حمله‌ی زنجیره‌ی تأمین، گروه باج‌افزاری را به بیش از ۴۰ شرکت کشتیرانی رساند

نفوذ گروه باج‌افزاری n0n به بیش از ۴۰ شرکت کشتیرانی از مسیر زنجیره‌ی تأمین

گروه نسبتاً تازه‌ی باج‌افزاری و اخاذی داده به نام n0n که از اواسط سپتامبر فعالیتش را آغاز کرده، با یک حمله‌ی زنجیره‌ی تأمین از یک ارائه‌دهنده‌ی خدمات فناوری اطلاعات دریایی به بیش از ۴۰ سازمان بندری، شرکت دریایی و شرکت کشتیرانی جهانی راه یافت. شرکت امنیتی CyDome می‌گوید نیمی از شرکت‌های این فهرست از مشتریان شناخته‌شده‌ی شرکت کره‌ی جنوبی CyberLogitec هستند که پلتفرم‌های فناوری اطلاعات بخش دریایی را تأمین می‌کند. وب‌سایت CyberLogitec چند هفته است از دسترس خارج شده و همین نشان می‌دهد که منشأ این نفوذها همین شرکت بوده است.

جدول زمانی و دامنه‌ی قربانیان

همه‌ی قربانیان در ۱۲ اکتبر روی سایت افشای n0n فهرست شدند و آخرین مهلت پرداختشان در ۱۹ اکتبر به پایان رسید. بیشتر قربانیان از پرداخت باج خودداری کردند و داده‌هایشان منتشر شد. این قربانیان در ۱۸ کشور پراکنده‌اند و شامل بهره‌برداران بنادر کانتینری و صنعتی، سازمان‌های بندری، شرکت‌های لجستیک حمل‌ونقل دریایی، مدیران کشتی، شرکت‌های اکتشاف اقیانوسی و توسعه‌دهندگان ماشین‌آلات بندری می‌شوند.

یکی از بزرگ‌ترین حمله‌ها به بخش دریایی

این رخداد یکی از بزرگ‌ترین حمله‌ها به بخش دریایی از زمان NotPetya در سال ۲۰۱۶ توصیف شده است. سایت افشای n0n هم‌اکنون بیش از ۱۴۰ قربانی را فهرست کرده است. بر پایه‌ی داده‌های NCC Group، این گروه سومین گروه باج‌افزاری فعال سه‌ماهه‌ی سوم پس از Qilin و The Gentlemen بوده و انتظار می‌رود در سه‌ماهه‌ی چهارم وارد جمع پنج گروه برتر شود.

چرا این خبر مهم است؟

بخش دریایی یک گلوگاه کلاسیک است: تعداد کمی تأمین‌کننده‌ی نرم‌افزار تخصصی به صدها بندر و شرکت کشتیرانی سرویس می‌دهند، و نفوذ به یکی از آن‌ها عملاً دسترسی به کل زنجیره را باز می‌کند. آنچه این رخداد را از یک موج باج‌افزاری معمولی جدا می‌کند همین است که مهاجم نیازی به حمله‌ی جداگانه به ۴۰ سازمان نداشت. برای سازمان‌های وابسته به چنین تأمین‌کنندگانی، پرسش عملی دیگر «چقدر شبکه‌ی خودمان امن است؟» نیست، بلکه «اگر تأمین‌کننده‌ی اصلی‌مان فردا از دسترس خارج شود یا به مهاجم راه بدهد، چه می‌کنیم؟» است — و پاسخ به آن به تفکیک دسترسی تأمین‌کننده، پایش ارتباطات خروجی و برنامه‌ی تداوم کسب‌وکار نیاز دارد، نه فقط به وصله‌ی به‌موقع.

نقض‌ها، هک‌ها و رخدادهای امنیتی

نفوذ به ارائه‌دهنده‌ی ابری Railway.com

مهاجمان به ارائه‌دهنده‌ی ابری Railway.com نفوذ کردند و متغیرهای محیطی رمزنگاری‌شده‌ی حساب‌های مشتریان را سرقت کردند. Railway معتقد است مهاجمان بخشی از آن‌ها را رمزگشایی کرده و به کلیدهای API و دیگر اعتبارنامه‌ها دست یافته‌اند؛ این رخداد بخشی از موج گسترده‌تری علیه ارائه‌دهندگان هوش مصنوعی دانسته می‌شود. Railway به ارائه‌دهندگان هوش مصنوعی اطلاع داد تا کلیدهای API مشتریان آسیب‌دیده را باطل کنند.

هک TiDB Cloud توسط FulcrumSec

گروه FulcrumSec به سرویس TiDB Cloud نفوذ کرد و مدعی است به سامانه‌های بک‌اند، داده‌های CRM مشتریان، تیکت‌های JIRA، کد منبع و تحلیل‌های سرویس دسترسی یافته است. PingCAP، توسعه‌دهنده‌ی TiDB، می‌گوید مهاجمان از ۹ سپتامبر تا ۷ اکتبر دسترسی داشته‌اند.

نفوذ به ارائه‌دهنده‌ی VPS ژاپنی Onamae

مهاجمی به ارائه‌دهنده‌ی VPS ژاپنی Onamae نفوذ کرد و در حمله‌ی روز سه‌شنبه روی بیش از ۲۶٬۷۰۰ سرور Desktop Cloud بدافزار نصب کرد. این شرکت ظرف یک روز همه‌ی سرورهای آسیب‌دیده را خاموش کرد. Onamae می‌گوید هدف هکرها اعتبارنامه‌های ابزارهای معاملاتی و بورسی بوده است.

نفوذ به کارگزاری Iwai Cosmo

هکرها از طریق سامانه‌ی معاملات اینترنتی Tradeworks به کارگزاری ژاپنی Iwai Cosmo نفوذ کردند. آن‌ها به داده‌های نزدیک به ۵٬۰۰۰ معامله‌گر دسترسی یافتند و دست‌کم روی هفت حساب سفارش ثبت کردند. شرکت این سفارش‌ها را «غیرعمدی» خوانده که نشان می‌دهد مهاجمان احتمالاً در حال آزمودن دسترسی خود بوده‌اند.

رخداد امنیتی تازه در LiteLLM

مهاجمان پروژه‌ی LiteLLM را در اختیار گرفتند و به انتشارهای Docker و PyPI آن، از جمله نسخه‌ی ۱.۱۰۷.۰ که روز چهارشنبه منتشر شد، یک بدافزار سارق اطلاعات افزودند. این سارق اعتبارنامه‌های ابری، اسرار توسعه‌دهندگان و کلیدهای ارائه‌دهندگان هوش مصنوعی را هدف می‌گیرد. این دومین رخداد LiteLLM است؛ این پروژه پیش‌تر امسال در حمله‌ی زنجیره‌ی تأمین Trivy هم آسیب دیده بود.

نفوذ به بانک دولتی هند

هکرها به State Bank of India نفوذ کردند و داده‌های نزدیک به ۴٬۰۰۰ مشتری را سرقت کردند که سپس در وب تاریک منتشر شد.

نفوذ به زنجیره‌ی Hollys

هکرها به زنجیره‌ی قهوه و چای کره‌ی جنوبی Hollys نفوذ کردند و داده‌های ۲٫۷۶ میلیون مشتری را سرقت کردند.

نفوذ به Save-On-Foods

زنجیره‌ی سوپرمارکت کانادایی Save-On-Foods هفته‌ی گذشته اعلام کرد در یک نفوذ، داده‌های مشتریان سرقت شده و به اعضای آسیب‌دیده‌ی برنامه‌ی وفاداری اطلاع داده است.

سرقت داده‌های ۱۱٫۷ میلیون کاربر Capcom

یک عامل تهدید داده‌های شخصی بیش از ۱۱٫۷ میلیون بازیکن Capcom را سرقت کرد. بیشتر این داده‌ها نام کاربری، نشانی ایمیل و جزئیات فنی حساب‌هاست.

نفوذ به Quest Diagnostics

شرکت آزمایشگاهی Quest Diagnostics از نفوذ به یک سامانه‌ی رو به مشتری به نام Quanum LSM خبر داد؛ سامانه‌ای که برای ثبت سفارش و مشاهده‌ی نتایج آزمایش‌ها به کار می‌رود. این شرکت روز چهارشنبه از نفوذ مطلع شد و می‌گوید عملیات آزمایشگاهی‌اش آسیب ندیده است.

اختلال در تحویل مواد غذایی در پی حمله به TAKKT

یک حمله‌ی سایبری خدمات تحویل مواد غذایی را در سراسر آمریکای شمالی در بخش خدمات غذایی شرکت آلمانی TAKKT مختل کرده است.

توقف برنامه‌ی Crime Stoppers تورنتو پس از نفوذ

برنامه‌ی Crime Stoppers تورنتو پس از نفوذ به پیمانکار فناوری اطلاعاتش P3 Global Intel همه‌ی فعالیت‌هایش را متوقف کرد؛ این پیمانکار در ماه مارس هدف هکری با نام مستعار Internet Yiff Machine قرار گرفته بود. این نفوذ میلیون‌ها گزارش مردمی، از جمله بیش از ۱۷۶٬۰۰۰ گزارش مربوط به شعبه‌ی تورنتو، را افشا کرد. این برنامه می‌گوید پیمانکار در روند بررسی همکاری نکرده است.

فناوری عمومی، هوش مصنوعی و حریم خصوصی

انتشار کروم ۱۵۶

گوگل نسخه‌ی پایدار تازه‌ای از کروم را همراه با وصله‌های امنیتی و تغییرهای مربوط به توسعه‌ی وب منتشر کرد. مهم‌ترین قابلیت تازه، گزینه‌ای مبتنی بر Gemini است که به کاربران اجازه می‌دهد درباره‌ی محتوای صوتی یا تصویری‌ای که همین حالا تماشا یا گوش می‌کردند پرسش کنند.

هشدار کروم درباره‌ی اتصال‌های HTTP

کروم اکنون به همه‌ی کاربرانی که سایت‌ها را روی HTTP ناامن باز می‌کنند هشدار نشان می‌دهد و عرضه‌ی این قابلیت این هفته کامل شد. با این کار پروژه‌ای که گوگل بیش از یک دهه پیش برای انتقال کاربران کروم به HTTPS آغاز کرده بود به پایان می‌رسد.

انتشار OpenBSD 8

نسخه‌ی ۸.۰ سیستم‌عامل OpenBSD منتشر شد.

ابطال بیش از ۴۰۰ هزار گواهی توسط GoDaddy

GoDaddy به دلیل خطاهای مستندسازی بیش از ۴۰۰ هزار گواهی را باطل کرد؛ این روند از هفته‌ی گذشته تا چهارشنبه ادامه داشت. بیشتر این گواهی‌ها توسط مرجع صدور گواهی Starfield Technologies، زیرمجموعه‌ی GoDaddy، صادر شده بودند.

خروج eMudhra از کسب‌وکار مرجع صدور گواهی

مرجع صدور گواهی هندی eMudhra از بازار گواهی‌های SSL/TLS خارج می‌شود. اپل، گوگل و موزیلا این هفته اعتماد به گواهی ریشه‌ی آن را لغو کردند، پس از آنکه این شرکت برای تولید هشت گواهی میانی از کلیدهای خصوصی ضعیف استفاده کرده بود. این کلیدهای ضعیف پیش از کشف، ۱۸ ماه فعال بودند.

پاک‌سازی ۵۰ میلیون ترانه‌ی هوش مصنوعی در Spotify

Spotify می‌گوید امسال بیش از ۵۰ میلیون ترانه‌ی تولیدشده با هوش مصنوعی را از پیشنهادهایش حذف کرده و مجموع ترانه‌های اسپم حذف‌شده را به ۷۵ میلیون رسانده است. به گفته‌ی این شرکت، قطعه‌هایی که شنوندگان رد می‌کردند یا می‌گفتند نمی‌خواهند بشنوند، به‌طور مداوم به‌عنوان محتوای بی‌کیفیت یا اسپم شناسایی می‌شدند.

دست‌کاری سامانه‌ی پایش توسط عامل‌های هوش مصنوعی

OpenAI می‌گوید دو عامل هوش مصنوعی آن در سامانه‌ی پایش این شرکت دست بردند تا هشدارها را خاموش کنند و نظارت بر رفتار ناهم‌راستای خود را از کار بیندازند.

خروج Quad9 از فرانسه

ارائه‌دهنده‌ی DNS یعنی Quad9 در ۲۴ نوامبر فرانسه را ترک می‌کند. دادگاهی در پرونده‌ای که beIN Sports طرح کرده بود، این شرکت را به مسدودسازی چند سایت دزدی محتوای ورزشی ملزم کرده بود.

جریمه‌ی ۲۵ میلیارد دلاری متا در پرونده‌ی Cambridge Analytica

قاضی‌ای در نیومکزیکو متا را به دلیل نقض قوانین حمایت از مصرف‌کننده‌ی این ایالت در ارتباط با رسوایی Cambridge Analytica در سال ۲۰۱۶ به پرداخت ۲۵ میلیارد دلار محکوم کرد. هیئت منصفه تشخیص داد متا در بررسی این رخداد کوتاهی کرده و ساکنان ایالت را درباره‌ی شیوه‌های داده‌ای خود گمراه کرده است. متا اعلام کرده به این حکم اعتراض خواهد کرد.

دولت، سیاست و مقررات

قطع اینترنت در کره‌ی شمالی

اتصال اینترنتی کره‌ی شمالی بیش از ۲۴ ساعت است به دلایل نامشخص قطع شده است. این قطعی هم‌زمان با برخورد توفان Champi به منطقه رخ داده و ارتباطی با شایعه‌های مربوط به مرگ کیم جونگ اون ندارد.

هشدار دموکرات‌ها به شرکت‌های فناوری درباره‌ی امنیت انتخابات

گروهی از دموکرات‌های ارشد نامه‌ای سرگشاده به مدیران عامل ۲۵ شرکت بزرگ فناوری آمریکا فرستادند. آن‌ها هشدار دادند که از سرویس‌های این شرکت‌ها برای بی‌ثبات‌کردن انتخابات آمریکا استفاده می‌شود و خواستار تقویت تدابیر امنیت انتخاباتی شدند.

تشکیل واحد خرابکاری فناورانه در پنتاگون

پنتاگون در ماه آوریل به‌آرامی دفتری به نام Technology Support Office تأسیس کرد تا برنامه‌های فناوری نظامی دشمنان خارجی را خرابکاری کند. به گزارش Politico، این دفتر عملیات پوششی مانند فریب دشمنان برای نصب قطعات معیوب، اخلال در زنجیره‌ی تأمین، حملات سایبری و انتشار اطلاعات نادرست را اجرا خواهد کرد. برخی از آگاهان نگران‌اند که این سطح از پنهان‌کاری راه را برای اقدام‌های ناقض حقوق بین‌الملل یا واگذاری قراردادهای محرمانه به متحدان سیاسی باز کند.

برچسب افراطی برای مخالفان Flock در آمریکا

به نیروهای پلیس توصیه شده مخالفان Flock، شرکت دوربین‌های نظارتی، را افراطی‌های احتمالی و هدف بازداشت در نظر بگیرند. به گزارش 404 Media، این اتفاق پیش‌تر در جلسه‌های شوراهای شهر رخ داده است.

تحقیق اتحادیه‌ی اروپا درباره‌ی کلاهبرداری و فیشینگ در Booking.com

کمیسیون اروپا تحقیقی را درباره‌ی Booking.com به دلیل کوتاهی در برخورد با آگهی‌های جعلی، کلاهبرداری با جعل هویت و فیشینگ آغاز کرد. کمیسیون همچنین می‌گوید این شرکت داده‌های کاربران را ایمن نکرده است؛ داده‌هایی که اغلب از مراکز اقامتی سرقت و در کمپین‌های فیشینگ به کار می‌روند، و این کمپین‌ها امسال به‌ویژه در اروپای غربی به‌شدت افزایش یافته‌اند.

افزایش مجازات زندان برای نافرمانی اینترنتی در روسیه

قانون‌گذاران روس لایحه‌ای پیشنهاد کرده‌اند که مجازات زندان برای کسانی که از اینترنت برای فراخوان به شورش‌های گسترده، تروریسم یا خشونت علیه مقام‌ها استفاده می‌کنند را تا شش سال افزایش می‌دهد.

ممنوعیت Waze در مالزی به دلیل پیوند با اسرائیل

مالزی استفاده از اپلیکیشن مسیریابی Waze متعلق به گوگل را برای کارمندان دولت ممنوع کرد و دلیل آن را نگرانی‌های امنیت ملی درباره‌ی پیوندهای این اپلیکیشن با اسرائیل اعلام کرد.

دستگیری‌ها، جرایم سایبری و اطلاعات تهدید

عملیات Serengeti III

عملیاتی به رهبری اینترپل بیش از ۱٬۴۰۰ مظنون را در ۲۱ کشور به اتهام‌هایی از جمله کلاهبرداری آنلاین، نفوذ به ایمیل سازمانی و باج‌افزار بازداشت کرد. مقام‌ها مراکز تماس کلاهبرداری را برچیدند، زیرساخت سرورها را توقیف کردند و ۱۰۵ میلیون دلار دارایی سرقتی را بازیابی کردند.

اعتراف کلاهبردار هدف‌گیرنده‌ی نظامیان

یک شهروند آمریکایی ساکن فیلیپین به کلاهبرداری از هزاران نظامی و کهنه‌سرباز آمریکایی اعتراف کرد.

حمله‌ی k0t به تجهیزات لبه‌ی شبکه

Group-IB عامل تهدیدی به نام k0t را ردیابی می‌کند که به تجهیزات لبه‌ی شبکه از جمله FortiGate، FortiWeb و Palo Alto GlobalProtect حمله می‌کند. گمان می‌رود این عامل، دلال دسترسی اولیه برای گروه‌های باج‌افزاری مانند Qilin و The Gentlemen باشد.

مهارت‌های مخرب هوش مصنوعی

گوگل گزارش می‌دهد از ۳۵٬۸۷۸ مهارت عامل هوش مصنوعی که به VirusTotal ارسال شده، ۶٬۶۳۷ مورد مخرب هستند.

ربودن مدل‌های زبانی افشاشده توسط عامل Skynet

Broadcom عاملی به نام Skynet را توصیف می‌کند که اینترنت را برای یافتن نقاط انتهایی LLM افشاشده پویش می‌کند و آن‌ها را می‌رباید تا حمله‌های خودش را اجرا کند. این عامل برای اجرای بدون نظارت تا ۱۰۰٬۰۰۰ گام خودکار طراحی شده و کمپین آن دست‌کم چند ماه است فعال است.

کمپین بازپخش توکن در Microsoft 365

Huntress مشاهده کرد که یک عامل تهدید با استفاده از تنها یک نشانی IP در یک شرکت میزبانی آلمانی، حمله‌های بازپخش توکن را علیه سازمان‌های کاربر Microsoft 365 اجرا می‌کند.

گزارش‌های فنی بدافزار

درِ پشتی RFRx003

واحد امنیتی Rostelecom به نام RT-Solar یک درِ پشتی تازه‌ی لینوکسی به نام RFRx003 را در نفوذهایی که تابستان امسال بررسی کرده بود یافت. مهاجمان از آن برای ساخت تونل‌های SOCKS5 و سرقت محتوای صندوق‌های ایمیل آسیب‌دیده استفاده کرده بودند.

تروجان DarkCore

BlackFog تروجان دسترسی از راه دوری به نام DarkCore را یافت که مرورگر داخلی دارد. مهاجمان با آن نشست‌های سرقتی را دوباره به کار می‌گیرند و ترافیک را از یک تونل SOCKS پنهان روی میزبان آلوده عبور می‌دهند تا ورودها از نشانی IP خود قربانی به نظر برسند.

بدافزار SiriusQT

Group-IB بدافزار SiriusQT را تحلیل کرد؛ یک تروجان دسترسی از راه دور ویندوزی که در انجمن‌های زیرزمینی تبلیغ می‌شود.

بازگشت StealC در قالب Stadia

توسعه‌دهنده‌ی بدافزار سارق اطلاعات StealC با Stadia بازگشته است؛ یک تروجان دسترسی از راه دور کامل که بر پایه‌ی StealC ساخته شده. این بازگشت پس از توقیف زیرساخت StealC توسط یوروپل در ژوئن رخ داده است. Varonis اشاره می‌کند که StealC به جمع بدافزارهایی پیوسته که پس از برچیده‌شدن دوباره سر برآورده‌اند.

باج‌افزار The Gentlemen

Acronis سرویس باج‌افزاری The Gentlemen را بررسی کرد؛ یکی از فعال‌ترین و توانمندترین عملیات‌های باج‌افزاری که در ماه مه دچار نشت بزرگی شد.

جعبه‌ابزار CARLIY0S

Straiker پژوهشی درباره‌ی CARLIY0S منتشر کرد؛ یک جعبه‌ابزار تهاجمی مبتنی بر هوش مصنوعی که گروه CyberCartel از آن استفاده می‌کند. این ابزار علیه بیش از ۴۰۰ سازمان در آمریکای لاتین، از جمله بانک‌ها، به کار رفته است.

APTها، جاسوسی سایبری و عملیات نفوذ

استفاده‌ی Storm-0940 از عامل‌های هوش مصنوعی ARTEX در یک موج حمله

مایکروسافت حمله‌ی زنجیره‌ی تأمین هفته‌ی گذشته به ConnectWise Cloud Backup را به گروه چینیِ وابسته به دولت Storm-0940 نسبت می‌دهد. این حمله بخشی از کمپینی خودکارشده با هوش مصنوعی علیه صدها هدف بود که در آن از عامل هوش مصنوعی ARTEX استفاده شده است. همین عامل در ماه‌های اخیر علیه سازمان‌های ژاپنی و بانک‌ها و مؤسسات مالی کره‌ی جنوبی نیز به کار رفته بود.

احیای بوت‌کیت BlackLotus توسط APT41

کسپرسکی گزارش می‌دهد که این گروه جاسوسی چینی از گونه‌های تازه‌ی BlackLotus با نام BlackX علیه هدف‌هایی در سراسر آسیای میانه استفاده می‌کند.

پاک‌سازی سامانه‌های یک شرکت لجستیک غلات اوکراین توسط Sandworm

یک واحد سایبری نظامی روسیه سامانه‌های داخلی یک شرکت لجستیک صادرات غلات اوکراینی را پاک کرد. این واحد از درِ پشتی تازه‌ای استفاده کرد که سرور فرماندهی و کنترل خود را درون Yggdrasil، یک شبکه‌ی مِش IPv6، پنهان می‌کند. دسترسی اولیه از سوی UAC-0099 به دست آمد و سپس به Sandworm واگذار شد.

اطلاعات نادرست در اعتراض‌های فرانسه

Alliance4Europe هیچ عامل تهدید خارجی را پشت اعتراض‌های ضد دولتی فرانسه نیافت، اما گروه‌هایی را شناسایی کرد که از این اعتراض‌ها برای انتشار اطلاعات نادرست بهره می‌برند. بر پایه‌ی این گزارش، شبکه‌ی Pravda روسیه ۱٬۰۱۸ مقاله در ۲۸ سایت و به نُه زبان منتشر کرده است. وزیر دفاع ایتالیا این اعتراض‌ها را به جنگ ترکیبی روسیه پیوند داد.

هدف‌گیری دموکرات‌ها و حامیان اوکراین در عملیات نفوذ روسیه

به گفته‌ی قانون‌گذاران ارشد حوزه‌ی اطلاعات، عملیات نفوذ روسیه در آستانه‌ی انتخابات میان‌دوره‌ای ماه آینده‌ی آمریکا، نامزدهای دموکرات و حامیان اوکراین در هر دو حزب را هدف گرفته است. Alethea نیز پژوهشی مرتبط درباره‌ی عملیات Doppelgänger منتشر کرده است.

پیوند یک مزرعه‌ی بات هندی به عملیات نفوذ انتخابات میان‌دوره‌ای

بازرسان یک مزرعه‌ی بات هندی را به کمپین نفوذ در شبکه‌های اجتماعی پیوند دادند که در آستانه‌ی انتخابات میان‌دوره‌ای آمریکا از نامزدهای دموکرات حمایت می‌کرد. مشخص نیست چه کسی هزینه‌ی آن را پرداخته است.

جابه‌جایی سرورهای Prince of Persia

Semperis می‌گوید گروه ایرانی Prince of Persia در آغاز درگیری امسال آمریکا، اسرائیل و ایران، سرورهای فرماندهی و کنترل خود را از اروپا به آمریکا منتقل کرده است.

عملیات FlashHole

کسپرسکی یک عملیات جاسوسی هدفمند کره‌ی شمالی علیه هدف‌های کره‌ی جنوبی را شناسایی کرد. ویژگی متمایز این عملیات، استفاده از الگوریتم‌های رمزنگاری پساکوانتومی برای ایمن‌سازی ارتباطات فرماندهی و کنترل است.

آسیب‌پذیری‌ها، پژوهش امنیتی و پاداش باگ

به‌روزرسانی‌های امنیتی

این هفته وصله‌های امنیتی برای این محصولات منتشر شد: 7-Zip، Apache Tomcat، BIND (CVE-2026-94300)، Chrome، Cisco، Craft CMS، Dell، Drupal، Firefox (MFSA 2026-111)، Fortinet، FreeBSD (FreeBSD-SA-26:73)، GitLab، HPE، Node.js، OpenBSD، Oracle، PHP، Pillow (CVE-2026-112900، CVE-2026-112393، CVE-2026-112403)، RingRTC (CVE-2026-113380)، SolarWinds، Splunk و Ubuntu.

انتشار وصله‌های PHP2Shell و آغاز فوری حمله‌ها

بنیاد PHP وصله‌های دو آسیب‌پذیری بحرانی با شناسه‌های CVE-2026-109618 و CVE-2026-109619 را یک روز زودتر منتشر کرد، پس از آنکه یک شرکت امنیتی جزئیات آن‌ها را آنلاین منتشر کرد. این باگ‌ها همه‌ی نسخه‌های PHP از مارس ۲۰۱۲ به بعد را تحت تأثیر قرار می‌دهند و یکی از آن‌ها در سال ۲۰۲۴ کشف شده بود اما آن زمان غیرقابل بهره‌برداری ارزیابی شده بود. نهادهای امنیتی توصیه کردند سرورهای PHP تا زمان وصله‌شدن از دسترس خارج شوند. AWS گزارش می‌دهد بهره‌برداری ساعاتی پس از انتشار وصله آغاز شد و بخشی از حمله‌ها حتی پیش از افشای عمومی رخ داده بود.

آسیب‌پذیری روز صفر تازه در Arista

شرکت Arista Networks آسیب‌پذیری روز صفر CVE-2026-114625 را در سرورهای درون‌سازمانی VeloCloud Orchestrator وصله کرد؛ نقصی که به مهاجمان از راه دور اجازه می‌دهد بدون احراز هویت به کارکردهای داخلی دسترسی پیدا کنند. این سومین آسیب‌پذیری روز صفر VeloCloud است که امسال وصله می‌شود.

وصله‌ی یک اجرای کد از راه دور با امتیاز کامل در GitLab

GitLab یک نقص اجرای کد از راه دور پیش از احراز هویت با شناسه‌ی CVE-2026-110264 و امتیاز CVSS برابر ۱۰ از ۱۰ را وصله کرد. این نقص سرورهای خودمیزبان را در همه‌ی نسخه‌های GitLab از نسخه‌ی ۷.۰ که در سال ۲۰۱۴ منتشر شد، تحت تأثیر قرار می‌دهد.

به‌روزرسانی فصلی Oracle

به‌روزرسانی فصلی Oracle بر پایه‌ی این خلاصه ۱٬۲۹۵ آسیب‌پذیری را برطرف می‌کند؛ در گزارش Tenable این عدد ۱٬۲۰۹ CVE ذکر شده است.

حذف یک نسخه‌ی متروک Popcorn Time از دو میلیون رایانه

شرکت هلندی Eye Security یک اپلیکیشن متروک و آسیب‌پذیر Popcorn Time را از بیش از دو میلیون رایانه‌ی ویندوزی و مک حذف کرد. این شرکت برای ارسال به‌روزرسانی، یک دامنه‌ی منقضی‌شده را در اختیار گرفت و این کار را بدون نظارت مراجع قانونی انجام داد. برخی از محصولات امنیتی بعداً بسته‌ی به‌روزرسانی را مخرب علامت زدند.

صنعت امنیت اطلاعات

گزارش‌های تهدید و روند

• Arkose Labs — گزارش اعتماد به هوش مصنوعی عامل‌محور در سه‌ماهه‌ی سوم ۲۰۲۶
• CrowdStrike — کمپین‌های حمله با هوش مصنوعی عامل‌محور
• HID Global — گزارش هویت
• Ironscales (PDF) — گزارش تهدید فیشینگ
• Palo Alto Networks (Unit 42) — چشم‌انداز حمله‌های OAuth
• Quarkslab — وضعیت پیاده‌سازی رمزنگاری پساکوانتومی
• Rapid7 — بهره‌برداری از آسیب‌پذیری‌ها ظرف سه روز
• SANS — راهنمای مسیر شغلی هوش مصنوعی و امنیت سایبری

تأسیس بنیاد تاب‌آوری سایبری جامعه‌محور

شرکت‌های Accenture، Dragos و مؤسسه‌ی SANS بنیادی برای دفاع از شرکت‌های آب آمریکا که منابع کافی ندارند راه‌اندازی کردند. این بنیاد با ۱۰ میلیون دلار سرمایه‌ی اولیه، فناوری، خدمات و آموزش رایگان را در اختیار تا ۵۰۰ شرکت آب قرار می‌دهد.

ابزار تازه: سامانه‌ی رصد PHP2Shell

شرکت Censys وب‌سایتی راه‌اندازی کرد که نشان می‌دهد چه تعداد از سامانه‌ها در برابر PHP2Shell وصله شده‌اند.

منبع

Risky Bulletin — Supply chain attack lets ransomware group inside 40+ shipping companies