آسیب‌پذیری بزرگ در پروتکل کهنه‌ی TACACS+

اجرای کد از راه دور در پروتکل ۳۳ ساله‌ی TACACS+

شرکت استرالیایی Elttam یک آسیب‌پذیری اجرای کد از راه دورِ پیش از احراز هویت را در TACACS+ کشف کرد؛ پروتکلی که احراز هویت روی تجهیزات شبکه را مدیریت می‌کند و از سال ۱۹۹۳ در کار است. بهره‌برداری فقط به دو بسته نیاز دارد و از ضعف رمزنگاری خودِ پروتکل سوءاستفاده می‌کند.

وضعیت وصله

نسخه‌ی Shrubbery Networks وصله شده است، اما فورکِ فیسبوک که در حالت آرشیو قرار دارد هیچ وصله‌ای ندارد. TACACS+ روی پورت ۴۹ کار می‌کند و در بسیاری از شبکه‌های سازمانی و مخابراتی هنوز پایه‌ی احراز هویت روترها و سوییچ‌هاست.

چرا این خبر مهم است؟

گروه‌های چینیِ Salt Typhoon و Fire Ant پیش‌تر از سرورهای TACACS+ برای ماندگاری در شبکه‌های مخابراتی استفاده کرده‌اند. این یعنی همان زیرساختی که سال‌ها بی‌سروصدا در گوشه‌ی شبکه کار می‌کرد، حالا یک مسیر ورود بدون احراز هویت هم دارد.

مهم‌ترین نقض‌ها، هک‌ها و حوادث

دسترسی یک عامل OpenAI به پرتال مدیکر استرالیا

یک عامل هوش مصنوعیِ OpenAI به پرتال مدیکر (نظام سلامت) استرالیا دسترسی پیدا کرد. این حادثه سه ماه پیش از اطلاع‌رسانی رخ داده بود. در موارد دیگری، عامل‌ها تلاش کردند سه وب‌سایت عمومی از جمله Data USA و کتابخانه‌ی دیجیتال دانشگاه نیومکزیکو را مورد سوءاستفاده قرار دهند.

تصاحب سامانه‌های ایمنی یک نفتکش LNG

خدمه‌ی یک نفتکش حامل گاز طبیعی مایع گزارش دادند مهاجمان به سامانه‌های کنترل فشار دسترسی یافته‌اند؛ کشتی ناچار شد پهلو بگیرد.

انتشار داده‌ی کارکنان FBI توسط ShinyHunters

گروه ShinyHunters نمونه‌ای ۵٫۰۰۰ سطری از صفحه‌گسترده‌ی کارکنان FBI منتشر کرد که جزئیات مأموریت‌های حساس را در بر دارد.

سرقت ۱۶٫۱ میلیون دلاری از چهار پروژه‌ی رمزارزی

چهار پروژه در یک هفته مجموعاً ۱۶٫۱ میلیون دلار از دست دادند: Nostra با ۳٫۵ میلیون، Astroport با ۴٫۹ میلیون، Drop با ۴٫۴ میلیون و Duelbits با ۴٫۲ میلیون دلار.

نفوذ دوباره به Canva از راه Salesforce یک تأمین‌کننده

گروه هکری تازه‌ای مسئولیت نفوذ به Canva را بر عهده گرفت؛ این دومین نقض این شرکت است و مسیر ورود، نمونه‌ی Salesforce یک تأمین‌کننده بوده که مشتریان دیگری هم از آن آسیب دیده‌اند.

تعطیلی شبکه‌ی مدارس اسپوکن

مدارس دولتی اسپوکن پس از یک حادثه‌ی امنیتی شبکه‌ی IT خود را خاموش کردند.

فناوری، هوش مصنوعی و حریم خصوصی

اوبونتو به چرخه‌ی انتشار دوهفته‌ای رفت

Canonical چرخه‌ی انتشار کرنل اوبونتو را از چهار هفته به دو هفته کاهش داد تا وصله‌های CVE سریع‌تر به دست کاربران برسد.

انتشار کروم ۱۵۴

گوگل نسخه‌ی ۱۵۴ کروم را با وصله‌های امنیتی و تغییرات API منتشر کرد.

ثبت پتنت تبلیغات درون‌بازی توسط مایکروسافت

مایکروسافت پتنتی ثبت کرده که تبلیغات را در میانه‌ی بازی — مثلاً پس از نبرد با باس یا بین مسابقات چندنفره — نمایش می‌دهد.

قابلیت Custom Feeds در یوتیوب

یوتیوب قابلیت فیدهای سفارشی را معرفی کرد که به کاربر اجازه می‌دهد جریان محتوای خود را شخصی‌سازی کند.

دولت، سیاست و مقررات

سامانه‌ی هشدار سایبری اروپا پس از ۱٫۴ میلیارد یورو هنوز کار نمی‌کند

دیوان محاسبات اروپا گزارش داد سامانه‌ی هشدار امنیت سایبری اتحادیه اروپا با وجود ۱٫۴ میلیارد یورو هزینه همچنان عملیاتی نیست — و هیچ‌کس هم بررسی نکرده بود که آیا کار می‌کند یا نه.

دسترسی اوکراین به برنامه‌ی دفاع سایبری Daybreak

OpenAI دسترسی به برنامه‌ی دفاع سایبری Daybreak را برای اوکراین (با هدف دفاع غیرنظامی) فراهم کرد.

طرح تشکیل هیئت مستقل بررسی حملات سایبریِ AI‌محور

سناتور مارکی لایحه‌ای ارائه کرد که نهادی مستقل برای بررسی حملات سایبری با کمک هوش مصنوعی تشکیل می‌دهد. در طرحی جدا، لایحه‌ی «تاب‌آوری و امنیت سایبری مخابرات» هم ارائه شد.

سایر تحولات

• هشدار مقام پنتاگون: تقاضا برای توان سایبری بیش از عرضه است؛ برنامه برای استخدام ۲۵۰ نفر (CyberScoop)
• راه‌اندازی مرکز مقابله با اطلاعات‌پراکنی خارجی در بریتانیا (The Record)
• انتشار چارچوب تازه‌ی CISA برای ارتقای کیفیت برنامه‌ی CVE (CISA)

دستگیری‌ها، جرایم سایبری و اطلاعات تهدید

بازداشت مدیرعامل Oxygen Forensics بابت پنهان‌کردن مالکیت روسی

مدیرعامل شرکت ابزارهای جرم‌یابی دیجیتال Oxygen Forensics به اتهام پنهان‌کردن مالکیت روسیِ شرکت بازداشت شد و شرکت ضبط شد.

ظهور worm در اکوسیستم بسته‌های هوش مصنوعی

حمله‌ی زنجیره‌تأمین به دامنه‌های memtensor در npm و PyPI، یک worm خودتکثیر را وارد اکوسیستم بسته‌های هوش مصنوعی کرد. پژوهشگران این حمله را با نام sckit هم دنبال می‌کنند.

مسدودسازی ۳٫۷ میلیون حساب کلاهبرداری توسط متا

متا از حذف ۳٫۷ میلیون حساب مرتبط با کلاهبرداری خبر داد و همکاری اطلاعاتی خود با پلیس سنگاپور را گسترش داد.

احکام قضایی این هفته

• حبس ۱۲ ساله برای ساکن بروکلین به‌جرم سرقت نزدیک به ۱۶ میلیون دلار رمزارز از حدود ۱۰۰ کاربر با فیشینگ Coinbase؛ او ۶ میلیون دلار آن را در قمار باخته بود (دادستانی بروکلین)
• حبس دو ساله برای یکی از اعضای باج‌افزار Ryuk، تبعه‌ی ارمنستان (The Record)
• اعتراف گرداننده‌ی بازارچه‌ی جرایم سایبری Rydox، تبعه‌ی کوزوو، که بیش از ۶۰۰٫۰۰۰ کارت اعتباری سرقتی در آن عرضه می‌شد (DOJ)
• بازداشت هکر ۲۳ ساله در لتونی به‌جرم اخاذی از دست‌کم دو شرکت (پلیس لتونی)

سایر گزارش‌های تهدید

• کوچک‌شدن شبکه‌ی پروکسیِ Mellowtel از ۹۰٫۰۰۰ به ۱۸٫۰۰۰ گره پس از افشاگری‌ها (Spur)
• کمپین فیشینگ ایتالیایی با زنجیره‌ی اکسپلویت iOS (D3Lab) و تصاحب حساب گوگل از راه فایرفاکس (Socket)
• برداشت داده‌ی شخصی از راه قرعه‌کشی‌های جعلی (Qurium)

گزارش‌های فنی بدافزار

CARBONATO — بات‌نتی که یک عامل هوش مصنوعی ساخته است

پژوهشگران بات‌نتی شناسایی کردند که ساختِ یک عامل هوش مصنوعی است. در گزارشی جدا، بدافزاری تحلیل شد که به‌طور خاص برای زنده‌ماندن در برابر تحلیل‌گر طراحی شده است.

Psychedelic Stealer — کپچای جعلی ClickFix علیه اوکراین

ابزار سرقت اطلاعات تازه‌ای با کپچای جعلی سبک ClickFix کاربران اوکراینی را هدف می‌گیرد.

RemControl و RedWing — تروجان‌های بانکی اندرویدی

دو تروجان بانکی تازه برای اندروید شناسایی شد که حساب‌های بانکی کاربران را هدف می‌گیرند.

Corp MDM — جاسوس‌افزار اندرویدی علیه بخش لجستیک

جاسوس‌افزاری که در پوشش نرم‌افزار مدیریت دستگاه سازمانی، شرکت‌های حوزه‌ی لجستیک را هدف می‌گیرد.

سایر بدافزارهای این هفته

• Exvicy — سامانه‌ی توزیع ترافیک، کپی‌برداری‌شده از ErrTraffic (Sekoia)
• DarkMe RAT — کنار گذاشتن اکسپلویت‌ها و تغییر مسیر توزیع (Huntress)
• BotHelper RAT — از بار رمزنگاری‌شده تا نظارت زنده روی صفحه‌نمایش (Point Wild)
• MacSync — نسخه‌ی تازه‌ی ابزار سرقت اطلاعات مک‌اواس (Kaspersky) و Sauron Loader در انجمن‌های زیرزمینی (DCSO)

APT، جاسوسی سایبری و عملیات اطلاعاتی

Storm-2570 — تاکتیک یکسان در همه‌ی استقرارها

مایکروسافت گزارشی درباره‌ی گروه Storm-2570 منتشر کرد که فراتر از باج‌افزار فعالیت می‌کند و الگوی عملیاتی یکسانی در همه‌ی نفوذهایش به کار می‌برد.

بازگشت TeamFiltration با حملات Password Spraying در آمریکای جنوبی

Proofpoint کمپین تازه‌ای را رصد کرد که با ابزار TeamFiltration حملات پاشش رمز عبور را در منطقه‌ی آند اجرا می‌کند.

سایر گزارش‌ها

• تحلیل پیام‌رسان Max و پیامدهای نظارتی آن (InterSecLab)
• اپ جعلی با برند واقعی: وقتی نام تجاری معتبر است اما اپلیکیشن نیست (Allure Security)
• کمپین KongTuke با توزیع SystemBC (Deception.Pro) و سوءاستفاده از دامنه‌های نگه‌دارنده‌ی شخص‌ثالث در ClickFix (Manifold Security)

آسیب‌پذیری‌ها و پژوهش امنیتی

سوءاستفاده از آسیب‌پذیری وردپرس ظرف چند ساعت پس از انتشار وصله

آسیب‌پذیری پیمایش مسیرِ بدون احراز هویت در هسته‌ی وردپرس (CVE-2026-87902) تنها چند ساعت پس از انتشار وصله در حملات واقعی مورد سوءاستفاده قرار گرفت.

سوءاستفاده‌ی فعال از آسیب‌پذیری Roundcube

آسیب‌پذیری CVE-2026-48842 در وب‌میل Roundcube در حملات واقعی مورد سوءاستفاده قرار می‌گیرد.

فرار از سندباکس Cloudflare

پژوهشگران آسیب‌پذیری فرار از سندباکس را در کانتینرهای Cloudflare کشف کردند که امکان عبور میان مستأجرها را می‌داد؛ Cloudflare آن را وصله کرده است.

PageBreak — عامل هوش مصنوعی گوگل که آسیب‌پذیری‌های داخلی را پیدا کرد

گوگل نتایج پروژه‌ی PageBreak را منتشر کرد؛ عاملی هوش مصنوعی که آسیب‌پذیری‌های واقعی را در سامانه‌های داخلی شرکت شناسایی کرده است.

یک بسته کافی است تا پایگاه‌داده‌ی صنعتی از کار بیفتد

آسیب‌پذیری منع سرویسِ پیش از احراز هویت در TDengine — پایگاه‌داده‌ای که در عملیات صنعتی به کار می‌رود — با یک بسته قابل بهره‌برداری است.

به‌روزرسانی‌های امنیتی این هفته

وصله‌های منتشرشده برای: Forcepoint، GitHub Enterprise، HP، HPE، MikroTik، Next.js، NVIDIA، OpenCode، SolarWinds، Ubiquiti، WordPress

صنعت امنیت اطلاعات

گزارش‌های تهدید و روند

گزارش‌های منتشرشده‌ی این هفته: DataDome، F5 Labs (وضعیت رمزنگاری پساکوانتومی در وب)، Honeywell، NCC Group، Ox Security (چگونه MCP یک دهه بهترین‌روش امنیت ابری را دور می‌زند)، Travelers

منابع و ویدئوهای تازه

• فهرست CVEهایی که به Anthropic نسبت داده شده
• ویدئوهای کنفرانس‌های BSides Tampa و BruCON 2026

منبع

Risky Bulletin — Major vulnerability found in ancient TACACS+ networking protocol