Geopolitické hry

Citizen Lab odhalil, že izraelská firma Discover-Tech doručovala cez cielené reklamy zero-click spyware pri ktorom stačilo na infikovanie zariadenia len zobrazenie reklamy. Reklamy sa zobrazovali aj vo vládnych sieťach, sieťach NATO, OSN a inštitúcií EÚ.

Citizen Lab taktiež potvrdil, že iPhone rektora Belehradskej univerzity, ktorý podporuje študentské protivládne hnutie, bol infikovaný spywarom Pegasus. Počet známych obetí spywaru v Srbsku je už na čísle 16.

Amnesty International na základe výpovede bývalého agenta marockej tajnej služby opísala, ako Maroko sleduje novinárov a aktivistov. Okrem spywaru Pegasus používa aj skryté mikrofóny v bytoch či telefóny predávané už s nainštalovaným spywarom.

Kybernetický útok zastavil výstavbu podmorského tunela Fehmarnbelt medzi Dánskom a Nemeckom. Hlavný dodávateľ hlási zasiahnutie centrálnych IT systémov. Kto za útokom stojí, zatiaľ nie je známe.

Geoff Huston z APNIC analyzoval odolnosť podmorských káblov. Väčšinu z približne 200 porúch ročne spôsobia rybárske lode a kotvy. Čas opráv sa za desať rokov viac ako zdvojnásobil a opravárenské lode starnú.

Research & Engineering

Kľúče ôsmich intermediate certifikátov indickej certifikačnej autority eMudhra boli vygenerované tak chybne, že ich dokázal zrekonštruovať ktokoľvek. Prehliadače ich už zablokovali, aplikácie s vlastným zoznamom dôveryhodných certifikátov však potrebujú aktualizáciu.

Anthropic s pomocou modelu Claude odhalil pôvod seedov eliptických kriviek NIST. Nevznikli hashovaním frázy, ako tvrdila legenda, ale generátorom náhodných čísel inicializovaným časom. Teória o zadných vrátkach v tejto schéme je tak menej pravdepodobná.

Frontier Red Team Anthropicu taktiež našiel kritické zraniteľnosti v prehliadačoch a operačných systémoch, napríklad vzdialené spustenie kódu na jedno kliknutie v Chrome či zero-click RCE s právami roota v jadre Linuxu.

Orange Tsai opísal funkčný exploit reťazec na Microsoft Edge z Pwn2Own Berlin 2026, ktorý stojí iba na logických chybách a vznikol bez pomoci AI. Vyniesol mu 175000 dolárov. Fascinujúce čítanie.

Calif v spolupráci s OpenAI a Wiz našiel v PHP dve kritické zraniteľnosti PHP2Shell, ktoré umožňujú neautentifikované vzdialené spustenie kódu napríklad na inštaláciách WordPressu. Podľa Amazonu útočníci chybu zneužívali už pár dní pred zverejnením opravy.

Zraniteľnosť v dekompresnom algoritme Brotli umožňuje spustenie kódu bez autentifikácie v mnohých HTTP knižniciach a aplikáciách.

Quentin Kaiser našiel v Broadcom WiFi SDK chybu, ktorá umožňuje cez WiFi bez znalosti hesla prevziať kontrolu nad miliónmi routerov. Broadcom odmietol prideliť CVE, lebo opravu vraj vydal už v roku 2018, k zariadeniam sa však nikdy nedostala.

Sammy Hajhamid zverejnil softvérový jailbreak konzoly Nintendo Switch 2, ktorý začína pretečením celého čísla v hre SmileBASIC a končí spustením vlastného kódu v systéme.

XBOW za šesť dní a približne 40000 dolárov vytvoril s pomocou modelu od OpenAI funkčný exploit reťazec na prehliadač Google Chrome. Google zaň vyplatil vôbec prvú full chain odmenu 250000 dolárov.

Filippo Valsorda aktualizoval svoje „Cryptographic Right Answers“ pre post-kvantovú éru, prehľad odporúčaných kryptografických algoritmov a knižníc pre výmenu kľúčov, podpisy, šifrovanie aj TLS.

Zraniteľnosť v Telegram Desktop umožňovala prevziať účet po jedinom kliknutí na škodlivý tg:// odkaz. Telegram chybu potichu opravil vo verzii 7.2.9 bez bezpečnostného oznámenia.

Project Zero porovnal fuzzer Fuzzilli s AI agentom BigSleep pri hľadaní chýb v JavaScriptovom engine V8. Oba našli podobný počet zraniteľností, prekrývali sa však len zhruba v štvrtine, a Google preto odporúča používať oba prístupy.

Natalie Silvanovich z Project Zero upozorňuje, že keď LLM urýchľujú útoky aj obranu, úzkym hrdlom je testovanie a doručenie opráv. Výrobcom odporúča pripraviť si vopred mechanizmy na núdzové záplatovanie.

Na súťaži Pwn2Own Ireland 2026 padlo už prvý deň 32 zero-day zraniteľností. Titul Master of Pwn získal Ikotas Labs, ktorému hacknutie telefónu Pixel 10 vynieslo 300000 dolárov.

Matthew Green spustil web bitsofwork.org, ktorý podľa počtu publikovaných článkov odhaduje, koľko kryptoanalýzy sa venovalo problémom, na ktorých stojí asymetrická a post-kvantová kryptografia.

Zraniteľnosť „SMS of Death“ umožňuje špeciálnou SMS na diaľku a nepozorovane zhodiť telefónne služby Androidu vrátane prebiehajúcich tiesňových hovorov. Google chybu opravil od Androidu 14. Android 12 a 13 opravu nedostanú.

Kritická zraniteľnosť v open source UEFI firmvéri EDK II, ktorý používajú takmer všetci výrobcovia, ohrozuje väčšinu serverov na svete. Umožňuje spustiť kód ešte pred zavedením operačného systému a ochrán ako Secure Boot.

Zločin a úniky informácií

Útočníci prenikli k registrom národných domén .gh, .sl a .as a získali neautorizované HTTPS certifikáty pre domény Googlu aj ďalších firiem. Chrome ich zablokoval a Google odporúča vlastníkom domén sledovať logy Certificate Transparency a nastaviť CAA záznamy.

FBI zatklo kanadského manažéra z oblasti kybernetickej bezpečnosti a obvinilo ho z vydierania v súvislosti so skupinou ShinyHunters. Podľa KrebsOnSecurity sa na prevádzke jej vydieračskej stránky podieľal aj manažér americkej konzultačnej firmy.

Skupina FulcrumSec tvrdí, že z PingCAP, firmy stojacej za databázou TiDB, ukradla 10.6 TB dát vrátane API kľúčov a zdrojového kódu. Na prístup jej vraj stačili cloudové kľúče uložené priamo v git repozitároch.

Ledger potvrdil, že niektoré jeho hardvérové peňaženky obsahovali skrytý implantát s LTE modemom, ktorý počas nastavovania odčítal seed frázu z displeja a poslal ju útočníkom. Z vyše 300 vykradnutých peňaženiek zmizlo takmer 93 miliónov dolárov.

Útočníci prenikli do riadenia chladenia vo francúzskych supermarketoch a nastavili chladničky na nepretržité odmrazovanie. V Holandsku a Belgicku útok zároveň vyradil weby a elektronické cenovky obchodných reťazcov.

Dánsky centrálny register obyvateľov oznámil, že niekto zneužil legitímny prístup jednej firmy a získal mená, adresy a rodné čísla približne 8.8 milióna ľudí.

Útočníci aktívne zneužívajú kritickú zraniteľnosť v self-managed produktoch Atlassianu vrátane Jira a Confluence, ktorá umožňuje bez prihlásenia čítať súbory na serveri. Opravené verzie sú už dostupné.

Útočník cez GitHub účet vývojára OVHcloud nahradil oficiálny OVHcloud CLI verziou, ktorá kradla tajomstvá z disku. Prístup získal vďaka škodlivému rozšíreniu prehliadača, ktoré si vývojár nainštaloval pred rokom.

Čínsky zločinecký gang hackol spoločnosť Staples a podvodne vydal darčekové karty v hodnote miliónov dolárov, za ktoré nakupoval tovar a posielal ho do Číny.

Hacktivisti cez zneužitie single sign-on získali a zverejnili mená, telefónne čísla a adresy viac ako 40000 zamestnancov amerického ministerstva vnútornej bezpečnosti (DHS) vrátane príslušníkov ICE a CISA.

Z peňaženiek kryptoburzy Binance odtieklo podľa predbežných odhadov 5.3 až 5.8 miliardy dolárov. Ide o najväčší prebiehajúci crypto hack v histórii. Prsty ukazujú smerom na Severnú Kóreu.

Ostatné

Štúdia Northeastern University a Consumer Reports zistila, že väčšina testovaných áut a ich aplikácií posiela údaje ako VIN, e-mail či presnú polohu reklamným a sledovacím firmám.

Lacné WiFi čipy sa dajú premeniť na SDR prijímače. V mikrokontroléroch ESP32 objavili nezdokumentovanú funkciu na čítanie surového signálu a podobne sa podarilo upraviť aj WiFi 7 router.

Nórsko chystá dočasný zákaz inteligentných okuliarov s kamerou na verejných miestach, ako sú parky, školy, nemocnice či nákupné centrá. Vláda sa obáva, že ľudí budú nahrávať bez ich vedomia.

Tento newsletter je rozosielaný odberateľom newsletteru kratkespravy.sk, členom Asociácie kybernetickej bezpečnosti a členom ISACA Slovensko.