалистических артефактов, включая журналы событий, истории команд, Prefetch, артефакты реестра, данные USN Journal, теневые копии и журналы средств защиты.

Feral Wolf представила несколько специализированных инструментов. MQTTDoor, замаскированный под cplsupport.exe, использовал MQTT через общедоступный брокер HiveMQ, шифрование ChaCha20 и ключи, полученные с помощью ECDH, для получения команд PowerShell и сбора информации о системе. MatrixDoor, распространявшийся под именем wtas.exe, использовал протокол Matrix и выполнял команды через CMD. Оба инструмента могли устанавливать себя в качестве служб Windows и получали ключи расшифровки конфигурации на основе системного MachineGuid. RDPSocksProxy туннелировал трафик SOCKS4/5 через динамический виртуальный канал RDP. В конечном итоге в рамках кампании было развернуто GenieLocker для шифрования данных.