اینتل پاداش نقدی باگ‌بانتی را حذف کرد

اینتل پاداش نقدی را از برنامه‌ی باگ‌بانتی خود حذف کرد

اینتل پاداش‌های مالی را از برنامه‌ی باگ‌بانتی خود حذف کرد و پرداخت‌هایی که تا سقف ۱۰۰ هزار دلار به‌ازای هر آسیب‌پذیری می‌رسید، دیگر وجود ندارد. این شرکت در سپتامبر صفحه‌ی برنامه‌ی خود را در پلتفرم Intigriti به‌روزرسانی کرد و هیچ توضیحی درباره‌ی دلیل این تغییر نداد. آنچه باقی مانده، صرفاً یک برنامه‌ی افشای آسیب‌پذیری بدون پاداش است.

چه چیزی تغییر کرد

این غول تراشه از سال ۲۰۱۷ و در پی افشای آسیب‌پذیری‌های اسپکتر و ملت‌داون، پاداش‌های قابل‌توجهی برای گزارش باگ‌های سخت‌افزاری و نرم‌افزاری می‌پرداخت. مقایسه‌ی نسخه‌ی فعلی صفحه‌ی برنامه با آخرین نسخه‌ی آرشیوشده نشان می‌دهد بخش پاداش‌ها به‌طور کامل حذف شده است.

چرا این خبر مهم است؟

نویسنده‌ی خبرنامه معتقد است سیل باگ‌هایی که با کمک هوش مصنوعی کشف و گزارش می‌شوند، می‌تواند شرکت‌های فناوری دیگر را هم به حذف برنامه‌های پاداش نقدی سوق دهد. بسیاری از این شرکت‌ها سال‌هاست دنبال بهانه‌ای برای کنار گذاشتن این برنامه‌ها بوده‌اند و حجم گزارش‌های تولیدشده با AI دقیقاً همان بهانه را در اختیارشان می‌گذارد.

نقض‌ها، هک‌ها و رخدادهای امنیتی

عامل‌های OpenAI ده‌ها سازمان را کاوش کردند

OpenAI به ده‌ها سازمان اطلاع داد که عامل‌های هوش مصنوعی این شرکت وب‌سایت‌های عمومی‌شان را کاوش کرده‌اند؛ از جمله نهادهای دولتی، دانشگاه‌ها و مؤسسات عمومی در آمریکا و سایر کشورها.

عامل OpenAI رابط برنامه‌نویسی سایت سازمان ملل را brute-force کرد

پژوهشی نشان می‌دهد یک عامل OpenAI رابط برنامه‌نویسی وب‌سایت کنفرانس تجارت و توسعه‌ی سازمان ملل (UNCTAD) را brute-force کرده و با دور زدن محدودیت‌ها به داده‌های مربوط به شاخص ظرفیت‌های تولیدی، صنایع قابل‌تجارت و تجارت مواد غذایی دست یافته است.

DIVD می‌گوید یک هوش مصنوعی آن را هک کرده است

یک عامل هوش مصنوعیِ مشکوک به سامانه‌های داخلی سازمان غیرانتفاعی امنیت سایبری هلندی DIVD نفوذ کرده است. این سازمان در حال بررسی ماجراست و قصد دارد جزئیات را منتشر کند.

نشت داده در مرکز داده‌های نیروی انسانی پنتاگون

پنتاگون به اعضای مرکز داده‌های نیروی انسانی دفاعی (DMDC) اطلاع داد که اطلاعات شخصی‌شان به‌مدت نُه ماه در معرض دید قرار داشته است؛ شامل نام، اطلاعات نظامی و شماره‌های تأمین اجتماعی که از طریق یک سامانه‌ی اشتراک فایلِ بدپیکربندی افشا شده بود. بازه‌ی افشا از اکتبر ۲۰۲۵ تا جولای ۲۰۲۶ بوده است.

هکرها به پلتفرم سلامت لهستانی Medyc نفوذ کردند

هکرها اطلاعات شخصی بیش از پنج میلیون بیمار را از پلتفرم سلامت لهستانی Medyc سرقت کردند. این دومین نشت بزرگ در حوزه‌ی سلامت لهستان طی یک ماه است؛ پیش‌تر در اوت ۲۰۲۶ اطلاعات ۱۹ میلیون پرونده‌ی پزشکی از پلتفرم MyDr نشت کرده بود.

کلاهبرداری ۹۵ میلیون یورویی از یک بانک ایتالیایی با صدای جعلی مدیرعامل

کلاهبرداران با استفاده از هوش مصنوعی خود را جای کارلو مسینا، مدیرعامل، جا زدند و با پیام‌ها و صدای جعلی، مدیران Fideuram را به تأیید تراکنش‌هایی به حساب‌هایی در چین و هنگ‌کنگ متقاعد کردند. از ۹۵ میلیون یورو (حدود ۱۰۸ میلیون دلار) منتقل‌شده، ۵۹ میلیون یورو بازگردانده شد و ۳۶ میلیون یورو همچنان بازنگشته است.

سرقت ۳۵۰ میلیون دلاری از صرافی Bitget

هکرها بیش از ۳۵۰ میلیون دلار رمزارز را از کیف‌پول‌های گرم صرافی Bitget مستقر در سنگاپور سرقت کردند؛ بزرگ‌ترین سرقت رمزارزی امسال.

نفوذ به فروشگاه آنلاین ایسوس

ایسوس به کاربرانی که از وب‌سایت این شرکت خرید کرده بودند اطلاع داد که اطلاعاتشان در یک رخنه‌ی امنیتی اخیر سرقت شده است.

حمله‌ی سایبری به پلیس ولز

پلیس Dyfed-Powys هدف یک حمله‌ی سایبری قرار گرفت که اطلاعات کارکنان را تحت تأثیر قرار داد و این نیرو را مجبور به خاموش‌کردن بخشی از سامانه‌هایش کرد.

حمله‌ی سایبری حقوق ۸۰۰ کارگر را به تأخیر انداخت

حمله‌ی سایبری به Batipro، تأمین‌کننده‌ی مصالح ساختمانی در لوکزامبورگ، پرداخت حقوق بیش از ۸۰۰ کارگر را به تعویق انداخت.

حمله‌ی باج‌افزاری به TapClicks

گروه باج‌افزاری با نام N0n ادعا می‌کند به TapClicks، یکی از پلتفرم‌های بزرگ تحلیل بازاریابی در آمریکا، نفوذ کرده است.

اخاذی از مشتریان Flink

گروه هکری LPG برای کاربران سرویس خرید آنلاین Flink ایمیل فرستاده و از هر نفر ۱۰ یورو باج خواسته است. این گروه مدعی است اطلاعات بیش از یک میلیون کاربر را در اختیار دارد و برای جلوگیری از فروش داده‌ها در دارک‌وب ۱۰۰ اتریوم (حدود ۲۷۰ هزار دلار) مطالبه کرده است.

نشت مرموز داده‌های سفر

یک پایگاه‌داده‌ی بدپیکربندی ۳ ترابایت داده شامل اطلاعات گذرنامه‌ی بیش از ۳۲ میلیون مسافر را افشا کرده است. این نشت را ThreatPrevent کشف کرده، اما هنوز مشخص نیست داده‌ها متعلق به کدام سازمان است.

نفوذ احتمالی به WebRezPro

پلتفرم رزرو هتل WebRezPro گزارش داد مهمانان پیام‌های ناخواسته‌ای در واتساپ درباره‌ی رزروهایشان دریافت کرده‌اند؛ نشانه‌ای از نفوذ احتمالی که هنوز تأیید نشده است.

فناوری عمومی، هوش مصنوعی و حریم خصوصی

انتشار F-Droid نسخه‌ی ۲٫۰

F-Droid نسخه‌ی ۲٫۰ فروشگاه اپلیکیشن آزاد اندروید خود را منتشر کرد؛ درست در زمانی که گوگل آماده‌ی محدودکردن نصب اپلیکیشن‌های خارج از Play Store می‌شود.

مایکروسافت WDS را منسوخ می‌کند

مایکروسافت اعلام کرد Windows Deployment Services — ابزاری برای نصب سیستم‌عامل از طریق شبکه — در نسخه‌ی بعدی ویندوز سرور منسوخ خواهد شد.

دولت، سیاست و مقررات

هلند سیستم‌عامل ملی خود را می‌سازد

دولت هلند سیستم‌عاملی به نام DAWO را بر پایه‌ی لینوکس NixOS ساخته است تا نرم‌افزارهای آمریکایی را در سراسر بدنه‌ی دولت با جایگزین‌های متن‌باز عوض کند. این سیستم‌عامل هم‌اکنون در هشت شهرداری در حال آزمایش است.

نیوزیلند: هوش مصنوعی چشم‌انداز سایبری را دگرگون می‌کند

آژانس امنیت سایبری نیوزیلند در گزارش تهدیدات خود اعلام کرد رشد سریع هوش مصنوعی در حال بازتعریف امنیت سایبری است و ریسک‌ها را در همه‌ی حوزه‌ها تشدید می‌کند.

دستگیری‌ها، جرایم سایبری و اطلاعات تهدید

هکر Snowflake به ۷۰ ماه زندان محکوم شد

یک قاضی آمریکایی کامرون جان واگنیوس، سرباز سابق ارتش آمریکا، را به ۷۰ ماه زندان محکوم کرد؛ به‌جرم هک مشتریان Snowflake و اخاذی از شرکت‌هایی از جمله AT&T و Verizon.

بازگشت تصادفی Mini Shai-Hulud

گیت‌هاب به‌طور تصادفی دو Action را که در ماه مه worm‌ای به نام Mini Shai-Hulud را در اکوسیستم npm پخش می‌کردند دوباره فعال کرد. این اشتباه موجی از آلودگی‌های جدید به راه انداخت تا اینکه شرکت دوباره آن‌ها را غیرفعال کرد.

گروه Storm-3168 (JADEPUFFER) داده‌های Azure را نابود می‌کند

یک گروه باج‌افزاری مجهز به هوش مصنوعی در حال نابودکردن محیط‌های Azure است. مایکروسافت گزارش داده این گروه اخیراً شروع به پاک‌کردن منابع کرده تا قربانیان را تحت فشار بگذارد.

ادامه‌ی حملات ShinyHunters به Oracle PeopleSoft

گروه ShinyHunters پس از یافتن راه‌هایی برای دور زدن قواعد فایروال، حملات خود به پلتفرم‌های ERP اوراکل PeopleSoft را از سر گرفته است؛ با وجود اینکه وصله‌ها در دسترس هستند.

پرونده‌ای درباره‌ی Dataflow Security

روزنامه‌نگاران ایتالیایی گزارشی درباره‌ی Dataflow Security منتشر کردند؛ یک فروشنده‌ی ابزارهای نظارتی ایتالیایی با پیوندهایی به سازمان‌های اطلاعاتی اسرائیل که طی سه سال ۶۳ میلیون یورو درآمد داشته است.

افزونه‌های مخرب کروم

پژوهشگران ۳۱ افزونه‌ی کروم را به زیرساخت پشتیبان سرویس VPN پولی Browsec مرتبط کردند؛ نشانه‌ای از اینکه ترافیک مرورگر کاربران از طریق این سرویس عبور داده می‌شود.

افشای گسترده‌ی پایگاه‌داده‌های Supabase

UpGuard بیش از ۱۶ هزار پایگاه‌داده‌ی Supabase را کشف کرد که به‌صورت عمومی در دسترس بودند. بیش از نیمی از آن‌ها حاوی اطلاعات شخصی و حدود ۸ درصدشان حاوی پین و رمز عبور بودند.

گزارش‌های فنی بدافزار

PureRAT و PureLogs

تیم امنیتی ITOCHU دو گونه‌ی بدافزاری PureRAT و PureLogs را تحلیل کرد؛ هر دو از یک خانواده و مرتبط با فعالیت‌های جرایم اقتصادی سایبری.

RemotePanel و BoundSiphon

Blackpoint بدافزار RemotePanel را کشف کرد؛ یک پلتفرم دسترسی از راه دورِ ماندگار، به‌همراه BoundSiphon که اطلاعات ورود و رمزارز را سرقت می‌کند. هر دو از طریق کمپین‌های ClickFix توزیع می‌شوند.

Kothamine Agent

پژوهشگران بدافزار Kothamine Agent را کشف کردند؛ یک تروجان دسترسی از راه دور ویندوزی که به بسته‌های مخرب npm مرتبط است و برای دریافت فرمان‌های رمزگذاری‌شده از ابزار tailcat متعلق به Tailscale استفاده می‌کند تا از شناسایی در شبکه بگریزد.

مهاجرت PamStealer به Swift

بدافزار سارق اطلاعات macOS با نام PamStealer کد خود را به زبان Swift منتقل کرده است.

سارق اطلاعات Lunex

پژوهشگران سارق اطلاعات تازه‌ای را شناسایی کردند که از طریق کمپین‌های ClickFix توزیع می‌شود، مرورگرهای مبتنی بر Chromium و کیف‌پول‌های رمزارزی را هدف می‌گیرد و می‌تواند درهای پشتی مبتنی بر PowerShell مستقر کند.

Mantax Otax

پژوهشگران امنیتی بدافزاری اندرویدی یافتند که می‌تواند کاربران را جاسوسی کند، داده‌ها را بدزدد و باج‌افزار مستقر کند.

AvisLoader

Varonis بدافزار بارگذار AvisLoader را کشف کرد که از شبکه‌ی همتا‌به‌همتای رمزگذاری‌شده‌ی Tox به‌عنوان کانال فرماندهی و کنترل استفاده می‌کند.

قفل‌کننده‌ی صفحه‌ی جدید در فضای واقعی

Netskope کمپین تبلیغات مخرب در Google Ads را شناسایی کرد که قفل‌کننده‌های صفحه‌ی مبتنی بر مرورگر را میان کاربران macOS و ویندوز پخش می‌کند. این کمپین با استفاده از مضامین امنیت سایبری، در دو هفته بیش از ۶۰۰ قربانی گرفته است.

APT، جاسوسی سایبری و عملیات اطلاعاتی

گروه PolinRider تست A/B اجرا می‌کند

هکرهای کره‌ی شمالی ماه‌ها تست A/B انجام داده‌اند تا مؤثرترین نسخه‌های بدافزار npm خود را پیدا کنند.

کره‌ی شمالی از عوامل زن استفاده می‌کند

یک گروه کره‌ی شمالی از کارکنان زن به‌عنوان چهره‌ی ظاهری در جلسات استفاده می‌کند، در حالی که توسعه‌دهندگان مرد خارج از قاب دوربین کار می‌کنند. دست‌کم سه زن بخشی از سلولی هستند که از طریق شرکت پوششی آمریکایی MageHire فعالیت می‌کند.

تکنیک تازه‌ی پنهان‌سازی گروه XCTDH در بلاک‌چین

گروه کره‌ی شمالی XCTDH تکنیک‌هایی توسعه داده که داده‌های فرماندهی و کنترل را با کدگذاری استگانوگرافیک در آدرس‌های مقصد تراکنش‌های اتریوم پنهان می‌کند.

گروه Konni اوکراین را هدف گرفته است

کره‌ی شمالی عملیات جاسوسی سایبری علیه اهداف اوکراینی به راه انداخته تا اطلاعاتی درباره‌ی جنگ روسیه به دست آورد. این عملیات به گروه Konni نسبت داده شده است.

Jewelbug

Broadcom در ماه اوت یافته‌هایی درباره‌ی یک APT چینی منتشر کرد که جاسوسی و کلاهبرداری رمزارزی را از یک پنل پشتیبان واحد اجرا می‌کند. تحلیل تکمیلی را Whois API منتشر کرده است.

زرادخانه‌ی اجاره‌ای MuddyWater

گروه MuddyWater ابزارهای خود را از TAG-150 اجاره کرده است؛ یک پلتفرم بدافزار‌به‌عنوان‌سرویس که مجرمان سایبری روس‌زبان آن را اداره می‌کنند.

کارکنان Rybar در آلمان زندگی می‌کنند

روزنامه‌نگاران رد دو نفر از کارکنان گروه انتشار اطلاعات نادرست کرملین به نام Rybar را تا ویلاهایی در نزدیکی برلین دنبال کردند؛ آن‌ها با آسودگی در همان اتحادیه‌ی اروپایی زندگی می‌کنند که هر روز آن را نکوهش می‌کنند.

یک APT نشت‌کننده‌ی دیگر

سرورهای بدپیکربندی، عملیات هکری یک APT علیه سامانه‌های دولتی روسیه، قرقیزستان و سوریه را افشا کردند. رشته‌های اوکراینی‌زبان در ابزارها دیده می‌شود، اما شواهد قطعی برای انتساب وجود ندارد.

آسیب‌پذیری‌ها، پژوهش امنیتی و باگ‌بانتی

به‌روزرسانی‌های امنیتی

این شرکت‌ها به‌روزرسانی امنیتی منتشر کردند: AMD، GitLab، MongoDB، Plesk، ServiceNow و Zimbra.

به‌روزرسانی فهرست KEV آژانس CISA

آژانس CISA پنج آسیب‌پذیری در حال بهره‌برداری را به فهرست KEV افزود؛ مربوط به WSO2، Adobe Commerce، وردپرس، Microsoft SharePoint و MikroTik RouterOS.

۱۹ آسیب‌پذیری در تجهیزات Pepperl+Fuchs

پژوهشگران Nozomi نوزده آسیب‌پذیری در IO-Link Master شرکت Pepperl+Fuchs کشف کردند؛ از دور زدن احراز هویت تا تزریق فرمان که امکان حمله از راه دور در شبکه را فراهم می‌کند.

دو zero-day در سیتریکس

سیتریکس وصله‌هایی برای دو zero-day با شناسه‌های CVE-2026-88771 و CVE-2026-88772 منتشر کرد که در فضای واقعی مورد بهره‌برداری قرار گرفته‌اند. شرکت‌ها و نهادهای دولتی برای پیشگیری، سامانه‌هایشان را از دسترس خارج کردند.

Kiteworks از مشتریان خواست سرورها را خاموش کنند

شرکت KiteWorks به مشتریان خود دستور داد سرورهای انتقال فایل را از دسترس خارج کنند؛ بر پایه‌ی «اطلاعات تهدید معتبر از سوی نهادهای اجرای قانون» درباره‌ی حملاتی قریب‌الوقوع.

باگ تازه در افزونه‌ی Elementor

یک باگ CSRF در افزونه‌ی Elementor به مهاجمان اجازه می‌دهد در سایت‌های وردپرسی حساب مدیر بسازند، به‌شرط آنکه مدیر سایت روی لینک مخرب کلیک کند. این افزونه روی حدود ۲ میلیون سایت نصب است.

تحلیل فنی آسیب‌پذیری SolarWinds

BishopFox تحلیل فنی و ابزارهای شناسایی برای CVE-2026-28326 منتشر کرد؛ یک اجرای کد از راه دورِ بدون احراز هویت در SolarWinds Access Rights Manager که ریشه‌ی آن کلیدهای ثابتِ hardcode‌شده است.

حمله‌ی SalesBleed

پژوهشگران Zenity دریافتند عامل‌های هوش مصنوعی Agentforce سیلزفورس می‌توانند پیام‌های فیشینگ را از طریق کانال‌های اسلک سازمانی ارسال کنند.

حمله از طریق رابط‌های اعلان تغییر فایل

پژوهشی دانشگاهی نشان می‌دهد رابط‌های برنامه‌نویسی اعلان تغییر فایل در سیستم‌عامل‌ها می‌توانند فعالیت کاربر را در لینوکس، اندروید، ویندوز و macOS بازسازی کنند و زمان‌بندی ضربه‌های کیبورد و رفتار مرور وب را استنتاج کنند.

حمله‌ی QR Jacking

آسیب‌پذیری‌هایی در ارائه‌دهندگان سرویس ابری کد QR به مهاجمان اجازه می‌دهد کدهای QR برنددار را ربوده و تصاحب کنند؛ ریشه‌ی مشکل، تأیید مالکیت صرفاً از راه رکورد CNAME در DNS است. این نقص چند پلتفرم را تحت تأثیر قرار می‌دهد.

صنعت امنیت اطلاعات

گزارش‌های تهدید و روند

• Biometric Update — بازار تشخیص کلاهبرداری دیپ‌فیک
• Gartner — حکمرانی یکسان بر عامل‌های هوش مصنوعی
• Intel471 — نظرسنجی شکار تهدید SANS ۲۰۲۶
• KPMG — گزارش AI Pulse
• LastPass — پذیرش AI سریع‌تر از حکمرانی آن پیش می‌رود
• NZ NCSC — گزارش تهدیدات سایبری ۲۰۲۶
• Push Security — وضعیت ClickFix بر پایه‌ی داده‌های شناسایی

یاندکس بخش امنیت سایبری راه می‌اندازد

غول فناوری روسی یاندکس حدود ۹۰ میلیون دلار برای تأسیس یک بخش امنیت سایبری سرمایه‌گذاری کرده است؛ با تمرکز بر حفاظت از زیرساخت ابری و ترکیبی در روسیه.

ابزارهای تازه

• tturl — ابزار خط فرمان HTTP/2 از TantoSec برای یافتن تفاوت‌های زمانی و بردن مسابقه‌های درخواست (race condition)
• BIMI Maker از Red Sift — ابزاری آنلاین برای ساخت لوگوی SVG سازگار با استاندارد BIMI جهت گواهی‌شدن ایمیل سازمانی (ابزار)

منبع

Risky Bulletin — Intel removes money rewards from bug bounty program