نقص حافظه در Brotli؛ اجرای کد از راه دور در هر چیزی که داده‌ی فشرده را باز می‌کند
در حالی که توجه همه به دو آسیب‌پذیری PHP2Shell بود، یک نقص خرابی حافظه در قالب فشرده‌سازی Brotli گوگل با شناسه‌ی CVE-2026-111497 افشا شد که به مهاجم احراز هویت‌نشده اجازه می‌دهد با ارسال داده‌ی دست‌کاری‌شده‌ی کدگذاری‌شده با Brotli، کد مخرب را بیرون از محدوده‌ی حافظه‌ی مجاز بنویسد و در عمل کد دلخواه اجرا کند. چون این نقص در خودِ کد Brotli است، هر کتابخانه‌ی پیاده‌سازی‌کننده و هر برنامه، سرور یا ابزار مدیریت ترافیکی که داده‌ی Brotli را پردازش می‌کند، در زبان‌های برنامه‌نویسی گوناگون، آسیب‌پذیر است.
چرا همه‌ی پیاده‌سازی‌ها آسیب‌پذیرند؟
Node.js نخستین پروژه‌ای بود که وصله منتشر کرد و همین باعث شد نام اولیه‌ی «Node2Shell» — به تقلید از PHP2Shell — روی این نقص بماند؛ اما مشکل هرگز مختص Node.js نبود. از آن زمان وصله‌هایی برای چند یکپارچه‌سازی Brotli در Python، محیط اجرای جاوااسکریپت Bun، پروکسی Envoy و پلتفرم مدیریت ترافیک Istio منتشر شده و انتظار می‌رود اصلاحیه‌های بیشتری از سوی تأمین‌کنندگان در ماه‌های آینده برسد.
نام‌های پراکنده و توصیه به استفاده از شناسه‌ی CVE
این نقص با نام‌های HTTPS2Shell، Brocolli2Shell و Brotlipocalypse هم خوانده شده است. به دلیل همین پراکندگی، توصیه شده در ارجاع‌ها از شناسه‌ی CVE-2026-111497 استفاده شود تا سردرگمی میان گزارش‌ها و اعلان‌های تأمین‌کنندگان پیش نیاید.
ابزار بررسی و قواعد شناسایی
Trail of Bits ابزاری منتشر کرده که کد را برای یافتن موارد استفاده از Brotli بازرسی می‌کند، و مجموعه‌ای از قواعد شناسایی نیز در دسترس است. Node.js کشف این نقص را به Khai Tran و Sylvie Mayer از تیم امنیت OpenAI Codex نسبت داده و این آسیب‌پذیری نیز — مانند PHP2Shell — با کمک ابزارهای هوش مصنوعی پیدا شده است.
چرا این خبر مهم است؟
تفاوت این نقص با یک آسیب‌پذیری معمولی در دامنه‌ی فهرست دارایی‌هاست. Brotli یک وابستگی نامرئی است: تیم‌ها معمولاً «سرور PHP» یا «نسخه‌ی Node» را در فهرست دارایی دارند، اما نمی‌دانند کدام پروکسی، کدام سرویس جانبی و کدام کتابخانه‌ی زبان برنامه‌نویسی‌شان در مسیر پردازش HTTP از Brotli استفاده می‌کند. نتیجه این است که وصله‌کردن اینجا یک رویداد یک‌باره نیست، بلکه ماه‌ها طول می‌کشد و به‌تدریج با انتشار اصلاحیه‌ی هر تأمین‌کننده پیش می‌رود. دو نکته‌ی دیگر هم قابل توجه است: نخست اینکه دومین نقص بزرگ این ماه نیز با ابزارهای هوش مصنوعی کشف شده، و دوم اینکه کشف‌کنندگان از تیم امنیتی یک شرکت هوش مصنوعی بوده‌اند — نشانه‌ای از اینکه سرعت پیداشدن نقص‌های عمیق در زیرساخت‌های پایه‌ی اینترنت در حال افزایش است و زمان واکنش مدافعان کوتاه‌تر می‌شود.
نقض‌ها، هک‌ها و رخدادهای امنیتی
پاک‌سازی دستگاه‌های کارکنان ABC
شرکت پخش ABC استرالیا تعداد اندکی از دستگاه‌های کارکنانش را پس از آنکه تبلیغاتی از یک شرکت اسرائیلی بارگذاری کردند، به‌طور کامل پاک کرد؛ شرکتی که از آن برای توزیع جاسوس‌افزار بدون نیاز به کلیک استفاده شده بود. ABC اعلام کرد هیچ نشانه‌ای از آلودگی نیافته و این پاک‌سازی صرفاً اقدامی پیشگیرانه بوده است.
رخداد LiteLLM و نشت کلید اصلی
یک عامل تهدید با استفاده از کلید اصلی‌ای که در ماه مه نشت کرده بود، به نسخه‌ی منتشرشده‌ی هفته‌ی گذشته‌ی LiteLLM یک بدافزار سارق اطلاعات افزود. این کلید متعلق به یک پروژه‌ی آزمایشی به نام LiteLLM Agent Platform بود که میزبان عامل‌های ابری در تعامل با مخازن GitHub بود. LiteLLM و مایکروسافت هر دو تحلیل‌هایی از زنجیره‌ی این حمله منتشر کرده‌اند.
نفوذ به Genesys
هکرها از مسیر یک سامانه‌ی مدیریت یادگیری و یک پلتفرم CRM به سامانه‌های داخلی کسب‌وکار پلتفرم ابری هوش مصنوعی Genesys دسترسی یافتند. Genesys اعلام کرد شواهدی مبنی بر رسیدن مهاجمان به ابرهای عمومی مشتریانش نیافته است.
نفوذ به Andromeda
مهاجمان به حساب‌های مشتریان پلتفرم ابری هوش مصنوعی Andromeda دسترسی یافتند و اعتبارنامه‌ها را سرقت کردند. Andromeda این نفوذها را بخشی از کارزاری بزرگ‌تر و فراگیر در سطح صنعت علیه ارائه‌دهندگان زیرساخت هوش مصنوعی توصیف کرد؛ کارزاری که در آن کلیدهای API سرقت‌شده‌ی هوش مصنوعی در انجمن‌های زیرزمینی اجاره داده می‌شوند.
هک شرکت انرژی ENGIE
شرکت انرژی اروپایی ENGIE در حال اطلاع‌رسانی به مشتریان درباره‌ی نفوذ به یک پلتفرم داخلی است که مشتریان کسب‌وکار تأمین گاز این شرکت در فرانسه را تحت تأثیر قرار داده است. گفته می‌شود مهاجمان از مسیر یک پلتفرم CRM بی‌نام که شرکای تجاری برای فروش قراردادهای انرژی از آن استفاده می‌کنند وارد شده‌اند.
سرقت ۲٫۷ میلیون دلار از Initia
مهاجمان با سوءاستفاده از نقص ضرب نامحدود توکن، ۲٫۷ میلیون دلار توکن در پروژه‌ی رمزارزی Initia ساختند و سرقت کردند. Initia در واکنش، لایه‌ی اول و rollupهای خود را متوقف کرد.
فناوری، هوش مصنوعی و حریم خصوصی
دیواره‌ی آتش بسته‌های GitHub وارد پیش‌نمایش عمومی شد
دیواره‌ی آتش بسته‌های GitHub اکنون در مرحله‌ی پیش‌نمایش عمومی قرار گرفته است. هدف اصلی آن کمک به نگهدارندگان بسته‌ها برای مقابله با بدافزارهای زنجیره‌ی تأمین است.
دولت، سیاست و مقررات
تحریم دو شرکت کره‌ی شمالی از سوی استرالیا
استرالیا دو شرکت کره‌ی شمالی با نام‌های Korea Mangyongdae Computer Technology Company و Chinyong Information Technology Cooperation Company و همچنین دو فرد به نام‌های Sim Hyon Sop و Yu Py Ung را به دلیل طرح‌های کارگران فناوری اطلاعات از راه دور تحریم کرد. هر چهار مورد از سال ۲۰۲۳ پیش‌تر در فهرست تحریم‌های آمریکا قرار داشتند.
ممنوعیت ChatGPT و Claude برای کارکنان دولت سوئد
سوئد استفاده‌ی کارکنان دولتی از ChatGPT و Claude را ممنوع کرد و آن‌ها را ملزم به استفاده از ابزارهای تأییدشده مانند Microsoft Copilot کرد. این ممنوعیت از روز دوشنبه اجرایی شد.
ممنوعیت شبکه‌های اجتماعی برای زیر ۱۵ سال در یونان
پارلمان یونان قانونی را تصویب کرد که دسترسی کودکان زیر ۱۵ سال به شبکه‌های اجتماعی را ممنوع می‌کند و سال آینده اجرایی می‌شود. یونان نخستین کشور اتحادیه‌ی اروپا خواهد بود که چنین ممنوعیتی را اعمال می‌کند؛ پیش‌تر قانون مشابهی در فرانسه از سوی عالی‌ترین دادگاه این کشور رد شده بود.
گسترش اپلیکیشن ردیابی مهاجران در سراسر روسیه
روسیه طرح آزمایشی ردیابی اتباع خارجی را از مسکو به کل کشور گسترش داد. بر این اساس همه‌ی اتباع خارجی که وارد روسیه می‌شوند باید یک اپلیکیشن موبایل ردیابی موقعیت مکانی نصب کنند؛ اقدامی که پس از حمله‌ی سال ۲۰۲۴ به تالار کروکوس سیتی معرفی شد.
از دسترس خارج شدن وب‌سایت‌های دولت جبل‌الطارق
وب‌سایت‌های رسمی دولت جبل‌الطارق پس از آنکه GoDaddy به دلیل خطاهای فنی در سمت خود گواهی‌های TLS آن‌ها را باطل کرد، از دسترس خارج شدند.
ممنوعیت فروش دو دستگاه از سوی FCC
کمیسیون ارتباطات فدرال آمریکا فروش یک دوربین داشبورد خودرو و یک فرستنده‌ی تصویر بی‌سیم را در آمریکا به دلیل داشتن «تراشه‌های نظارتی خارجی» ممنوع کرد. هر دو دستگاه از تراشه‌های HiSilicon، زیرمجموعه‌ی هواوی، استفاده می‌کنند و FCC نام محصولات را اعلام نکرد.
خروج مقام دیگری از CISA
Lindsey Cerkovnik، رئیس بخش واکنش به آسیب‌پذیری‌های CISA، پس از نزدیک به شش سال این سازمان را ترک می‌کند. او بر راه‌اندازی برنامه‌ی KEV نظارت داشت و CISA هنوز جانشینی برای او معرفی نکرده است.
دستور پنتاگون به ۳۰ دانشگاه برای قطع همکاری با چین
پنتاگون به ۳۰ دانشگاه دولتی و خصوصی دستور داد همکاری‌های پژوهشی خود با نهادهای چینی را با استناد به خطر سرقت پژوهش پایان دهند. مؤسساتی که از این دستور پیروی نکنند با خطر از دست دادن بودجه‌ی پژوهشی فدرال روبه‌رو می‌شوند.
دستگیری‌ها، جرایم سایبری و اطلاعات تهدید
دستگیری مظنونان حملات رله‌ی NFC در هلند
پلیس هلند دو مظنون را در ارتباط با کارزاری از فیشینگ و رله‌ی NFC دستگیر کرد که در آن از پیام‌های صوتی تولیدشده با هوش مصنوعی در نقش بانک‌ها استفاده می‌شد. قربانیان فریب می‌خوردند تا کارت خود را اسکن کرده و رمز را وارد کنند و سپس مظنونان از خودپردازها پول برداشت می‌کردند.
هشدار سنگاپور درباره‌ی تبلیغات شبکه‌های اجتماعی
نیروی پلیس سنگاپور اعلام کرد هکرها بیش از ۱ میلیون دلار سنگاپور (حدود ۷۸۰ هزار دلار آمریکا) از شهروندانی سرقت کرده‌اند که از طریق تبلیغات مخرب شبکه‌های اجتماعی به بدافزار آلوده شده بودند.
بازگشت worm موسوم به Miasma
گونه‌ی تازه‌ای از worm موسوم به Miasma هفته‌ی گذشته در ۱۵ بسته‌ی npm ظاهر شد، هرچند تاکنون به شیوع گسترده‌ای منجر نشده است.
گستره‌ی سامانه‌های وصله‌نشده‌ی PHP2Shell
پویش‌های Qualys و Ox Security نشان داد بیش از ۹۹٪ سرورهای آسیب‌پذیر PHP هنوز وصله نشده‌اند. در مجموع ۷۳٪ دارایی‌های PHP موجود روی اینترنت آسیب‌پذیر هستند.
بهره‌برداری فعال از PHP2Shell
گزارش‌های مربوط به بهره‌برداری فعال از PHP2Shell فاقد جزئیات دقیق هستند، اما Arctic Wolf بخشی از این حملات را به بات‌نت Potassium نسبت داده است؛ خانواده‌ای برگرفته از Mirai که نخستین بار اوایل امسال شناسایی شد.
کارزار SleeperWidget
مایکروسافت دست‌کم ۲۵۰ افزونه‌ی مرورگر مخرب را در فروشگاه‌های Edge، Chrome و Firefox یافت. این افزونه‌ها زمانی فعال می‌شوند که کاربر یک تبلیغ مخرب را ببیند و سپس داده‌های مرور را جمع‌آوری می‌کنند، تبلیغ تزریق می‌کنند و پیوندهای خرید را تغییر می‌دهند.
گزارش‌های فنی بدافزار
Astro C2
ThreatMon چارچوب فرماندهی و کنترل Astro C2 را تحلیل کرد؛ نمونه‌ی دیگری از چارچوب‌های نوشته‌شده با Rust و مجهز به عامل هوش مصنوعی.
uCreator
Ovi Liber پلتفرم نظارتی تجاری اندرویدی uCreator را تشریح کرد که کیف‌پول‌های رمزارز و اپلیکیشن‌های پیام‌رسان پرکاربرد در چین مانند WeChat و تلگرام را هدف می‌گیرد.
بدافزار تازه‌ی Magento
Sansec خانواده‌ی بدافزاری تازه‌ای را روی نزدیک به ۱٬۰۰۰ فروشگاه اینترنتی شناسایی کرد.
Overlord RAT
WatchGuard کارزاری را توصیف کرد که Overlord RAT را توزیع می‌کند؛ یک تروجان دسترسی از راه دور تازه که هم ویندوز و هم مک‌اواس را هدف می‌گیرد و برای فرار از شناسایی از VBScript استفاده می‌کند.
Insomnia RAT
Stairwell تروجان Insomnia را تحلیل کرد؛ یک RAT دو‌بار‌گیری با نسخه‌های Node.js و Python که روی ویندوز و مک‌اواس اجرا می‌شود.
Aokigahara
Check Point سارق اطلاعات تازه‌ای به نام Aokigahara را شناسایی کرد که در بازارهای زیرزمینی فروخته می‌شود. این بدافزار بازطراحی Kamidere یا Stygian است و قابلیت سرقت از سرویس‌های مرتبط با هوش مصنوعی را به آن افزوده‌اند.
Eternidade Stealer
پژوهشگر 0x0d4y سارق اطلاعات Eternidade را بررسی کرد؛ بدافزاری محدود که بیشتر در فیشینگ واتساپی علیه اهداف برزیلی به کار می‌رود.
APT، جاسوسی سایبری و عملیات اطلاعاتی
UAC-0246
یک عامل تهدید مظنون به وابستگی روسی، کاربران یک ارائه‌دهنده‌ی ایمیل اوکراینی را با طعمه‌های مالیاتی هدف گرفته است.
Storm-0940
شرکت Expel گزارش داد این گروه وابسته به دولت چین از عامل‌های هوش مصنوعی Artex برای هک اهدافی در سراسر جهان، از جمله اپلیکیشن پشتیبان‌گیری ابری ConnectWise، استفاده کرده است. Expel همچنین مشاهده کرد که این گروه از ثبت‌نام خودکار در Okta برای ماندگاری در شبکه‌ها سوءاستفاده می‌کند.
سراغ‌گرفتن کره‌ی شمالی از PHP2Shell
CyFirma مشاهده کرد زیرساختی که معمولاً به عاملان کره‌ی شمالی نسبت داده می‌شود، در حال تلاش برای بهره‌برداری از PHP2Shell است.
آسیب‌پذیری‌ها، پژوهش امنیتی و باگ‌بانتی
به‌روزرسانی‌های امنیتی
اعلان‌ها و وصله‌های امنیتی این هفته از سوی ABB، AWS، Brotli، Git، HPE، Juniper، Kubernetes، Laravel، Microsoft Exchange (CVE-2026-96185)، Ruby، Supermicro، SUSE و Tails منتشر شده است. چند مورد از این‌ها به PHP2Shell یا Brotli مربوط می‌شوند.
آسیب‌پذیری‌ها در سامانه‌های داخلی OpenAI
METR و Redwood Research آسیب‌پذیری‌هایی در سامانه‌های داخلی OpenAI یافتند، از جمله نقصی که عامل‌ها می‌توانستند با آن از سامانه‌ی پایش عامل‌ها بگریزند. هر دو گروه آزمون‌ها را از داخل شبکه‌ی OpenAI و با تأیید این شرکت انجام دادند.
سومین نقص اجرای کد از راه دور PHP در راه است
تیم PHP در حال آماده‌سازی وصله برای سومین نقص اجرای کد از راه دور است که روز جمعه در یک اعلان امنیتی خبر آن را داد. اقدامات کاهشی مربوط به دو نقص وصله‌شده‌ی هفته‌ی گذشته برای این نقص تازه هم کاربرد دارد.
آسیب‌پذیری GhostShares
متا پس از گزارش‌هایی مبنی بر اینکه گفت‌وگوهای به‌اشتراک‌گذاشته‌شده نشانی‌های عمومی قابل یافتن و قابل استخراج می‌سازند، امکان اشتراک‌گذاری گفت‌وگوهای خصوصی Muse AI را غیرفعال کرد. ChatGPT و Grok سال گذشته با افشاهای مشابهی روبه‌رو شده بودند.
تکنیک Web Hole
شرکت Air Security نشان داد عامل‌های هوش مصنوعی که به نتایج برتر جست‌وجو تکیه می‌کنند، می‌توانند از طریق دامنه‌های منقضی‌شده‌ای که رتبه‌ی خوبی دارند و قابل خریداری هستند، با محتوای مخرب تغذیه شوند.
توضیح ChainGuard درباره‌ی ماجرای افشای زودهنگام
مدیرعامل ChainGuard، Dan Lorenc، در لینکدین توضیح داد چگونه شرکتش تحریم خبری (embargo) مربوط به PHP2Shell را شکست.
تولید کد ناامن‌تر توسط Qwen3 برای کاربران غربی
شرکت Hirundo دریافت که Qwen3-Coder وقتی در پرامپت گفته می‌شود کد برای یک کاربر غربی است، کد کم‌امن‌تری تولید می‌کند و برای مشتریان چینی کد امن‌تری می‌نویسد. گزارشی از CrowdStrike در سال ۲۰۲۵ به نتیجه‌ی مشابهی رسیده بود.
ممیزی امنیتی Tailscale
ممیزی انجام‌شده توسط Tailworm ۱۱ مشکل امنیتی در Tailscale یافت که بهره‌برداری از برخی از آن‌ها برای در اختیار گرفتن سرورهای ابری آسان است. هیچ‌یک از این موارد هنوز وصله نشده‌اند.
بردار حمله‌ی منع سرویس در QPACK پروتکل HTTP/3
شرکت FoxIO نشان داد هدرهای بدشکل QPACK می‌توانند صدها تا هزاران برابر در حافظه‌ی سرور بزرگ شوند و RAM را تمام کنند. چند سرور HTTP/3 تحت تأثیر این مشکل هستند و ضریب تقویت در پیاده‌سازی Bun به نزدیک ۴٬۰۰۰ می‌رسد.
صنعت امنیت اطلاعات
گزارش‌های تهدید و روند
- Barracuda — شکاف مهارتی امنیت سایبری در عصر هوش مصنوعی
- IANS — گزارش معیارسنجی طراحی سازمانی امنیت
- NAIC — وضعیت بازار بیمه‌ی سایبری
- NCC Group — مرور ماهانه‌ی تهدیدات سپتامبر
- ThreatMon — گزارش باج‌افزار سپتامبر
- Trend Micro — فصل بعدی باج‌افزار و تغییر اکوسیستم مجرمانه
- UltraViolet — مرور تهدیدات سه‌ماهه‌ی سوم ۲۰۲۶
پیشنهاد ۴ میلیارد دلاری DataDog برای Upwind
بر پایه‌ی گزارش‌ها، DataDog برای خرید استارتاپ اسرائیلی امنیت ابری Upwind پیشنهاد ۴ میلیارد دلاری داده است.
سه‌برابرشدن بازار بیمه‌ی سایبری
بر اساس گزارش NAIC، بازار بیمه‌ی سایبری آمریکا از ۲٫۷۵ میلیارد دلار در سال ۲۰۲۰ به ۷٫۴۶ میلیارد دلار رسیده است.
ابزارهای تازه: بررسی‌کننده‌های PHP2Shell
Corelight، OpenAI و Searchlight ابزارهایی برای پویش سامانه‌های PHP در برابر آسیب‌پذیری‌های PHP2Shell منتشر کردند.
ابزار تازه: Pathrunner
DataDog ابزار Pathrunner را منتشر کرد؛ چارچوبی برای بهره‌برداری از ارتقای سطح دسترسی در AWS.